Si tu administres encore des contrôleurs de domaine en 2026, le mois de septembre vient de te donner deux bonnes raisons de t’y intéresser de près : un Patch Tuesday historique qui touche directement Active Directory, et une nouvelle génération de durcissements dans Windows Server 2025 qui change pas mal d’habitudes prises depuis vingt ans. Le grand écart entre « corriger l’urgence » et « préparer la suite » résume bien où en est l’annuaire Microsoft aujourd’hui.
Le Patch Tuesday de septembre 2026, un record qui vise directement tes DC
Microsoft a publié le 8 septembre 2026 le plus gros lot de correctifs de son histoire : 966 failles, dont 105 classées critiques. Deux d’entre elles sont déjà exploitées activement :
- CVE-2026-81963 — élévation de privilèges dans la pile Windows Update, via une résolution de lien incorrecte permettant d’obtenir des droits SYSTEM.
- CVE-2026-85880 — dépassement de tampon dans Windows ALPC, exploitable localement pour élever ses privilèges.
Ce qui doit vraiment retenir ton attention si tu gères un annuaire : 6 CVE touchent Active Directory Domain Services et 4 autres Active Directory Certificate Services, deux composants au cœur de l’authentification et de la gestion des certificats sur tes contrôleurs de domaine. Avec ce volume de correctifs, le tri par criticité et le test en environnement de pré-production ne sont plus optionnels — priorise les CVE AD DS/AD CS avant le reste du lot (détail complet du Patch Tuesday sur BleepingComputer).
Windows Server 2025 : Active Directory fait enfin le ménage
Au-delà du correctif du mois, Windows Server 2025 a apporté à Active Directory sa mise à jour de sécurité la plus dense depuis longtemps. Voici ce qui change concrètement pour toi.
Kerberos : RC4 c’est terminé
Le centre de distribution de clés Kerberos n’émet plus de TGT chiffrés en RC4-HMAC sur un DC Windows Server 2025. Si certaines de tes applications legacy dépendent encore de ce chiffrement (souvent silencieusement, via une bibliothèque ancienne), elles vont commencer à échouer. La clé de registre historique SupportedEncryptionTypes n’est d’ailleurs plus respectée : c’est désormais la stratégie de groupe « Sécurité réseau : Configurer les types de chiffrement autorisés pour Kerberos » qui fait foi.
LDAP chiffré et signé par défaut
Tous les nouveaux déploiements Active Directory exigent désormais la signature LDAP par défaut, et LDAP passe au chiffrement TLS 1.3 via SCHANNEL. Concrètement : les vieux scripts ou appliances qui font encore du LDAP en clair ou en bind simple non signé vont commencer à générer des échecs de connexion — mieux vaut les identifier avant la mise à niveau que le jour où un utilisateur t’appelle.
Mots de passe de comptes ordinateur générés aléatoirement
Autre changement discret mais important : un DC Windows Server 2025 empêche par défaut de définir le mot de passe d’un compte ordinateur avec le nom du compte lui-même — une pratique historiquement répandue et évidemment risquée. La stratégie de groupe correspondante s’appelle « Contrôleur de domaine : refuser de définir le mot de passe du compte d’ordinateur par défaut ».
Comptes de service managés délégués (dMSA)
Les dMSA offrent enfin un vrai chemin de migration depuis les comptes de service classiques, avec des clés entièrement aléatoires et gérées automatiquement — sans que tu aies à toucher au code des applications qui les utilisent. C’est probablement le changement le plus concret à planifier si tu as encore des comptes de service avec un mot de passe qui n’a pas changé depuis des années.
L’ensemble de ces évolutions est détaillé dans la documentation officielle Microsoft Learn sur les nouveautés de Windows Server 2025, et Microsoft en donne le contexte complet dans cet article Tech Community dédié aux améliorations Active Directory.
Comment préparer ta montée en version sans mauvaise surprise
Avant de basculer tes DC vers Windows Server 2025, quelques vérifications t’évitent une bonne partie des incidents post-migration :
# Repérer les liaisons LDAP non sécurisées sur un DC
# (événements 2887 et 2889 dans le journal Répertoire)
Get-WinEvent -FilterHashtable @{LogName='Directory Service'; Id=2887,2889} -MaxEvents 50 |
Select-Object TimeCreated, Id, Message
# Vérifier le niveau fonctionnel actuel du domaine et de la forêt
Get-ADDomain | Select-Object Name, DomainMode
Get-ADForest | Select-Object Name, ForestMode
# Lister les comptes de service candidats à une migration en dMSA
Get-ADServiceAccount -Filter * -Properties PasswordLastSet |
Sort-Object PasswordLastSetCe type de script s’automatise facilement dans un pipeline de contrôle régulier — si tu veux aller plus loin sur l’automatisation PowerShell de tes tâches d’administration, notre guide complet sur l’automatisation IT avec PowerShell couvre les bases pour industrialiser ce genre de contrôle.
Sur le plan de la conformité, ce durcissement d’Active Directory tombe au bon moment : la directive NIS2 continue sa progression en France et pousse justement vers ce niveau d’exigence sur l’authentification et la gestion des identités. Si ton organisation gère aussi l’accès conditionnel dans Entra ID, notre article sur le changement d’enforcement Conditional Access de juin 2026 complète bien cette mise à jour côté identité hybride.
FAQ
Faut-il migrer tous ses DC vers Windows Server 2025 immédiatement ?
Non — mais il faut au minimum patcher en urgence les vulnérabilités AD DS/AD CS du Patch Tuesday de septembre sur tes DC existants, quelle que soit leur version. La montée vers Windows Server 2025 peut ensuite se planifier sereinement, DC par DC, en commençant par un environnement de test.
Le niveau fonctionnel de forêt 10 est-il obligatoire ?
Non, il n’est requis que si tu veux activer la nouvelle taille de page de base de données 32K. Tu peux exécuter des DC Windows Server 2025 avec un niveau fonctionnel inférieur sans problème.
Comment savoir si des applications utilisent encore RC4 ou du LDAP non signé ?
Active l’audit des événements 2887/2889 (liaisons LDAP non sécurisées) et surveille les échecs d’authentification Kerberos après application des stratégies restreignant RC4, idéalement d’abord en mode audit avant le blocage effectif.
Ce qu’il faut retenir
Entre le Patch Tuesday record de septembre et les durcissements natifs de Windows Server 2025, Active Directory redevient un sujet d’actualité — dans le bon sens du terme. Commence par patcher les CVE AD DS/AD CS sur tes DC actuels, puis planifie ta migration en identifiant en amont les dépendances RC4, LDAP non signé et comptes de service à risque. Ton futur toi t’en remerciera au prochain audit de sécurité.
Laisser un commentaire