📆 Édition #95 du Lundi 26 Octobre 2026
Microsoft m’a invité, en tant que MVP, à rejoindre une Private Preview, et j’y participe. Tout est sous NDA, donc je ne peux rien te dire de plus : ni le nom, ni le contenu, ni le calendrier. Ce que je peux te dire, c’est que la fonctionnalité concerne tous les profils Azure, de l’infra à la sécurité, en passant par l’identité, le réseau et l’applicatif /DevOps.
Je documente tout pendant la preview, et le jour où la fonctionnalité passera en Public Preview, je la partagerai avec la communauté Doctor Kloud, d’abord ici dans la newsletter, avec un guide Step-by-Step qui présente la Feature, ce qu’elle apporte, comment la mettre en place en entreprise, un scénario Real World documenté de bout en bout.
Revenons à ce que j’ai le droit de te dire, et cette semaine, ça commence fort.
Le 21 octobre, Microsoft a attribué la compromission de ConnectWise à Storm-0940, un acteur aligné sur l'État chinois. Avec les Credentials volés d'une application multi-tenant, il a tenté de se connecter à plus de 2 250 tenants.
Là où il est entré, il a ajouté ses propres Credentials à des applications pour rester, interrogé Microsoft Graph et lu des secrets dans Key Vault. La porte d'entrée était une application que ses victimes avaient elles-mêmes autorisée.
Ta prochaine enquête d'identité commencera peut-être par un Application ID, et pas par un nom d'utilisateur.
3 choses à retenir cette semaine :
Storm-0940 passe par les applications multi-tenant. Microsoft demande de revoir tes journaux Entra depuis au moins le 15 octobre.
Les API PIM Iteration 2 cessent de répondre demain. Tes scripts PIM en beta doivent passer à l'Iteration 3.
Tu peux choisir ton opérateur SMS à partir de vendredi. Microsoft arrête ses propres SMS et appels vocaux MFA le 1er février 2027.
🔴 À traiter maintenant
Ouvre tes journaux Entra avant tout : Storm-0940 vise les apps multi-tenant, et les API PIM tombent demain.
Storm-0940 a visé plus de 2 250 tenants avec une application de confiance
Ce qui change : Microsoft attribue la compromission de ConnectWise à Storm-0940. Avec les Credentials d'une application multi-tenant ConnectWise, l'acteur a tenté de se connecter à plus de 2 250 tenants, puis a fait de la reconnaissance Microsoft Graph, ajouté des Credentials à des applications et lu des secrets dans Key Vault.
Risque : Un Credential ajouté à une application reste une porte dérobée, même après la neutralisation de l'application d'origine. Microsoft précise qu'aucune faille de ses produits n'est en cause.
Action : Garde les applications ConnectWise désactivées jusqu'aux instructions de l'éditeur, et conserve les preuves avant de supprimer quoi que ce soit. Revois tes Sign-In Logs et Audit Logs Entra depuis au moins le 15 octobre, en cherchant par Application ID les ajouts de Credentials, les App Role Assignments et les consentements. Fais tourner les Credentials là où l'activité suspecte est confirmée.
Deadline : maintenant, Microsoft demande de conserver les journaux avant tout nettoyage.
Les API PIM Iteration 2 cessent de répondre demain
Ce qui change : Le 28 octobre, l'API PIM Iteration 2 (beta) pour les Azure Resources et les rôles Entra cesse de renvoyer des données. Le Message Center inclut aussi les Groups dans ce retrait.
Risque : Un script ou un outil qui appelle encore governanceRoleAssignmentRequest, governanceRoleAssignments ou governanceRoleSettings ne reçoit plus rien. Tes activations et tes revues automatisées s'arrêtent avec lui.
Action : Cherche ces appels dans tes scripts et tes outils. Pour les Azure Resources, passe aux API Azure Resource Manager (Role Eligibility Schedule Requests) ; pour les rôles Entra, à l'API PIM Iteration 3.
Deadline : mercredi 28 octobre, J-1.
