Patch Tuesday sept. 2026 : Windows Server casse les RDS partout

Un Patch Tuesday qui se retourne contre les administrateurs

La nuit du 9 au 10 septembre 2026, Microsoft a déployé son traditionnel Patch Tuesday mensuel, un rollup de correctifs de sécurité qui affecte l'ensemble de l'écosystème Windows. Parmi les centaines de correctifs distribués ce mois-ci — un record absolu de 973 CVE patché avait été annoncé —, trois mises à jour cumulatives ciblant les serveurs Windows ont déclenché un incident opérationnel majeur qui se répercute encore 72 heures après le déploiement. Des administrateurs système du monde entier signalent massivement sur les forums BleepingComputer, Reddit r/sysadmin, et les canaux Discord MSP que leurs serveurs de bureau à distance ne répondent plus.

Les symptômes documentés sont cohérents entre les différents rapports : les sessions Remote Desktop Services (RDS) commencent à geler plusieurs heures après le redémarrage post-installation du patch. Les connexions RDP entrantes restent bloquées à « Connexion en cours… » sans progresser. Les sessions existantes ne peuvent plus être déconnectées normalement ni fermées proprement. Dans les cas les plus graves, un reset matériel dur du serveur est nécessaire pour restaurer un état fonctionnel temporaire — jusqu'au prochain cycle de gel. L'aspect insidieux du bug est que l'apparition retardée des symptômes complique le diagnostic : les équipes ne font pas immédiatement le lien avec le patch installé la veille.

Les mises à jour fautives ont été identifiées précisément. Pour Windows Server 2019, il s'agit de la KB5122876. Pour Windows Server 2022, c'est la KB5122882. Pour la version la plus récente, Windows Server 2025, la KB5122871 est incriminée. Ces trois packages sont des mises à jour cumulatives, c'est-à-dire qu'elles ne peuvent pas être partiellement installées : elles embarquent l'ensemble des correctifs de sécurité du mois en un seul bloc. Cette architecture rend impossible l'installation sélective d'un correctif spécifique sans embarquer également le code défectueux.

L'analyse technique publiée par plusieurs chercheurs indépendants et par le blog BornCity, qui suit de près les incidents Windows, pointe vers un problème dans le code path de redirection audio du service RDS. Les mises à jour de septembre 2026 auraient introduit une régression dans la gestion de l'API de redirection audio des sessions Remote Desktop, qui provoquerait un deadlock progressif dans le service TermService. Ce deadlock se traduit par un arrêt progressif de la capacité du service à accepter de nouvelles connexions ou à maintenir les connexions existantes, sans que le service lui-même ne plante franchement — ce qui explique pourquoi les outils de monitoring basiques ne détectent pas l'anomalie avant que les utilisateurs ne commencent à remonter des tickets.

Un contournement non officiel circule dans la communauté des administrateurs : la modification d'une clé de registre FeatureManagement permettrait de désactiver le code path défectueux de redirection audio sans désinstaller la mise à jour dans son intégralité. Cette solution, non validée par Microsoft, permettrait aux organisations de conserver les correctifs de sécurité tout en stabilisant le service RDS. Plusieurs témoignages sur Reddit et les forums LazyAdmin rapportent des résultats positifs avec cette approche, mais la modification de registre sur des serveurs de production sans validation officielle présente ses propres risques opérationnels.

La procédure officielle de désinstallation via DISM (Deployment Image Servicing and Management) est documentée et fonctionnelle. En revanche, la désinstallation via le programme WUSA (Windows Update Standalone Installer) échoue car les mises à jour cumulatives sont liées à leur Servicing Stack Update associée, empêchant leur retrait isolé. Les administrateurs qui gèrent des environnements virtualisés VMware ou Hyper-V ont une alternative partielle : Microsoft suggère de suspendre (pausing/unlocking) puis de redémarrer la machine virtuelle pour rétablir temporairement la connexion RDP sur les VM devenues injoignables, sans pour autant résoudre le problème de fond.

