Le Patch Tuesday de septembre de Microsoft a cassé le Bureau à distance, et le correctif est arrivé six jours plus tard

Le Patch Tuesday de septembre 2026 de Microsoft a été la plus vaste livraison de sécurité de l'histoire de l'entreprise. Ce fut aussi l'une des plus chaotiques. Quelques heures après l'installation des mises à jour le 8 septembre, des administrateurs gérant des hôtes Remote Desktop Services ont vu leurs serveurs de session cesser d'accepter les connexions, et il a fallu attendre le 14 septembre pour que Microsoft publie des correctifs d'urgence hors cycle qui rétablissent la situation.

À lire aussi: Project Zenith de Microsoft veut rendre Windows « prêt à coder ». Les développeurs ne sont pas convaincus · L'action ServiceNow a perdu 27 % quand la peur de l'IA a gagné le logiciel.

Les builds serveur concernés étaient KB5122876 pour Windows Server 2019, KB5122882 pour Windows Server 2022 et KB5122871 pour Windows Server 2025. Le tableau de bord de santé des versions de Microsoft décrit la panne dans les termes que les administrateurs employaient depuis des jours : RDS pouvait devenir instable, les connexions RDP échouaient après plusieurs minutes, les connexions utilisateur se rompaient, et les serveurs restaient bloqués sur le message devenu le raccourci de tout l'incident, « Veuillez patienter pendant la configuration du Bureau à distance ».

Les dégâts collatéraux ne se limitaient pas à RDP. La console de gestion Microsoft, le diagnostic de licence RDS, l'Explorateur de fichiers et même la page Windows Update pouvaient tous cesser de répondre. Quand les outils qui servent à diagnostiquer un serveur défaillant cessent eux aussi de répondre, un mauvais correctif cesse d'être une gêne pour devenir une panne.

Une panne qui a attendu quelques heures

C'est le timing qui a rendu l'affaire pénible. La mise à jour n'a pas cassé les serveurs à l'installation. Les hôtes redémarraient, les utilisateurs se connectaient, et un test de fumée post-correctif de routine aurait réussi. Les ennuis sont apparus plus tard, une fois les sessions ayant vécu un moment et les gens commençant à se déconnecter.

Les signalements recueillis par BleepingComputer et d'autres décrivaient une séquence cohérente. Les nouvelles connexions RDP se bloquaient pendant la phase de connexion puis échouaient. Les utilisateurs déjà connectés ne pouvaient pas se déconnecter proprement. Plusieurs administrateurs ont indiqué qu'un redémarrage ordinaire ne réglait pas le défaut et que seul un arrêt forcé rétablissait le service. Certains hôtes auraient échoué précisément après la déconnexion du premier utilisateur.

L'explication la plus répandue chez les administrateurs était un blocage entre le service RDP et le Local Session Manager, déclenché à la déconnexion. Cette analyse provient du débogage d'un administrateur sur un seul hôte Server 2022, et Microsoft ne l'a pas confirmée comme cause première. Il faut la traiter comme une hypothèse de travail plutôt qu'un résultat, mais elle correspond au schéma observé d'un service qui se coince dès que les sessions commencent à se démonter.

Pourquoi les organisations très dépendantes de RDS l'ont ressenti en premier

Un spouleur d'impression cassé embête un service. Un hôte de session RDS cassé arrête le travail de tous ceux qui en dépendent, et la chaîne de dépendances est longue.

RDS est le moyen standard par lequel de nombreuses organisations livrent des applications Windows aux agences, aux prestataires, aux centres d'appels et au personnel à distance. Un seul hôte de session peut porter des dizaines ou des centaines d'utilisateurs simultanés, et les serveurs eux-mêmes sont souvent administrés via le même chemin RDP qui vient de tomber. Cette combinaison crée une boucle de rétroaction : l'accès distant dont dépendent les utilisateurs est hors service, et l'accès distant qu'utilisent les administrateurs pour le réparer l'est aussi.

• Les hôtes de session, les serveurs rebonds et les systèmes adjacents à la passerelle ont le rayon d'impact le plus large, car ce sont des infrastructures partagées, et non le bureau d'une personne.
• Les parcs de bureaux hébergés et de bureaux virtuels bâtis sur RDS ou des VDA Citrix héritent du défaut sur chaque application publiée.
• Les serveurs gérés uniquement via RDP, sans console ni voie de gestion hors bande, peuvent devenir difficiles à atteindre une fois le service coincé.