Choose Your Own Telephony : ton opérateur SMS se choisit à partir de vendredi
Ce qui change : Le 30 octobre, Entra ouvre en GA le choix d'un Telephony Provider tiers pour les SMS et appels vocaux MFA, via le Microsoft Security Store.
Risque : Le 1er février 2027, les SMS et appels vocaux MFA fournis par Microsoft s'arrêtent pour tous, Internal Guests compris, sauf les Global Administrators et les externes, qui suivent le 1er juillet 2027. Un utilisateur qui n'a que SMS ou voix devra alors enregistrer une Passkey, et ce prompt bloque la connexion, sauf si un Telephony Provider est configuré.
Action : Compte les utilisateurs dont la seule méthode MFA est SMS ou voix. Décide pour chaque population : Passkeys, ou Telephony Provider à configurer dans le Security Store.
Deadline : vendredi 30 octobre pour l'ouverture, 1er février 2027 pour la coupure.
Prochaines échéances
Date | Quoi | J-N |
|---|---|---|
Semaine du 28 oct. | La Managed Policy « Require remediation for high-risk users » passe automatiquement à On | ~J-1 |
28 oct. | Les API PIM Iteration 2 cessent de renvoyer des données | J-1 |
30 oct. | Entra ouvre le choix d'un Telephony Provider pour les SMS et appels vocaux MFA | J-3 |
Fin oct. | Les Passkeys s'ouvrent aux Internal Guests, et Defender for Identity commence à activer son Sensor v3 par défaut | ~J-4 |
3 nov. | Les Dynamic Groups et Dynamic Administrative Units basés sur memberOf cessent de se mettre à jour | J-7 |
4 nov. | Tous tes utilisateurs peuvent créer des Agent Blueprints, sauf si tu coupes le réglage | J-8 |
Début nov. | SSPR n'accepte plus les coordonnées issues de l'annuaire, à une date que Microsoft donne entre le 6 et le 9 novembre | ~J-10 |
10 nov. | Microsoft publie le Patch Tuesday de novembre, et Windows 11 23H2 Enterprise et Education reçoivent leur dernière mise à jour | J-14 |
19 nov. | Foundry retire o1, o3, o3-mini et o4-mini | J-23 |
1er févr. 2027 | Les SMS et appels vocaux MFA fournis par Microsoft s'arrêtent pour tous, sauf les Global Administrators et les externes | J-97 |
⚡ Ce qui brûle : 3 sujets cette semaine
ID Protection signale désormais les Credentials ajoutés aux applications
Depuis le 21 octobre, Learn documente une nouvelle Risk Detection d'ID Protection, Suspicious Credential Addition, calculée en temps réel. Elle relève le User Risk et demande Entra ID P2. Ajouter un Credential à une application existante est exactement la technique que Microsoft décrit chez Storm-0940 pour rester dans un tenant.
LiteLLM 1.107.0 vole tes Credentials Cloud au démarrage de Python
Le 21 octobre, une version compromise de LiteLLM 1.107.0 a été publiée sur PyPI et dans les images conteneur officielles. 2 fichiers, cook.pth et sitecustomize.py, s'exécutent au démarrage de Python et volent les Credentials Azure CLI, AWS, GCP, Kubernetes, SSH et CI/CD. Microsoft prévient que retirer le paquet ou le tag ne suffit pas à s'en remettre. Si une de tes équipes IA a installé cette version, que reste-t-il à nettoyer ?
La souveraineté Microsoft descend sur Azure Local
Le 20 octobre, Microsoft a détaillé ses annonces de souveraineté : les Confidential VMs sur Azure Local passent en GA, DocumentDB et Blob Storage sur Azure Local en Public Preview, comme la transition d'un Sovereign Private Cloud du mode connecté au mode déconnecté. Data Guardian se déploie pour l'Union européenne et l'AELE, et le Sovereign Control Panel arrivera en Preview à Ignite. Si ta direction te demande un plan souverain, la liste des briques disponibles a changé ce mois-ci.
