Cette mise à jour cumulative pour Windows Server 2025 (KB5126646) inclut les derniers correctifs de sécurité et améliorations, ainsi que les mises à jour non liées à la sécurité de la préversion facultative du mois dernier. Consultez le tableau de bord d’intégrité de la version de Windows pour connaître le dernier status de cette version.
Annonces et messages
Cette section fournit les notifications clés liées à cette version, notamment les annonces, les journaux des modifications et les avis de fin de support.
Expiration du certificat de démarrage sécurisé Windows
Les mises à jour des certificats de démarrage sécurisé restent en cours à mesure que Microsoft fait passer les appareils des certificats qui ont commencé à expirer en 2026 vers des certificats plus récents. Les appareils qui n’ont pas encore reçu les nouveaux certificats peuvent continuer à démarrer et à recevoir les mises à jour Windows standard. Microsoft continuera à fournir les nouveaux certificats de démarrage sécurisé aux appareils éligibles via Windows Update.
Améliorations
Cette mise à jour de sécurité contient des correctifs et des améliorations de la qualité de KB5122871 (publiés le 8 septembre 2026) et de la mise à jour hors bande KB5129235 (publiée le 14 septembre 2026). Le résumé suivant décrit les principaux problèmes résolus par cette mise à jour. De nouvelles fonctionnalités sont également incluses. Le texte en gras entre crochets indique l’élément ou la zone de la modification.
[Récupération rapide de l’ordinateur] Nouveau ! La récupération rapide de machine est désormais prise en charge sur Windows Server 2025. Pendant les pannes, la récupération rapide de la machine permet de récupérer des appareils après des échecs de démarrage critiques à l’aide de l’Environnement de récupération Windows (WinRE) pour rechercher et appliquer des corrections ciblées à partir de Windows Update. La fonctionnalité est désactivée par défaut dans les éditions de Windows Server 2025. Les administrateurs peuvent activer la fonctionnalité par le biais de la stratégie de groupe pour prendre en charge une récupération simplifiée lors de pannes étendues et réduire le besoin d’intervention manuelle. La récupération dépend de la disponibilité d’une solution de correction applicable. Pour en savoir plus, voir Récupération rapide de machine.
[Sécurité ReFS] Cette mise à jour ajoute des contrôles d’audit et de stratégie facultatifs pour les volumes ReFS sur les périphériques de stockage externes. L’audit est activé par défaut, tandis que les contrôles d’application restent désactivés par défaut afin de donner aux administrateurs le temps d’évaluer et de se préparer aux futures modifications de renforcement de la sécurité. Pour en savoir plus, consultez KB5130741.
[Sécurité] Cette mise à jour ajoute la prise en charge de l’échange de clés post-quantiques ML-KEM dans TLS (Transport Layer Security) 1.3, ce qui permet de protéger les connexions chiffrées contre les futures menaces informatiques quantiques.
[Heure et date]
Cette mise à jour met à jour les données de fuseau horaire Windows pour prendre en charge l’heure d’été permanente en Colombie-Britannique et en Alberta à partir de novembre 2026.
Cette mise à jour introduit le nouveau fuseau horaire Heure Standard du Manitoba « (UTC-5:00) Manitoba ».
[Sécurité] Cette mise à jour met à niveau la version de cURL incluse avec Windows vers la version 8.21.0.
[Mise en réseau] Cette mise à jour améliore la fonction NetUseAdd , en l’aidant à établir des connexions réseau SMB avec succès pendant les tentatives de session NULL.
[Authentification] Cette mise à jour améliore les connexions par canal sécurisé Netlogon, en aidant les serveurs membres à se connecter correctement aux contrôleurs de domaine configurés avant Windows Server 2025.
[Emoji] Cette mise à jour améliore la sécurité de la recherche d’emoji dans le panneau de saisie expressif en mettant à jour les bibliothèques utilisées par EmojiSearchData.
[Hyper-V] Cette mise à jour améliore la fiabilité des machines virtuelles confidentielles Intel Trusted Domain Extensions (TDX) dans Hyper-V Problèmes de fiabilité affectant le fonctionnement de TDX.