Du côté des serveurs physiques ou bare-metal, la situation est plus délicate. Sans accès RDP fonctionnel et sans console physique disponible (cas fréquent dans les datacenters colocalisés), les administrateurs se retrouvent dans une impasse opérationnelle complète. Plusieurs organisations ont dû dépêcher des techniciens sur site pour des interventions d'urgence, entraînant des coûts non planifiés et des temps de rétablissement de service (RTO) bien au-delà des objectifs habituels. Les MSP (Managed Service Providers) gérant des dizaines ou centaines de serveurs clients sont particulièrement touchés, avec une charge de support anormalement élevée depuis le 10 septembre.

Microsoft a confirmé être au courant du problème et avoir ouvert une investigation. La société a indiqué à BleepingComputer qu'elle publierait des directives officielles dès que l'analyse serait complète. Aucune date de publication d'un patch correctif out-of-band n'a été communiquée à ce stade. Microsoft dispose historiquement d'un mécanisme de Known Issue Rollback (KIR) qui permet de désactiver à distance une fonctionnalité défectueuse via Windows Update sans désinstaller le package complet, mais son déploiement n'a pas encore été confirmé pour cet incident.

Le dilemme impossible entre sécurité et disponibilité

Cet incident illustre avec une acuité particulière la tension structurelle entre deux impératifs de la gestion des systèmes d'information : la mise à jour rapide pour corriger les vulnérabilités de sécurité, et la stabilité opérationnelle des services critiques. En temps normal, les équipes IT disposent d'environnements de test pour valider les patches avant déploiement en production — mais la pression des Patch Tuesday, avec leurs fenêtres de déploiement réduites et leurs obligations de conformité (SOC 2, ISO 27001, PCI DSS), pousse souvent à des déploiements accélérés qui laissent peu de place aux tests approfondis sur des charges de production réelles.

Le dilemme est particulièrement cruel dans ce cas précis parce que le même package KB embarque la correction de CVE-2026-69525, une faille d'exécution de code à distance (RCE) dans Remote Desktop Services avec un score CVSS de 9.8 — c'est-à-dire critique. Cette vulnérabilité, si elle n'est pas corrigée, expose les serveurs RDS directement accessibles depuis Internet à des attaques sans authentification préalable. La désinstaller pour retrouver la stabilité opérationnelle revient donc à rouvrir une fenêtre d'attaque majeure sur les serveurs de bureau à distance, qui sont précisément parmi les surfaces d'attaque les plus ciblées par les acteurs ransomware. Les groupes Qilin et Krybit, actifs en Europe, ont fait des serveurs RDS exposés leur vecteur d'intrusion initial favori en 2026.

Cette situation démontre également les limites de l'architecture des mises à jour cumulatives de Microsoft, critiquée depuis plusieurs années par les administrateurs Windows. L'impossibilité de déployer sélectivement un correctif de sécurité sans embarquer simultanément l'ensemble des modifications du Servicing Stack est une contrainte qui se retourne contre les organisations dès qu'une régression est introduite. Des alternatives comme le patch management sélectif proposé par certains éditeurs tiers ou les mécanismes de Known Issue Rollback de Microsoft sont des palliatifs partiels, mais la question d'une refonte de l'architecture des mises à jour Windows Server est régulièrement remise sur la table dans les communautés d'administrateurs.

Pour les équipes de gouvernance IT et les RSSI, cet incident rappelle l'importance d'une stratégie de patch management qui inclut des procédures d'urgence claires : quand est-il justifié de retarder un patch de sécurité en raison d'une régression ? Qui a l'autorité pour valider un rollback en production ? Comment compenser temporairement le risque sécurité (isolation réseau, renforcement de la supervision) pendant la période sans patch ? Ces questions doivent être documentées en avance dans les politiques de gestion des vulnérabilités, pas improvisées en situation de crise à 3h du matin devant des serveurs injoignables.

Ce qu'il faut retenir

• Les KB5122876, KB5122882 et KB5122871 de septembre 2026 brisent Remote Desktop Services sur Windows Server 2019, 2022 et 2025 — symptômes retardés de plusieurs heures après installation.
• Un contournement non officiel via la clé de registre FeatureManagement circule avec des retours positifs, mais la désinstallation via DISM reste la seule solution validée — au prix d'une exposition à CVE-2026-69525 (CVSS 9.8).
• Attendre le patch correctif Microsoft (out-of-band ou Known Issue Rollback) est recommandé ; en attendant, isoler les serveurs RDS non patchés derrière un VPN ou un bastion est indispensable pour limiter l'exposition.