🔍 Actualités “On-Prem & Hybrid”
⭐ Windows Server & AD
La faille NLB d'août voit son score baisser à 8.8
Microsoft a révisé le 23 octobre la fiche de CVE-2026-83862 (Network Load Balancing) : le vecteur passe de réseau à réseau adjacent, et le score de 9.8 à 8.8. Un attaquant doit désormais être sur le même segment que ton cluster NLB, ce qui change ta priorisation.
Microsoft Exchange
Le problème Exchange lié à l'Endpoint Mapper n'a toujours pas de correctif
Au 25 octobre, Windows release health affiche toujours le statut Mitigated, avec « We are investigating » comme seule suite annoncée. Garde le Workaround EpmapSavedContextCap en place sur tes serveurs Exchange tant qu'aucune mise à jour ne le remplace. (Windows release health)
SharePoint Server
3 failles SharePoint changent de périmètre
Microsoft a révisé les 20 et 21 octobre les fiches de CVE-2026-66805 et CVE-2026-69943, qui ne touchent plus SharePoint 2016 et 2019, et de CVE-2026-97783, qui ajoute SharePoint 2016. Si ton inventaire de vulnérabilités repose sur ces fiches, relance-le.
SQL Server
SQL Server 2025 passe en CU10
La CU10 (KB5125471, build 17.0.5035.5) apporte des correctifs de sécurité pour PolyBase, VDI et SQLSatellite, sans CVE nommée. Microsoft liste 2 Known Issues, dont une Access Violation sur sys.dm_exec_requests pendant un Recovery, contournée par le Trace Flag 4696. (Microsoft Support)
🔍 Actualités “Azure”
⭐ Entra ID
Un admin ne peut pas annuler une désactivation faite par Microsoft
Learn précise depuis le 21 octobre que réactiver la connexion ou l'App Registration ne lève pas un Microsoft Disablement. Une nouvelle page de dépannage aide à repérer les Credentials révoqués par Microsoft, avec les codes AADSTS700027 et AADSTS7005003 à 7005006. (Microsoft Learn)
Azure Files passe par le Kerberos de Platform SSO sur macOS, en Public Preview
Un Mac sous Platform SSO peut monter un partage Azure Files avec son TGT Kerberos, désormais en Public Preview. L'Identifier URI de l'App Registration du compte de stockage doit utiliser le préfixe cifs en minuscules, sinon le Mac ne monte pas le partage. (Microsoft Learn)
Le provisioning expose ses Object Connections dans Graph, en Preview
Une nouvelle page documente la gestion des Provisioning Object Connections par Microsoft Graph, en Preview. La fonction n'existe que sur l'endpoint beta, donc garde-la hors de tes scripts de production. (Microsoft Learn)
Désactiver un Agent Blueprint dans tous les Tenants casse les agents liés
Learn prévient depuis le 23 octobre qu'un Blueprint désactivé « in all tenants » peut faire échouer les agents qui en dépendent dans les autres Tenants. Vérifie qui utilise un Blueprint avant de le couper.
Authenticator s'améliore sur iOS et Android jusqu'en novembre
Les améliorations d'ergonomie arrivent d'octobre à novembre, et la restauration des comptes Push et Passwordless sur Android est prévue en janvier 2027. Aucune action n'est requise.
⭐ Security
Defender for Cloud gère ses plans et l'Onboarding serveur depuis le portail Defender, en Preview
Depuis le 20 octobre, Expanded Server Onboarding et Cloud Security Plan Management sont en Public Preview dans le portail Defender. Defender for Cloud abandonnera aussi le 14 décembre la recommandation « Machines should have a vulnerability assessment solution ». (Microsoft Learn)
Defender for Office 365 déplace un mail en quarantaine depuis l'enquête
Une nouvelle action de remédiation met un message en quarantaine avec la raison « Admin triggered », de début novembre à mi-décembre, pour les clients Plan 2. Ton SOC peut contenir un mail sans le supprimer.
Les rôles App Governance de Defender for Cloud Apps changent fin novembre
Le changement passe à mi-novembre jusqu'à fin novembre, au lieu d'octobre, et le Compliance Administrator perd la gestion des Policies App Governance. Vérifie qui gère tes Policies avant la bascule.
