Depuis début septembre, la newsletter Doctor Kloud a dépassé les 8 000 lecteurs, et vous êtes de plus en plus nombreux à la partager. Merci 🙏. Savoir que tu forward l'édition du lundi à tes collègues, c'est le meilleur retour que je puisse recevoir.

Le 22 septembre, Microsoft a démantelé EvilTokens, un kit de Phishing vendu par abonnement sur Telegram. Il a compromis plus de 12 000 boîtes mail dans plus de 10 000 organisations, et la France figure parmi les pays où Microsoft a observé le plus de victimes.

EvilTokens ne volait pas de mots de passe. Il détournait le Device Code Flow, le flux prévu pour connecter une télé, une imprimante ou un équipement de salle de visio, et repartait avec des Tokens. Le flux pensé pour la salle de réunion a servi à fouiller les boîtes mail des gens qui valident les virements.

Jeudi, Microsoft retire les Risk Policies héritées d'Entra ID Protection. Dans ses recommandations contre EvilTokens, elle cite justement les Sign-in Risk Policies en Conditional Access. Si les tiennes vivent encore dans l'ancien écran, il te reste 3 jours pour les déplacer.

Trois choses à retenir cette semaine :

Trois échéances cette semaine. Si tu ne fais qu'une chose après cette édition, fais la première.

SharePoint Server est exploité, et l'échéance de la CISA tombe aujourd'hui : CVE-2026-65660 touche SharePoint Server 2016, 2019 et Subscription Edition. Un compte authentifié, même peu privilégié, suffit, sans aucune interaction de l'utilisateur. Le correctif est sorti le 11 août (KB5002893 pour Subscription Edition), et la CISA a ajouté la faille à son catalogue KEV le 25 septembre. Risque : une Farm qui n'a pas reçu la Security Update d'août est exposée à une faille que la CISA classe comme exploitée. Action, dans cet ordre. Vérifie que la Security Update d'août est installée sur chaque serveur de la Farm. Installe-la là où elle manque. Cherche ensuite des traces de compromission antérieures au patch. Dans cet ordre : chasser avant de patcher, c'est laisser la porte ouverte pendant que tu cherches. Deadline : aujourd'hui, 28 septembre 2026, pour les agences fédérales américaines : J-0. Lire la suite

Les Risk Policies héritées d'Entra ID Protection disparaissent jeudi : Microsoft retire le 1er octobre 2026 la User Risk Policy et la Sign-in Risk Policy héritées, configurées directement dans Entra ID Protection. Les contrôles basés sur le risque passent par des Conditional Access Policies, qui exigent Entra ID P2. Risque. Si ton tenant s'appuie encore sur ces Legacy Risk Policies, ce mécanisme disparaît jeudi. Microsoft demande de migrer vers Conditional Access. Action, dans cet ordre. Vérifie si les Legacy Risk Policies sont activées dans ID Protection. Recrée-les en Conditional Access, en mode Report-Only. Passe-les en On après contrôle. Désactive ensuite les anciennes. Dans cet ordre : le Report-Only t'évite de bloquer ton CEO un jeudi matin. Deadline. Le 1er octobre 2026, soit J-3. Lire la suite

Machine Identity Isolation coupe des postes Windows 11 de leur domaine : depuis la Security Update du 8 septembre (KB5124008) ou une mise à jour ultérieure, Windows applique un réglage Machine Identity Isolation déjà provisionné sur les Machine Accounts protégés par Credential Guard. La fonction n'est supportée qu'avec des DC au Domain Functional Level Windows Server 2025. Windows 11 24H2, 25H2 et 26H1 sont concernés, aucun Windows Server ne l'est, et la preview du 22 septembre (KB5124010) documente toujours le problème. Risque. Les utilisateurs de ces postes ne peuvent plus ouvrir de session avec des identifiants valides et tombent sur un échec de la Trust Relationship avec le domaine. Les identifiants en cache peuvent encore passer, et la réplication AD comme tes DC ne sont pas touchés. Une fonction de sécurité qui empêche tes utilisateurs de se connecter, c'est une façon radicale de réduire la surface d'attaque. Action, dans cet ordre. Vérifie si Machine Identity Isolation a été activé chez toi, et par quel canal : Intune, GPO ou registre. Si ton domaine est sous le Domain Functional Level Windows Server 2025, désactive la fonction par ce même canal. Redémarre le poste. Répare ensuite le Secure Channel avec Test-ComputerSecureChannel -Repair. Deadline. Immédiate. Microsoft prévoit une mise à jour qui suspendra temporairement l'application de la fonction, sans date annoncée. Lire la suite