[Gestionnaire de clés distribuées (DKM)] Cette mise à jour corrige automatiquement les configurations ACL de conteneur DKM non sécurisées dans AD FS par défaut. Les administrateurs peuvent refuser la correction automatique en définissant RemediateDkmAcl sur 0. Cette modification permet de résoudre une vulnérabilité d’élévation de privilèges qui peut se produire lorsque la liste de contrôle d’accès du conteneur DKM est trop permissive. Pour plus d’informations sur la gestion de cette modification, consultez CVE-2026-56155 : renforcement AD FS Distributed Key Manager conteneur ACL.
[Démarrage sécurisé] Cette mise à jour poursuit le déploiement des certificats de démarrage sécurisé mis à jour à l’aide des dernières données de ciblage à haut niveau de confiance pour identifier les appareils éligibles prêts à recevoir automatiquement les nouveaux certificats. Le déploiement via Windows Update reste en cours sur les appareils pris en charge.
[Espaces de stockage] Cette mise à jour résout un problème selon lequel certains disques virtuels d’espaces de stockage direct peuvent rester hors connexion après l’installation d’une mise à jour Windows. Ce problème se produit lorsque des métadonnées de stockage hiérarchisé valides sont identifiées à tort comme non valides lors de la récupération, empêchant ainsi la mise en ligne des disques virtuels et des charges de travail dépendantes affectés.
[Authentification] Cette mise à jour renforce la sécurité de NTLMv1 en modifiant le comportement interne par défaut lorsque la valeur de Registre BlockNtlmv1SSO n’est pas définie. Windows utilise désormais le mode d’application (1) au lieu du mode d’audit (0), ce qui bloque la génération d’informations d’identification dérivées de NTLMv1 pour les Sign-On uniques (SSO). Cette modification s’applique uniquement aux appareils sur lesquels Credential Guard est désactivé et la valeur de Registre BlockNtlmv1SSO n’est pas définie. Cela peut affecter les connexions Wi-Fi, Ethernet et VPN qui utilisent l’authentification MS-CHAPv2. Pour plus d’informations, consultez KB5066470.
Si vous avez déjà installé les mises à jour précédentes, votre appareil téléchargera et installera uniquement les nouvelles mises à jour incluses dans ce package.
Pour plus d’informations sur les vulnérabilités de sécurité, consultez le guide des mises à jour de sécurité et les mises à jour de sécurité d’octobre 2026.
Mise à jour de la pile de maintenance Windows Server 2025 (KB5126645) – 26100.33634
Cette mise à jour apporte des améliorations de la qualité à la pile de maintenance, le composant qui installe les mises à jour Windows. Les mises à jour de la pile de maintenance (SSU) garantissent que vous disposez d’une pile de maintenance robuste et fiable permettant à vos appareils de recevoir et d’installer les mises à jour Microsoft. Pour en savoir plus sur les mises à jour SSU, consultez la page Mises à jour de la pile de maintenance.
Problèmes connus dans cette mise à jour
Les utilisateurs peuvent ne pas pouvoir se connecter à OWA ou envoyer des e-mails sur Exchange Server
Symptômes :
Après l’installation de cette mise à jour, certains serveurs Exchange locaux peuvent rencontrer des problèmes d’accès ou d’envoi de messages électroniques. Il se peut que les utilisateurs ne puissent pas se connecter à Outlook sur le web (OWA) ou que les messages électroniques envoyés à partir d’Outlook restent dans la boîte d’envoi et ne soient pas remis. En outre, Exchange peut rencontrer des problèmes d’accès aux boîtes aux lettres pendant la réplication de boîtes aux lettres.
Dans certaines configurations affectées, Exchange Server OWA peut échouer avec une erreur d’ID MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) d’événement 1006 enregistré dans le journal des applications. Un autre symptôme signalé est l’augmentation des files d’attente d’e-mails. L’installation des mises à jour de sécurité Exchange Server d’octobre 2026 n’est pas nécessaire pour que ces problèmes se produisent.
Solution de contournement
Ce problème peut être temporairement atténué en modifiant la clé de Registre comme décrit dans Les serveurs Exchange peuvent devenir instables après l’installation des mises à jour Windows d’octobre 2026.
La mise à jour d’octobre 2026 a introduit une limite par défaut sur la quantité de mémoire utilisée par Endpoint Mapper lors du traitement des appels de recherche de point de terminaison.