⭐ Networking
Une Route Table peut désactiver les routes de VNet Peering, en Preview
La nouvelle capacité retire les routes de Peering système des sous-réseaux associés à la Route Table. Tu reprends la main sur le chemin du trafic entre VNet appairés. (Azure Updates)
Application Gateway termine le TLS sans exporter la clé, en GA
Keyless TLS garde la clé privée dans Key Vault Managed HSM, sans jamais l'exporter vers la passerelle. Ton certificat le plus sensible ne quitte plus le HSM. (Azure Updates)
Le WAF de Front Door Premium filtre par Service Tag, en GA
Les règles personnalisées du WAF acceptent désormais une condition Service Tag. Tu peux autoriser ou bloquer un service Azure entier sans maintenir de liste d'IP. (Azure Updates)
Azure DNS se relie directement à Traffic Manager, en GA
Un enregistrement Azure DNS se lie à un profil Traffic Manager, sans passer par un CNAME. Ton Load Balancing DNS se configure depuis ta zone. (Azure Updates)
⭐ Virtual App & Desktop
AVD ajoute les Context-Based Redirections aux RemoteApp, en Preview
La section d'octobre de Learn annonce le support des Context-Based Redirections pour les RemoteApp, en Preview. Si tu publies des RemoteApp, c'est la nouveauté AVD du mois à tester. (Microsoft Learn)
RDP Multipath et Shortpath avec TURN passent en GA dans Azure Government
Windows 365 et AVD ouvrent en GA RDP Multipath et RDP Shortpath avec TURN Relay dans Azure Government, sur la plage 20.140.236.0/22 en UDP 3478. Si tu gères un Tenant Gov, ouvre ces flux. (Microsoft Learn)
Supervision
Azure Monitor passe en GA ses Advanced Platform Metrics et ses Metrics Usage Insights
Les Advanced Platform Metrics sont en GA, comme les Metrics Usage Insights du Monitor Workspace, qui repèrent les métriques inutilisées. Tu repères les métriques que personne ne lit. (Azure Updates)
Storage
ADLS accélère ses lectures avec ABFS Vectored Read, en GA
ABFS Vectored Read regroupe des plages de lecture proches en moins de requêtes, avec des lectures asynchrones. Tes traitements analytiques sur Data Lake font moins d'allers-retours. (Azure Updates)
Backup & Resilience
Azure Backup restaure des fichiers depuis les disques Premium SSD v2 et Ultra, en GA
L'Item-Level Recovery arrive pour les VM sur Premium SSD v2 et Ultra Disks. Tu n'as plus à restaurer tout le disque pour récupérer un fichier. (Azure Updates)
Databases
Cosmos DB montre quand chaque clé a servi pour la dernière fois, en GA
Safe Key Rotation affiche l'horodatage de la dernière utilisation de chaque clé de compte. Tu sais avant la rotation si une application dépend encore de la clé. (Azure Updates)
Le Query Editor d'Azure SQL Database est annoncé en GA, en octobre comme en septembre
Le blog Azure SQL annonce le 22 octobre la GA du Modern Query Editor, alors que la page What's new de Learn classe déjà le Query Editor du portail en GA en septembre 2026. Microsoft ne dit pas si ce sont 2 éditeurs différents. (Azure SQL Blog)
Le Managed Instance Link fonctionne avec les Failover Groups, en Limited Preview
Microsoft ouvre une Limited Preview du Managed Instance Link avec les Failover Groups et cherche des clients pour la tester. Ton DR hybride SQL Server vers Managed Instance peut s'y inscrire. (Azure SQL Blog)
DevOps
Azure DevOps corrige le code et les dépendances avec Agentic Autofix, en Limited Preview
Agentic Autofix est en Limited Public Preview pour les organisations inscrites, avec une Public Preview prévue en novembre, et chaque correctif consomme des AI Credits. Le plugin Azure DevOps arrive aussi dans Microsoft Copilot, sans Azure DevOps Server. (Azure DevOps Blog)
🔍 Actualités “M365 & Modern Workplace”
M365 Apps
Les M365 Apps réparent leurs mises à jour depuis l'inventaire
Update Repair in Inventory passe en Preview en octobre et en GA en novembre, à partir de la build 16.0.20326.20000. Publisher disparaît aussi des postes avec la version 2611, mi-novembre en Current Channel.
