14 avril 2026—KB5082063 (build du système d’exploitation 26100.32690)

Expiration du certificat de démarrage sécurisé Windows

Important : Les certificats de démarrage sécurisé utilisés par la plupart des appareils Windows sont configurés pour expirer à partir de juin 2026. Cela peut affecter la capacité de certains appareils personnels et professionnels à démarrer en toute sécurité s’ils ne sont pas mis à jour à temps. Pour éviter toute interruption, nous vous recommandons de consulter l’aide et de prendre des mesures pour mettre à jour les certificats à l’avance. Pour plus d’informations et pour connaître les étapes de préparation, consultez Expiration du certificat de démarrage sécurisé Windows et mises à jour de l’autorité de certification et le blog du playbook Windows Server Secure.

Symptôme

Un petit nombre d’appareils peut ne pas installer cette mise à jour avec l’un des messages d’erreur suivants :

• « Erreur d’installation - 0x800F0983 »
• « Certains fichiers de mise à jour sont manquants ou rencontrent des problèmes. Nous allons essayer de télécharger à nouveau la mise à jour ultérieurement. Code d’erreur : (0x80073712)"

Solution

Ce problème est résolu dans les KB5091157 de mise à jour hors bande.

Symptôme

Après avoir installé cette mise à jour et redémarré, les contrôleurs de domaine dans les environnements avec plusieurs domaines dans la forêt qui utilisent Privileged Access Management (PAM) peuvent rencontrer des incidents LSASS au démarrage. Par conséquent, les contrôleurs de domaine affectés peuvent redémarrer à plusieurs reprises, empêchant ainsi l’authentification et les services d’annuaire de fonctionner et rendant potentiellement le domaine indisponible.

Solution

Ce problème est résolu dans les KB5091157 de mise à jour hors bande.

Symptôme

Certains appareils présentant une configuration de stratégie de groupe BitLocker non recommandée pourraient être amenés à saisir leur clé de récupération BitLocker lors du premier redémarrage suivant l'installation de cette mise à jour.

Ce problème affecte uniquement un nombre limité de systèmes dans lesquels toutes les conditions suivantes sont remplies. Il est peu probable que ces conditions se retrouvent sur des appareils personnels non gérés par les services informatiques.

1. BitLocker est activé sur le lecteur du système d'exploitation.
2. La stratégie de groupe « Configurer le profil de validation de la plateforme TPM pour les configurations de firmware UEFI natives » est configurée, et le PCR7 est inclus dans le profil de validation (ou la clé de Registre équivalente est définie manuellement).
3. Les informations système (msinfo32.exe) indiquent que l'état de liaison PCR7 du démarrage sécurisé est « Impossible ».
4. Le certificat Windows UEFI CA 2023 est présent dans la base de données de signatures Secure Boot (DB) de l'appareil, rendant ce dernier éligible pour que le Gestionnaire de démarrage Windows signé en 2023 soit défini par défaut.
5. L'appareil n'exécute pas encore le Gestionnaire de démarrage Windows signé en 2023.

Dans ce scénario, la clé de récupération BitLocker ne doit être saisie qu'une seule fois ; les redémarrages ultérieurs ne déclencheront pas l'écran de récupération BitLocker, tant que la configuration de la stratégie de groupe demeure inchangée. Pour obtenir de l’aide sur la recherche de votre clé de récupération BitLocker, consultez l’article Rechercher votre clé de récupération BitLocker.

Il est recommandé aux entreprises d'auditer leurs stratégies de groupe BitLocker afin de vérifier l'inclusion explicite de PCR7, et de consulter msinfo32.exe pour vérifier l'état de liaison de PCR7, avant d'installer cette mise à jour. (Voir la solution de contournement ci-dessous.)

Solution de contournement

Ce problème est résolu dans KB5094125. Après avoir installé KB5094125, les appareils avec cette configuration de stratégie de groupe incompatible ne peuvent pas installer le Gestionnaire de démarrage Windows signé 2023. Si votre appareil a été affecté, l’ID d’événement 1032 s’affiche dans le journal des événements système lors de l’installation des mises à jour Windows : « Le Gestionnaire de démarrage de la mise à jour de démarrage sécurisé (2023) n’a pas été appliqué en raison d’une incompatibilité connue avec la configuration BitLocker actuelle. »

Si vous recevez l’ID d’événement 1032, Microsoft recommande vivement de supprimer la configuration stratégie de groupe avant d’installer les mises à jour afin que vous puissiez installer le Gestionnaire de démarrage Windows signé 2023 et continuer à recevoir les dernières protections de démarrage sécurisé.

Supprimer la configuration stratégie de groupe avant d’installer la mise à jour (recommandé)

1. Ouvrez l'Éditeur de stratégie de groupe (gpedit.msc) ou votre Console de gestion des stratégies de groupe.
2. Accédez à : Configuration > ordinateur Modèles d’administration > Composants Windows Lecteurs > du système d’exploitation de chiffrement > de lecteur BitLocker.
3. Définissez « Configurer le profil de validation de la plateforme TPM pour les configurations de firmware UEFI natives » sur « Non configuré ».
4. Exécutez la commande suivante sur les appareils concernés pour propager la modification de la stratégie : gpupdate /force
5. Exécutez la commande suivante pour suspendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :
6. Exécutez la commande suivante pour reprendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -enable C :
7. Cela met à jour les liaisons BitLocker pour utiliser le profil PCR par défaut sélectionné par Windows.

Si vous ne souhaitez pas supprimer cette configuration stratégie de groupe, vous pouvez installer le nouveau Gestionnaire de démarrage Windows en suspendant temporairement BitLocker et en installant la mise à jour de démarrage sécurisé. Pour ce faire :

1. Exécutez la commande suivante pour suspendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :
2. Exécutez la commande suivante : Start-ScheduledTask -TaskName « \Microsoft\Windows\PI\Secure-Boot-Update »
3. Redémarrez lʼappareil.
4. Une fois le nouveau Gestionnaire de démarrage Windows installé, activez BitLocker en exécutant la commande manage-bde -protectors -enable C :

Après avoir installé KB5070881 ou des mises à jour ultérieures, Windows Server Update Services (WSUS) n’affiche pas les détails des erreurs de synchronisation dans son rapport d’erreurs. Cette fonctionnalité est temporairement supprimée pour résoudre la vulnérabilité d’exécution de code à distance, CVE-2025-59287.

Symptômes

Après l’installation de cette mise à jour, l’avertissement de sécurité qui s’affiche lors de l’ouverture des fichiers Bureau à distance (RDP) peut ne pas s’afficher correctement dans certains cas.

Ce problème peut se produire lorsque vous utilisez plusieurs moniteurs avec des paramètres de mise à l’échelle d’affichage différents (par exemple, un écran défini sur 100 % et un autre sur 125 %). Dans ce cas, la fenêtre d’avertissement peut afficher du texte qui se chevauche ou des boutons partiellement masqués, ce qui peut rendre le message difficile à lire ou à interagir avec.

Solution de contournement

Ce problème est résolu dans KB5087539.