Il y a aussi un piège de planification. Le Patch Tuesday tombe dans la même fenêtre de maintenance chaque mois, et la plupart des équipes corrigent selon une cadence. Quand un défaut a besoin de plusieurs heures d'activité utilisateur pour apparaître, et que votre fenêtre de retour arrière se ferme avant, vous l'apprenez en production.

Le compromis de sécurité que personne ne voulait

L'ironie de la livraison de septembre tient à la masse de travail de sécurité qu'elle portait. Le Security Response Center de Microsoft a compté 974 CVE dans la livraison, un record, tandis que des observateurs tiers comme Talos, Rapid7, Ivanti, Tenable et CrowdStrike rapportaient des totaux allant de 964 à 973 selon leur façon de compter les failles Microsoft, tierces et Chromium. À tout point de vue, c'était le plus gros lot publié en une journée par l'entreprise.

Deux de ces failles étaient déjà exploitées en conditions réelles. CVE-2026-81963 est une élévation de privilèges dans la pile Windows Update, notée 7,8, issue d'une résolution de lien incorrecte. CVE-2026-85880 est un débordement de tampon basé sur le tas dans Windows Advanced Local Procedure Call, également noté 7,8, qui permet à un attaquant local peu privilégié de s'échapper d'un bac à sable AppContainer et d'atteindre SYSTEM. La CISA a ajouté les deux à son catalogue des vulnérabilités exploitées connues le 8 septembre, avec une échéance de remédiation au 22 septembre pour les agences fédérales américaines.

Vient ensuite celle qui a rendu la panne RDS vraiment inconfortable. CVE-2026-69525 est une faille d'exécution de code à distance de type use-after-free dans Remote Desktop Services, notée CVSS 9,8, au sein d'un service souvent exposé à l'intérieur des réseaux d'entreprise. Microsoft l'a signalée comme plus susceptible d'être exploitée.

Cela a créé un choix sans bonne réponse. Le retour arrière de la mise à jour cumulative de septembre rétablissait le Bureau à distance, comme les administrateurs l'ont vite découvert. Il supprimait aussi les correctifs des deux zero-days exploités et de la faille RDS notée 9,8, sur le service même qui venait d'être déstabilisé. Certaines équipes ont accepté ce compromis. D'autres ont attendu.

La réponse de Microsoft : revenir en arrière sans revenir en arrière

Avant l'arrivée des mises à jour hors cycle, l'atténuation prise en charge par Microsoft était un Known Issue Rollback, un mécanisme qui désactive la modification non liée à la sécurité responsable d'une régression tout en laissant installés les correctifs de sécurité du mois. IT-Connect et d'autres médias ont documenté des packages de stratégie de groupe distribués via le centre d'administration Microsoft 365 plutôt que par les pages KB publiques, ce qui signifie qu'une partie de l'existence du correctif a circulé de bouche à oreille avant que Microsoft ne la publie largement.

Le détail contre-intuitif, répété dans tous les articles, est que la stratégie doit être définie sur Désactivé pour activer le retour arrière, et que l'appareil doit être redémarré. La définir sur Activé laisse le comportement défectueux en place.

« Dans certains environnements, RDS peut devenir instable, entraînant l'échec des connexions RDP après plusieurs minutes, des problèmes de connexion utilisateur ou des serveurs bloqués sur “Veuillez patienter pendant la configuration du Bureau à distance”. » — Microsoft Windows release health

Ce qui a été publié le 14 septembre

Six jours après le Patch Tuesday, Microsoft a publié des packages cumulatifs d'urgence hors cycle. Chacun étant cumulatif, une machine qui n'a jamais pris le rollup du 8 septembre peut l'installer directement et recevoir malgré tout le contenu de sécurité du mois. Cela signifie aussi qu'un administrateur ayant fait un retour arrière peut restaurer les correctifs de sécurité et la réparation RDS en une seule étape.