M365 Platform
Copilot facture à l'usage GPT-6 Astra et Claude Fable 5.1
Les modèles UBB arrivent en GA dans Copilot Chat, Word, Excel et PowerPoint via le sélecteur de modèles, de début à mi-novembre. Critique et Council sont retirés d'ici mi-novembre.
Les Federated Connectors appliquent les Allowed Agent Types à tous dès le 30 octobre
Microsoft a mis à jour le calendrier le 23 octobre : le réglage « Allowed agent types » s'applique à tous les Tenants à partir du 30 octobre. Vérifie ce réglage avant la fin de semaine.
Exchange Online
Microsoft publie la marche à suivre quand une app EWS cesse de marcher
Le billet du 21 octobre explique comment débloquer temporairement une application EWS bloquée, jusqu'en avril 2027. Le Calendar Sharing d'EWS bascule le 30 octobre, et le déploiement Gov est en pause. (Exchange Team Blog)
Le Change Optics Report d'Exchange Online passe en GA
L'équipe Exchange annonce le 19 octobre la GA du Change Optics Report. Outlook Mobile ajoute aussi une bannière quand tu invites des destinataires externes, de fin octobre à fin novembre. (Exchange Team Blog)
Copilot Prioritize disparaît d'Outlook à partir du 26 octobre
Le retrait commence le 26 octobre et se termine d'ici fin mars 2027. Préviens les utilisateurs qui triaient leur boîte avec.
SharePoint Online
OneDrive retire les actions Copilot du menu de l'Explorateur
Summarize, Create FAQ, Compare Files et Extract Text disparaissent du menu contextuel de l'Explorateur de mi-novembre à début décembre. Le bouton Create or Upload de OneDrive change aussi de place.
Teams
Teams détecte le Phishing dans les messages
La détection arrive en Targeted Release début novembre et en GA de début à mi-décembre. L'ancienne app GitHub de Teams est aussi dépréciée le 16 novembre au profit de l'app consolidée.
Teams ajoute l'Intelligent Call Delegation et un Onboarding Workflow
L'Intelligent Call Delegation passe en Preview mi-novembre puis en GA en janvier 2027, et un workflow d'accueil des nouveaux membres arrive en GA en décembre. L'option qui désactive IntelliFrame pour les participants en ligne est retirée à partir de fin novembre.
Intune /Endpoint
Intune lève la limite de licences des apps Apple VPP
Les apps Apple VPP sur iOS, iPadOS et macOS profitent de licences illimitées. Ton suivi de licences VPP se simplifie. (Microsoft Learn)
Purview /Compliance
eDiscovery ajoute des diagnostics intégrés
La Preview démarre fin octobre et la GA Worldwide arrive début décembre. Purview DLM porte aussi l'archive auto-extensible de 1,5 à 3 To pour les clouds GCC, GCC High et DoD.