Prochaines échéances

EvilTokens a vendu le Device Code Phishing comme un abonnement

Le 22 septembre, Microsoft a démantelé EvilTokens, un kit vendu 1 500 dollars, puis 500 dollars par mois sur Telegram, avec support client et Dashboard. Il a compromis plus de 12 000 boîtes mail dans plus de 10 000 organisations, et la France figure parmi les pays où Microsoft a observé le plus de victimes. Le mécanisme détournait le Device Code Flow, et Microsoft l'écrit sans détour : ce flux permet de contourner les protections MFA classiques en séparant l'authentification de la session d'origine. Sa recommandation tient en une ligne : bloquer le Device Code Flow partout où c'est possible, avec une exception limitée aux comptes des Teams Devices qui en ont besoin. Ta MFA reste indispensable, mais ta surface d'attaque, ce sont aussi les flux que tu laisses ouverts. Alors, dans ton tenant, qui a réellement besoin du Device Code Flow ? Lire la suite

Ta licence E5 ouvre un SIEM dans Defender, en Preview

Le 23 septembre, Microsoft a lancé en Preview l'Integrated Security Operations Center dans Defender. C'est un bénéfice rattaché à Defender Suite, Microsoft 365 E5 et E7, ouvert pendant cette phase aux clients qui n'ont pas de Workspace Sentinel actif. Il apporte Cases, Workbooks et Playbooks écrits en langage naturel, avec 30 jours de Retention inclus, puis 90 jours à partir du 15 novembre. L'ingestion de données tierces coûte 2,40 dollars par Go à partir du 1er octobre, et Microsoft demande de ne pas déconnecter un Workspace Sentinel de production pour se qualifier. Si ton RSSI réclame un SIEM depuis deux ans, regarde d'abord ta facture E5. Et si tu es déjà sous Sentinel, ta date est le 15 novembre. Lire la suite

Microsoft annonce la fin de Windows Deployment Services

Le 21 septembre, Microsoft a annoncé la Deprecation du rôle WDS à partir de la prochaine version de Windows Server : le rôle, ses services, ses outils et le PXE Boot fourni par WDS. Deprecated ne veut pas dire supprimé, et WDS reste supporté sur les versions actuelles de Windows Server, selon leur cycle de vie. Le rôle qui a déployé des générations de postes par le réseau entre donc en préretraite, et l'étape suivante s'appelle Removal. Microsoft cite Configuration Manager comme alternative, et Configuration Manager lui-même n'est pas concerné par l'annonce. Lire la suite

L'Alberta passe définitivement à UTC-6 et la Colombie-Britannique à UTC-7 le 1er novembre, le Maroc est à UTC+0 depuis le 20 septembre, et Microsoft publie une guidance intérimaire en attendant les correctifs Windows de septembre et octobre. Si tu as des DC ou des serveurs dans ces zones, l'horodatage de tes logs et de tes Scheduled Tasks dépend de ces mises à jour. (Message Center MC1479468)

Publiée le 23 septembre, elle corrige l'échec d'activation de la Pass-through Authentication dans le Wizard et embarque des Security Fixes que Microsoft recommande d'appliquer au plus vite. Si tu montes de version avant la coupure du 30 septembre, vise directement celle-là. (Microsoft Learn)

Depuis septembre, Microsoft migre automatiquement vers Entra Agent ID les agents Copilot Studio qui n'en ont pas encore, et ceux créés avant mai 2026 peuvent encore tourner sur une App Registration classique. Une fois migré, un agent remonte dans les Audit Logs Entra, entre dans Entra ID Governance et devient ciblable par tes Conditional Access Policies : fais l'inventaire dans les Recommendations du Power Platform Admin Center, migre par petits lots et valide chaque agent avant de passer au suivant. (Message Center MC1478488)