Les packages, vérifiés sur les pages de support de Microsoft et l'avis CTX697101 de Citrix, sont :

• Windows 11 26H1 : KB5129194, build 28000.2956
• Windows 11 24H2 et 25H2 : KB5129195, builds 26100.9457 et 26200.9457
• Correctif à chaud Windows 11 24H2 et 25H2 : KB5129241
• Windows 11 23H2 : KB5129242
• Windows 10 21H2 et 22H2 : KB5129236, builds 19044.7727 et 19045.7727
• Windows Server 2025 : KB5129235, build 26100.33451
• Windows Server 2022 : KB5129237, build 20348.5631
• Windows Server 2019 et Windows 10 Enterprise LTSC 2019 : KB5129238
• Windows Server 2016 et Windows 10 LTSB 2016 : KB5129239
• Windows Server 2012 R2 et Server 2012 (ESU) : KB5129243 et KB5129244

Un détail mérite correction, car il a beaucoup circulé dans les premiers jours : il existe bien un correctif propre à Server 2019. KB5129238 existe, et la fiche de santé des versions de Microsoft pour la branche Windows 10 1809 et Server 2019 indique désormais le problème RDS comme Résolu par ce correctif. Les premiers articles sur la mise à jour d'urgence, qui ne listaient que les packages Server 2022 et Server 2025, ont été corrigés pour ajouter Server 2019 après que des lecteurs ont signalé l'omission.

Les mises à jour hors cycle ont aussi réparé une seconde régression restée enfouie sous le bruit du RDS : les applications partageant des dossiers hôtes Windows avec des machines virtuelles Linux via le fournisseur Plan9 de Hyper-V pouvaient trouver les dossiers partagés manquants ou inaccessibles. Les packages Windows 11 règlent aussi ce point.

La gueule de bois audio

Tout n'est pas réglé. Les mêmes mises à jour du 8 septembre ont cassé les appareils utilisant USB Audio Class 1.0, qui ne démarraient pas avec une erreur Code 10 dans le Gestionnaire de périphériques, ne produisaient aucun son et laissaient les contrôles de volume et les paramètres audio sans réponse.

Les mises à jour hors cycle n'en corrigent qu'une partie. Les notes de version KB5129237 de Microsoft listent une réparation pour les appareils qui fonctionnaient en stéréo standard mais échouaient dans des configurations multicanal telles que les modes 8 canaux ou audio 3D, puis ajoutent un problème connu distinct indiquant clairement que les autres symptômes audio ne sont pas résolus. Les appareils affichant Code 10, aucune sortie ou des contrôles de volume morts restent touchés.

Pas un incident isolé

La régression de septembre est la dernière entrée d'une longue liste d'effets secondaires du Patch Tuesday. BleepingComputer notait que Microsoft avait corrigé un problème connu similaire en mars 2025, qui provoquait des échecs de connexion au Bureau à distance et à RDS après les mises à jour publiées depuis janvier 2025. Les mois récents ont aussi apporté des régressions de Windows Update affectant l'impression et l'export PDF dans certaines applications, ainsi que des invites de Corbeille défectueuses, chacune exigeant son propre correctif.

Le schéma compte plus que tel ou tel incident. Microsoft attribue à la découverte de vulnérabilités assistée par IA la flambée des failles signalées, qui a propulsé la livraison de septembre au-delà de tout ce que l'entreprise avait publié auparavant. Publier plus de correctifs, plus vite, sur davantage de chemins de code augmente la probabilité que l'un d'eux modifie un comportement que personne n'a testé. La pression commerciale joue aussi dans l'autre sens : une fois une faille publique et parfois déjà exploitée, retenir une mise à jour a son propre coût.

Pour les équipes en bout de chaîne, la leçon est opérationnelle plutôt que technique. Un correctif qui passe un test rapide n'a pas été testé. Les hôtes de session RDS et tout ce qui partage leur sort méritent un déploiement progressif, une procédure de retour arrière documentée et une voie de gestion hors bande qui ne passe pas par le service en cours de correction. Et quand la mise à jour qui a tout cassé est aussi celle qui corrigeait une faille d'exécution de code à distance notée 9,8, la décision de retenir ou d'annuler exige un contrôle compensatoire plutôt qu'un simple ticket de maintenance.

Microsoft n'a pas dit si les correctifs de septembre seront intégrés à un rollup mensuel révisé ou laissés au Patch Tuesday d'octobre. D'ici là, la lecture la plus sûre des pages de santé des versions se fait branche par branche : la plupart sont Résolues, les entrées audio USB ne le sont pas.

Image de couverture : photo d'une salle de serveurs par Carl Lender, CC BY 2.0, via Wikimedia Commons.