🔍 Actualités “Data, IA et ML”
Data & Analytics
Les Fabric Data Agents passent en GA sur NL2SQL et DAX avancés
Advanced NL2SQL et Advanced DAX Generation sont en GA, avec un déploiement sur le runtime standard du 2 au 10 novembre. Le Custom Tool Fabric Data Agent dans Foundry ne sera plus supporté le 6 novembre, remplacé par Fabric IQ en Preview. (Microsoft Fabric Blog)
Fabric Warehouse ajoute QUALIFY, GROUP BY ALL et la migration Teradata, en Preview
Le Warehouse gagne en Preview 4 extensions T-SQL, de nouvelles fonctions analytiques et la migration incrémentale, et Migration Assistant accepte Teradata. Eventstreams devient Schema-Aware en Preview. (Microsoft Fabric Blog)
Database Hub arrive dans Fabric, activé par défaut le 17 novembre
Database Hub est en Public Preview, avec des alertes Azure SQL Database en Preview, et sera activé par défaut le 17 novembre avec un Opt-Out dans les Tenant Settings. Décide avant si tu le veux. (Azure SQL Blog)
Azure Databricks ingère tes données Entra ID, en Beta
Le connecteur Microsoft Entra ID de Lakeflow Connect ingère utilisateurs, groupes, applications, Service Principals, rôles et journaux d'audit et de connexion, en Beta. Les System Tables Lakeflow et les tâches Genie Code passent aussi en GA. (Azure Databricks)
IA & Machine Learning
Le Browser Automation Tool de Foundry passe en GA
L'outil d'automatisation du navigateur est en GA, mais le workflow de protection des traces reste en Preview. Un agent qui clique dans un navigateur est désormais supporté en production. (Microsoft Foundry Blog)
La Decisions API est annoncée en GA, Learn ne dit rien du statut
Le blog Foundry annonce le 23 octobre la GA de la Decisions API d'Azure OpenAI, alors que la page Learn mise à jour le même jour parle d'un déploiement par région, East US 2 exclu, avec gpt-6-luna comme seul modèle. Cohere Rerank V5 et MAI-Code-1.1-Flash arrivent aussi dans Foundry. (Microsoft Foundry Blog)
Foundry retire o1, o3, o3-mini et o4-mini le 19 novembre
Le calendrier de retrait prévoit le 19 novembre la fin de o1, o1-pro, o3, o3-pro, o3-deep-research, o3-mini, o4-mini et Llama-4-Maverick. Tes déploiements basés sur ces modèles doivent migrer avant. (Microsoft Learn)
🤔 Ce qu'on ignore cette semaine
Le 19 octobre, Microsoft a présenté Dynamic Permissions, Dynamic Agent Risk et un Conditional Access dynamique pour les agents, sans statut ni date : on en reparlera quand on pourra les activer. Azure Copilot arrive sur Azure Local, sans statut non plus. Teams repousse encore la visibilité des présentateurs, désormais attendue fin octobre, et les notifications fines de canal, décalées à novembre. Copilot Code entre en Frontier, Projects arrive dans Cowork, et Clipchamp gagne un contrôle admin pour ses vidéos IA. Les Fabric Eventstreams publient leur bilan du trimestre. Microsoft a publié le 22 octobre 6 CVE sur ses services Cloud, dont une notée 10.0 sur Entra Application Proxy, et j'attends leurs fiches complètes pour te dire si tu dois agir.
La commande “Az CLI” de la semaine !
Compter les secrets et certificats portés par tes App Registrations
Storm-0940 a ajouté des Credentials à des applications existantes pour rester dans les tenants. Commence par voir quelles App Registrations portent des secrets ou des certificats.
az ad app list --all \
--query "[].{App:displayName, AppId:appId, Secrets:length(passwordCredentials), Certs:length(keyCredentials)}" \
-o tableCe que la commande retourne :
Le nom de chaque App Registration
Son Application ID, pour croiser avec tes journaux
Le nombre de secrets et de certificats qu'elle porte
Lecture seule, aucun effet de bord. Elle ne couvre pas les Credentials posés directement sur les Service Principals : ceux-là se cherchent dans les Audit Logs Entra.
Mème de la semaine !
Tu es arrivé au bout de ta prescription, sans effets secondaires 😄
Si cette dose hebdo t'a été utile, Forwarde-la à un collègue qui pilote du Microsoft sérieux. La communauté Doctor Kloud grandit grâce à toi 💙
Hicham
🩺WhoAmI.exe
🚀 Envie de pratiquer Azure sur une infra réelle ? Voir les 200 Labs Azure
📕 Echo “Mon dernier livre” > Préparer et réussir AZ-104
📅 Un projet Microsoft dans le pipe ? Tu peux réserver un appel de cadrage avec moi