Pour les charges de travail telles qu’Exchange Server, la limite par défaut de 512 appels de recherche de point de terminaison simultanés peut ne pas être suffisante sous une charge importante. Les administrateurs peuvent utiliser ce paramètre de Registre pour augmenter le nombre maximal d’appels de recherche de point de terminaison simultanés, ce qui augmente la quantité de mémoire que le mappeur de point de terminaison peut utiliser.
Support Microsoft : une atténuation supplémentaire est disponible pour les appareils concernés via le Support Microsoft. Pour appliquer cette atténuation dans votre organization, contactez Support Microsoft pour les entreprises.
Étapes suivantes : Microsoft enquête sur ce problème et fournira plus d’informations lorsqu’elles seront disponibles.
Windows Server Update Services (WSUS) n’affiche pas les détails de l’erreur
Après avoir installé KB5070881 ou des mises à jour ultérieures, Windows Server Update Services (WSUS) n’affiche pas les détails des erreurs de synchronisation dans son rapport d’erreurs. Cette fonctionnalité est temporairement supprimée pour résoudre la vulnérabilité d’exécution de code à distance, CVE-2025-59287.
Comment obtenir cette mise à jour
Avant d’installer cette mise à jour
Déploiement
Si vous déployez des mises à jour dynamiques telles que cette mise à jour sur une image Windows existante, assurez-vous que le fichier boot.stl est inclus dans le support d’installation. Le fait de ne pas inclure le fichier peut empêcher les appareils de démarrer correctement à partir du support d’installation et peut entraîner un code 0xc0430001d’erreur.
Remarque
Le fichier boot.stl est utilisé lors de la validation du démarrage sécurisé et doit correspondre à la version et à l’architecture Windows de l’image que vous mettez à jour.
Pour vous assurer que le fichier boot.stl est inclus dans le support d’installation, effectuez l’une des opérations suivantes :
- Utilisez le script Update WinPE pour mettre à jour une image Windows existante. (Recommandé)
- Copiez manuellement le fichier boot.stl du dossier Windows\Boot\EFI de l’appareil vers le dossier correspondant sur votre support d’installation avant de déployer la mise à jour.
Pour plus d’informations sur l’application de packages de mise à jour dynamique aux images Windows existantes, consultez Mettre à jour le support d’installation de Windows avec la mise à jour dynamique.
Installer cette mise à jour
Pour installer cette mise à jour, utilisez l’un des canaux de publication Windows et Microsoft suivants.
| Disponible | Étape suivante |
|---|---|
|
Cette mise à jour se télécharge et s’installe automatiquement à partir de Windows Update et Microsoft Update. |
Informations de fichier
Pour obtenir la liste des fichiers fournis dans cette mise à jour, téléchargez les informations de fichier relatives à la mise à jour cumulative KB5126646.
Pour obtenir la liste des fichiers fournis dans la mise à jour de la pile de maintenance, téléchargez les informations sur les fichiers pour SSU KB5126645 version 26100.33634.
Journal des modifications
| Modifier la date | Modifier la description |
|---|---|
| 14 octobre 2026 | Ajout d’une note de mise à jour : « [Espaces de stockage] Cette mise à jour résout un problème selon lequel certains disques virtuels d’espaces de stockage direct peuvent rester hors connexion après l’installation d’une mise à jour Windows. Ce problème se produit lorsque des métadonnées de stockage hiérarchisé valides sont incorrectement identifiées comme non valides lors de la récupération, empêchant ainsi la mise en ligne des disques virtuels affectés et des charges de travail dépendantes. » |
| 15 octobre 2026 | Ajout d’une note de publication : « [Authentification] Cette mise à jour renforce la sécurité de NTLMv1 en modifiant le comportement interne par défaut lorsque la valeur de Registre BlockNtlmv1SSO n’est pas définie. Windows utilise désormais le mode d’application (1) au lieu du mode d’audit (0), ce qui bloque la génération d’informations d’identification dérivées de NTLMv1 pour les Sign-On uniques (SSO). Cette modification s’applique uniquement aux appareils sur lesquels Credential Guard est désactivé et la valeur de Registre BlockNtlmv1SSO n’est pas définie. Cela peut affecter les connexions Wi-Fi, Ethernet et VPN qui utilisent l’authentification MS-CHAPv2. Pour plus d’informations, consultez KB5066470. » |