Memory Integrity : Microsoft prépare une activation plus large via les mises à jour qualité
À partir d'octobre, Memory Integrity pourra être activée sur davantage d'appareils éligibles. Pour les équipes Workplace, le vrai sujet est la compatibilité des pilotes et composants noyau.
- Impact
- Pilotes, VBS et sécurité endpoint
- Action
- Tester les pilotes
- Statut
- À planifier
Ce changement arrive par le canal des mises à jour qualité. Il peut donc toucher des anneaux existants sans projet de sécurité visible, avec un risque concentré sur les pilotes anciens et les composants bas niveau.
Ce qui change
Fait sourcé : Microsoft annonce qu’à partir d’octobre 2026, les mises à jour qualité Windows commenceront à activer Memory Integrity sur davantage d’appareils éligibles. Sur certains postes, cette activation peut aussi démarrer Virtualization-based Security, ou VBS. Le déploiement sera progressif.
Memory Integrity, également appelée HVCI, exécute les contrôles d’intégrité du code noyau dans un environnement isolé par l’hyperviseur. Les pages de code noyau ne deviennent exécutables qu’après validation et ne peuvent pas être simultanément accessibles en écriture.
Qui est concerné
Le sujet concerne surtout les flottes Windows 11 modernes, mais aussi les parcs hétérogènes où subsistent des pilotes métier, VPN, EDR, outils de chiffrement, DLP, cartes à puce, impression ou périphériques spécialisés.
Windows évalue l’éligibilité à partir du matériel, de la compatibilité des pilotes, des exigences Windows 11 et de considérations de performance. Microsoft indique que les choix administrateur et utilisateur restent prioritaires et que les appareils sur lesquels Memory Integrity a déjà été désactivée ne seront pas réactivés automatiquement par ce déploiement.
Impact opérationnel
Microsoft documente que des pilotes ou applications incompatibles peuvent dysfonctionner lorsque Memory Integrity est active. Dans de rares cas, un pilote critique bloqué peut empêcher le démarrage. Le risque est plus élevé sur les stations techniques et les matériels utilisant des composants noyau anciens.
Sur des postes récents et standardisés, l’activation renforce la baseline sans nécessiter de projet complexe. Il faut néanmoins distinguer les appareils non éligibles, les exclusions volontaires et les échecs de compatibilité pour éviter une lecture trompeuse du taux de couverture.
Actions recommandées
- Inventorier l’état VBS/HVCI via Win32_DeviceGuard, msinfo32 et les outils de gestion existants.
- Créer un anneau pilote incluant modèles récents, matériels plus anciens, VPN, EDR, imprimantes et périphériques critiques.
- Surveiller Applications and Services Logs\Microsoft\Windows\CodeIntegrity\Operational, notamment les événements de compatibilité.
- Préparer un runbook pour identifier, remplacer ou exceptionnellement exclure un pilote bloqué.
- Éviter le verrouillage UEFI pendant le premier pilote sauf exigence de sécurité formellement validée.
Échéances et points de vigilance
Le démarrage est annoncé pour octobre 2026, sans date unique par tenant ni liste exhaustive de modèles. Le déploiement dépend de l’éligibilité locale de chaque appareil.
Le contrôle ne doit pas se limiter à « HVCI activé ». Suivez également les pilotes bloqués, les machines exclues, les postes non éligibles et les changements de performance perçus après activation.