Microsoft compte plus de 100 tentatives de suppression de Storage Accounts et des Locks ASR et Backup visés, et le secret venait au départ de l'historique d'une Issue GitHub publique. Les Resource Locks ont sauvé une partie des Storage Accounts : ils ne coûtent rien, et ils viennent de prouver qu'ils servent. (Microsoft Security Blog)

Actif depuis avril 2025, il réutilise les mêmes outils après compromission, dont Atera et PsExec, quel que soit le Ransomware qu'il déploie derrière. Tes détections gagnent à viser ces outils plutôt que la charge finale, qui change d'une attaque à l'autre. (Microsoft Security Blog)

Les Agents de Defender, Entra, Intune et Purview arrivent sans achat séparé, avec un quota mensuel de Security Compute Units et un Opt-out via le support. Si tu payais Security Copilot à part sur un tenant E5, ta ligne budgétaire vient de bouger. (Message Center MC1478465)

Investigations, assignation des analystes, suivi des SLA et notes vivent désormais dans un même espace Cases. Ton SOC peut suivre un incident de bout en bout sans quitter le portail Defender. (Message Center MC1477993)

Les organisations sous licence le recevront activé par défaut, sauf Opt-out dans le portail Defender avant le 25 octobre. Si tu ne veux pas que tes utilisateurs signalent depuis Teams, c'est maintenant que ça se décide. (Message Center MC1478463)

Les rôles Entra Cloud App Security, Compliance Administrator et Compliance Data Administrator changent de droits à partir de mi-octobre. Si ton équipe conformité travaille dans App Governance, relis ses Role Assignments avant qu'elle ne perde un bouton. (Message Center MC1479503)

Une colonne ApproverUpn arrive dans la table EmailPostDeliveryEvents de Defender for Office 365. Tes enquêtes sur une purge de mails ne passent plus par l'Action Center. (Message Center MC1478005)

Microsoft a ouvert le 24 septembre un Known Issue lié à la preview d'août (KB5120998) et aux mises à jour suivantes, avec deux contournements : relancer explorer.exe à la main ou déployer le Known Issue Rollback par GPO. Si tes utilisateurs AVD voient un bureau noir ce matin, le KIR est la réponse propre en attendant le correctif. (Windows release health)

La semaine du 21 septembre, Windows 365 a passé en GA les Alternate Regions de reprise (Australia Southeast, South India, Canada East, West US), la configuration BCDR dans Cloud PC Settings et l'image Developer Configuration avec les M365 Apps, et a ouvert en Preview la Session State Retention pour Windows 365 Flex en mode dédié. Ton plan de reprise se règle maintenant au même endroit que le reste de tes Cloud PC, avec des régions de repli là où il n'y en avait qu'une. (Microsoft Learn)

PowerShell 7.6 est supporté depuis le 21 septembre, et PowerShell 7.4 perd son support le 10 novembre 2026. Tes Functions PowerShell ont six semaines pour changer de Runtime. (Azure Updates)

Microsoft demande de passer à .NET 10, faute de quoi les Function Apps perdent Security Fixes et support. Même date que PowerShell 7.4 : un seul inventaire pour les deux. (Azure Updates)

La cible recommandée est Node.js 24. Tu as le temps, et maintenant tu as aussi une date. (Azure Updates)

Chaque Sandbox est une MicroVM isolée qui démarre en moins d'une seconde, avec ses propres Egress Policies. Si tu fais tourner du code non fiable ou des Agents, l'isolation devient un service managé. (Microsoft Community Hub)

Express déploie une image de conteneur sans créer d'environnement au préalable, et tourne sur Sandboxes. Pour une API simple, le chemin vers la production vient de perdre deux étapes. (Microsoft Community Hub)

Des machines hybrides ou Edge rejoignent un cluster AKS dont le Control Plane reste dans Azure. Ton Edge peut rejoindre un cluster managé sans monter un Kubernetes à part. (Azure Updates)

Microsoft annonce la fin des offres Standalone d'ACS au profit de solutions intégrées. Si un de tes produits envoie SMS ou mails via ACS, c'est une ligne de Roadmap, pas une urgence. (Azure Updates)

Le service en Preview accepte désormais la dernière version majeure de PostgreSQL. Tu peux tester la 18 sans attendre la GA. (Azure Updates)

La restauration démarre quelques secondes après la création d'un Snapshot cohérent, pour les disques de données Premium v2 et Ultra. Sur ces disques, ton RTO se compte en secondes. (Azure Updates)

