Microsoft a juré qu'il n'y avait aucun zero-day à son Patch Tuesday du 12 mai. 48 heures plus tard, un zero-day Exchange exploité tombait. Cette semaine, trois de plus. Voilà ce qu'il faut lire entre les lignes :

Le reste, c'est du tri. On y va.

Trois urgences cette semaine, et cette fois, ce ne sont pas des deadlines de migration confortables : ce sont des failles activement exploitées ou avec PoC public, dont deux sans patch. Si tu fais une seule chose après cette édition, fais celle-ci :

Nightmare-Eclipse : 6 zero-days en 6 semaines, et une rancune contre Microsoft

Mon avis : c'est le sujet de fond de la semaine, pas juste trois patchs à poser. RedSun, UnDefend et YellowKey viennent d'un seul chercheur — Nightmare-Eclipse — qui balance des zero-days sur le cœur de la sécurité Windows en représailles contre le MSRC, 6 en 6 semaines. Le problème n'est pas la vitesse de patch : ce sont précisément Defender et BitLocker, tes dernières lignes, qu'il sait éteindre ou contourner. Alors quand ta défense repose sur l'endpoint que l'attaquant désactive d'un clic, sur quoi tu t'appuies vraiment ?👉 En savoir plus

Azure Files Entra-Only en GA : ton File Server SMB peut désormais vivre sans AD

Au milieu du feu sécurité, Microsoft a fait passer un cap discret mais lourd : Azure Files en GA permet du SMB Kerberos en Entra ID pur, sans aucun contrôleur de domaine. Pendant des années, le SMB t'a cloué à ton AD on-prem — c'était LA dépendance qu'on n'arrivait pas à couper, et elle devient optionnelle. Et ce n'est pas isolé : le 1er juin, Entra bloque le hard-match des objets à rôles — Microsoft pousse l'identité hors de ton datacenter des deux mains. La vraie question n'est plus de savoir si c'est possible, mais : qu'est-ce qui te retient encore sur ton AD, exactement ? 👉 Consulter l’article détaillé

Le Hotpatch Windows Server 2025 via Arc devient gratuit, mais attention …

Microsoft vient de retirer le péage de 1,50 $/cœur/mois posé sur le hotpatch en juillet 2025, gratuit depuis le 19 mai. Mon avis : ce n'est pas de la générosité. La gratuité ne marche qu'à une condition — ton serveur rattaché à Azure Arc — et c'est exactement là que Microsoft se rembourse, largement. La seule vraie question : ce qu'il récupère en échange de tes reboots économisés, es-tu prêt à le lui donner ? 👉 En savoir plus

Plusieurs RCE SharePoint Server critiques (CVE-2026-40365 en tête, KB5002870 pour 2019) flaggées « Exploitation More Likely », plus un Netlogon RCE (CVE-2026-41089) côté DC. Si tes fermes et tes contrôleurs ne sont pas à jour, la fenêtre d'exposition est ouverte. 👉 Consulter la suite

Le HU6 (KB5081755) ajoute le support Microsoft Graph pour la coexistence hybride (free/busy, photos, MailTips), en remplacement d'EWS — étape à finaliser avant le soft-block d'EWS Online le 1er octobre 2026. 👉 Explorer davantage

Fin de la dépréciation depuis le 18 mai. Si tu avais encore des webhooks entrants qui poussaient des notifs dans des canaux, ils sont morts — bascule vers Workflows.

AI Charts web part (graphiques par prompt) et AI Citations Analytics (combien tes docs sont cités par Copilot) en rollout mi-mai.

La segmentation des pools d'adresses IP P2S par groupe utilisateur Entra ID passe en GA. Les connexions P2S peuvent désormais assigner des plages IP différentes selon le groupe d'appartenance Entra — utile pour les architectures Zero Trust hub-spoke qui ont besoin de politiques réseau différenciées par équipe sans multiplier les gateways. En savoir plus

Les tunnels VPN S2S peuvent désormais utiliser des certificats pour l'authentification à la place des Pre-Shared Keys. Renforce la posture Zero Trust sur les connexions hybrides et élimine la gestion manuelle des PSK qui représentent un vecteur de fuite de credentials. En savoir plus

Microsoft relève les limites par défaut pour les NSGs et les tables de routage dans Azure VNet. Soulage les contraintes dans les architectures hub-spoke complexes où les plafonds actuels forçaient à des workarounds d'agrégation de règles. En savoir plus

Analyse l'impact d'un changement de règle NSG avant de le déployer en production. Identifie les flux qui seraient bloqués ou autorisés par la nouvelle règle sans affecter le trafic réel. Réduit le risque de coupure réseau non planifiée lors des modifications de sécurité réseau. En savoir plus

Nouveau connector Sentinel qui ingère les logs d'activité des agents Copilot et M365. Permet de créer des règles de détection, chasser les comportements anormaux et investiguer les incidents liés aux agents AI dans ton tenant. Dans le contexte de déploiements Copilot M365 croissants, c'est le premier outil de surveillance native des agents dans Sentinel — à activer dès le début du déploiement Copilot pour construire une baseline comportementale. 👉 En savoir plus

Blog rafraîchi le 18 mai : pages d'entités unifiées, multi-tenant MSSP. Jalons à noter — API « repositories » content-as-code retirées le 15 juin 2026, portail Azure le 31 mars 2027. 👉 En savoir plus

Le SSO macOS via Entra ID se configure désormais automatiquement pendant l'enrollment Intune, sans intervention de l'utilisateur final. Concrètement : les Macs rejoignent l'organisation et s'authentifient en SSO sans étape manuelle post-enrollment. Réduit la friction d'onboarding pour les flottes Mac et élimine les tickets support liés aux configurations SSO incomplètes. En savoir plus

Le token refresh Entra ID est désormais intégré nativement dans les SDKs Python, .NET et JavaScript pour Azure Database for PostgreSQL. Élimine les workarounds manuels de renouvellement de token en prod et réduit les interruptions d'accès DB liées à l'expiration de token. À intégrer dans les configurations d'authentification des apps qui n'utilisent pas encore ce pattern. En savoir plus

On le garde au radar (notre sweet spot) : AVD peut faire tourner des session hosts on-prem via Azure Arc, sur ton hyperviseur existant. 👉 En savoir plus

Monitoring des Cloud PC directement depuis Intune — connexions et santé des sessions sans quitter la console.

Argo CD, le moteur GitOps de référence, s'intègre directement dans l'expérience portail AKS. Déploiement et gestion GitOps sans sortir du portail Azure, avec synchronisation native entre les repos Git et les clusters AKS. En savoir plus

Le réseau cross-cluster transparent pour les workloads multi-cluster AKS via Fleet Manager. Permet à des services déployés sur des clusters différents de se découvrir et de communiquer sans configuration réseau manuelle complexe. En savoir plus

En preview : des règles DLP qui empêchent Copilot de traiter certains contenus, par exemple bloquer le traitement d'emails externes. Premier vrai cran de gouvernance sur ce que Copilot a le droit de lire.

Entre le hotpatch gratuit et la semaine de zero-days, tu as besoin de savoir exactement quels serveurs tu pilotes via Arc. Cette commande te sort l'inventaire en un coup d'œil.

Ce que la commande retourne :