Les liens restent cliquables, sans carte d'aperçu. Préviens le support avant que le premier ticket arrive. (Message Center MC1479516)

L'option arrive dans l'onglet Insertion du nouvel Outlook et d'Outlook sur le web entre octobre et décembre. Une question de moins au support. (Message Center MC1479513)

La fonction, à activer par l'utilisateur, se déploie de mi-octobre à mi-décembre. Mets à jour la documentation utilisateur. (Message Center MC1479509)

La fonction figure à la Roadmap Microsoft 365, en développement. Un gain de temps pour les agendas chargés, sans impact admin. (Roadmap RM570666)

Les pages se créent, s'importent et se publient dans la bibliothèque Site Pages avec les permissions existantes, Copilot compris. Ton intranet va recevoir du HTML maison : cadre l'usage avant que tes équipes ne s'y mettent. (Message Center MC1479517)

Le calcul inclut désormais les champs des bibliothèques, la limite de 1 To ne bouge pas et les tailles affichées peuvent monter. Un site proche de la limite peut ne plus accepter de nouvelles Metadata. (Message Center MC1478966)

Les auteurs sous licence Copilot sélectionnent un élément de la page pour une édition ciblée, en GA. L'édition assistée devient chirurgicale. (Message Center MC1478958)

Les fichiers partent dans le OneDrive de l'émetteur avec tes contrôles existants, et l'option se coupe en PowerShell. Si ta politique interdit le partage externe dans Teams, désactive-le avant fin octobre. (Message Center MC1479514)

Les fonctions avancées passent sous licences Teams Enterprise, et un événement au-delà de 3 000 participants demande un Capacity Pack. Relis tes licences avant ton prochain Town Hall. (Message Center MC1479512)

L'accès se fait uniquement par l'app Copilot dans la barre d'applications, sans perte de données. Mets à jour tes guides utilisateurs. (Message Center MC1477999)

Un nouveau réglage de Meeting Policy, activé par défaut, arrive en octobre. Les métiers qui archivent les Transcripts mot pour mot ont enfin la main. (Message Center MC1478003)

La capacité est disponible dès maintenant, sans action admin. Tes formations à grande échelle tiennent dans un seul webinaire. (Message Center MC1478949)

La fonction figure à la Roadmap Microsoft 365, en développement. L'accessibilité des images partagées ne dépend plus d'un contournement. (Roadmap RM571687)

Le déploiement court du 1er septembre au 15 octobre, avec un Reporting par appareil. Tu reprends la main sur le rythme sans quitter Autopatch. (Message Center MC1478956)

KB5124010 est sortie le 22 septembre, et les éditions Home et Pro de 24H2 ne reçoivent plus de mises à jour à partir du 13 octobre. Les postes Home et Pro de ton parc doivent passer en 25H2. (Message Center MC1477005)

Microsoft demande d'identifier les utilisateurs concernés et de planifier une alternative. Si tes mobiles passent par Citrix pour joindre des applis internes, vérifie la chaîne. (Message Center MC1478969)

Le mécanisme démarre en octobre, avec un préavis à l'organisateur, et un plan supprimé se récupère 30 jours sur demande admin. Préviens les équipes qui pilotent leurs projets depuis ces plans. (Message Center MC1479508)

Les appareils restent sur la version choisie, avec ses Security Updates, jusqu'à la reprise. Une régression Office ne t'oblige plus à choisir entre stabilité et sécurité. (Message Center MC1478946)

La fonction figure à la Roadmap, en développement. L'utilisateur peut fermer PowerPoint pendant que Copilot travaille. (Roadmap RM570436)

La fonction figure à la Roadmap, en développement. Ta charte peut guider Copilot autrement que par un Template de slides. (Roadmap RM569018)

Microsoft envoie un Final Reminder : migrer vers Planner, Project Server Subscription Edition ou Project Operations. Si un service l'utilise encore, il te reste 2 jours. (Message Center MC1478955)

Les admins autorisent des comptes choisis à dépasser leur quota avec une facturation à l'usage, GA prévue en novembre. Les comptes qui débordent ont une alternative à la licence supplémentaire. (Message Center MC1477185)

Les admins les gèrent et les approuvent dans le Microsoft 365 Admin Center. Tes Declarative Agents peuvent déléguer à d'autres Agents sous gouvernance. (Message Center MC1478975)

Les nouvelles configurations n'exigent plus d'App Registration propre au tenant, les existantes ne bougent pas. Une App Registration de moins à gouverner. (Message Center MC1477186)

Le nombre d'Agents affiché et les rapports associés peuvent changer. Si tu suis ton parc d'Agents dans un Dashboard, attends-toi à une baisse mécanique. (Message Center MC1477184)

La Roadmap Microsoft 365 annonce l'inférence dans la géographie locale applicable pour les interactions Copilot prises en charge. C'est un argument de souveraineté à suivre de près. (Roadmap RM571886)

Copilot agit avec le compte et les droits de l'utilisateur, et chaque écriture exige une confirmation explicite. Un Connector en lecture devient un Connector en écriture : relis tes autorisations. (Roadmap RM570964)

La Preview démarre mi-octobre pour l'anneau Insiders, et les Mac sous les exigences matérielles restent à 300 000. Les gros espaces partagés synchronisés sur Mac cessent d'être un cas limite. (Message Center MC1477187)

Les données doivent venir d'un SIRH comme SAP SuccessFactors ou Workday. Sans ces données, rien ne change chez toi. (Message Center MC1478957)

La classification Purview s'applique au trafic réseau via Entra Internet Access, en GA selon le récap sécurité de septembre, et les politiques se créent sans configuration Pay-As-You-Go pour ce scénario. Tes données sensibles se contrôlent aussi sur le réseau, avec les mêmes Sensitivity Labels. (Message Center MC1478970)

Microsoft annonce ne pas poursuivre cette fonction pour l'instant et reviendra vers les clients si elle revient. Si ton plan de classification comptait dessus, il te faut un plan B. (Message Center MC933531)

Une Auto-Labeling Policy, à activer, couvre jusqu'à 10 sites à partir d'octobre. Ton stock de fichiers non étiquetés peut enfin rattraper la règle. (Message Center MC1477181)

Les éléments historiques sont stockés dans la Mailbox de l'utilisateur et accessibles par eDiscovery. La mémoire de Copilot entre dans ton périmètre de Retention. (Message Center MC1478965)

Tes DLP Policies Copilot existantes s'appliquent automatiquement, y compris le blocage de Prompts sensibles. Rien à écrire, mais vérifie ce qu'elles bloquent vraiment. (Message Center MC1477182)

Les admins configurent l'URL du lien « Learn about access restrictions ». L'utilisateur bloqué lit ta règle, plutôt qu'une page générique. (Message Center MC1478467)

Le rapport compare les fichiers traités pendant l'application à la dernière simulation. Tu sais enfin ce qu'une Policy a réellement étiqueté. (Roadmap RM572677)

La table system.query.history couvre les requêtes des SQL Warehouses et du Serverless, et le MCP Server de Genie One applique les permissions Unity Catalog à chaque requête, son ancien Endpoint Beta s'arrêtant le 31 octobre. Ton audit Databricks part d'une seule table, et un Agent qui appelle encore l'ancien Endpoint doit migrer avant fin octobre. (Microsoft Learn)

Speech temps réel, capacités d'Agent, déploiement, observabilité et évaluation sont réunis dans une même plateforme. Un Voice Agent ne demande plus d'assembler cinq briques séparées. (Microsoft Community Hub)

La fonction fait remonter les schémas d'échec et propose des recommandations sans Evaluator sur mesure. Tes Agents en production se déboguent à partir de ce qu'ils ont réellement fait. (Microsoft Community Hub)

Microsoft le positionne sur le code et le travail de connaissance de longue durée. Un modèle de plus dans ton catalogue gouverné. (Microsoft Community Hub)

Microsoft l'annonce pour les applications à long contexte. Un modèle de plus, à passer par ta gouvernance comme les autres. (Microsoft Community Hub)

Storm-3168 est entré dans Azure avec des Service Principals dont le secret traînait dans l'historique d'une Issue GitHub publique. Commence par savoir combien d'App Registrations de ton tenant portent un Client Secret.

Ce que la commande retourne :

Lecture seule, aucun effet de bord. La commande lit ton tenant Entra ID : --subscription ne change rien ici.