Windows 11 26H2 : tester la baseline sécurité avant de l'appliquer aux anneaux
Microsoft publie la baseline sécurité Windows 11 26H2. Deux écarts concentrent la validation : Windows Ready Print driver ranking et le passage TLS 1.2/TLS 1.3. Avant de l'importer dans GPO, Intune ou un référentiel interne, mieux vaut tester l'impression et les dépendances TLS.
- Impact
- postes Windows 11 26H2 et référentiels de durcissement Windows importés depuis Microsoft Security Compliance Toolkit, GPO, Intune Settings Catalog ou matrices de conformité internes.
- Action
- comparer la baseline 26H2 à la configuration actuelle, tester Windows Ready Print et les dépendances TLS, puis documenter les exceptions avant déploiement large.
- Statut
- À tester
Ce qui change
Microsoft a publié le 29 septembre 2026 l'article Windows 11, version 26H2 security baseline dans le blog Microsoft Security Baselines. Le package est distribué via le Microsoft Security Compliance Toolkit et Microsoft recommande de tester les configurations dans l'environnement cible, puis de les personnaliser ou de les appliquer selon le besoin.
La baseline 26H2 ne liste pas une longue série de nouveaux durcissements. Deux changements sont explicitement documentés par rapport à Windows 11 25H2.
| Politique | Changement 26H2 | Point à valider |
|---|---|---|
Printer\Configure Windows Ready Print driver ranking | configurée sur Enabled pour réduire la dépendance aux pilotes d'impression tiers | impact sur les files d'impression où Windows peut préférer le pilote IPP inbox |
Internet Explorer\Internet Control Panel\Advanced Page\Turn off encryption support | passage de TLS 1.1 et TLS 1.2 à TLS 1.2 et TLS 1.3 | compatibilité des services internes, proxies, portails et applications encore dépendants de TLS 1.1 |
Le premier changement est ciblé. Microsoft indique que Configure Windows Ready Print driver ranking est un nouveau réglage sous Administrative Templates\Printers. Lorsqu'il est activé, Windows préfère le pilote de classe IPP moderne inclus dans Windows plutôt qu'un pilote OEM V3/V4 tiers pour les installations d'imprimantes où la méthode de connexion le permet, par exemple USB ou découverte réseau multicast. Microsoft précise aussi la limite : si l'imprimante ne prend pas en charge IPP, ou si elle est installée directement comme imprimante TCP/IP, le comportement ne change pas.
Le second changement touche les protocoles autorisés par la politique Turn off encryption support. Microsoft indique que la baseline 26H2 autorise seulement TLS 1.2 et TLS 1.3, alors que les versions précédentes autorisaient TLS 1.1 et TLS 1.2. Le changement est cohérent avec l'obsolescence de TLS 1.1, mais il doit être validé contre les dépendances internes qui n'ont pas toujours été modernisées.
Qui est concerné
Le sujet concerne surtout les organisations qui utilisent les baselines Microsoft comme point de départ de leurs GPO, exports SCT, politiques Intune Settings Catalog ou matrices de conformité internes. Les tenants qui ne déploient pas automatiquement les baselines restent concernés au moment de la revue 26H2, mais le changement n'apparaîtra pas tout seul sur les postes si aucune politique n'est importée ou modifiée.
Il ne faut pas confondre cette baseline avec la disponibilité générale de Windows 11 26H2 elle-même. La version 26H2 est disponible depuis le 29 septembre et livrée comme enablement package pour des appareils Windows 11 24H2 ou 25H2 éligibles. La baseline est un référentiel de configuration à évaluer séparément : installer 26H2 ne prouve pas que les politiques de sécurité recommandées sont appliquées.
Mise à jour du 6 octobre : Microsoft annonce maintenant la disponibilité de la baseline Windows 11 26H2 dans Microsoft Intune, via Endpoint security > Security baselines. Les profils existants ne basculent pas automatiquement vers cette version : il faut créer un nouveau profil 26H2 ou mettre à jour un profil existant, puis relire les paramètres avant toute affectation.
Actions recommandées
Commencer par un différentiel. Télécharger ou récupérer la baseline 26H2 dans le Microsoft Security Compliance Toolkit, puis comparer ses paramètres avec la baseline 25H2 et avec les objets actuellement déployés. Le résultat attendu est une liste courte : paramètres repris tels quels, paramètres déjà couverts par une politique interne, écarts acceptés, et exceptions à documenter.
Tester ensuite l'impression avant un déploiement large de Windows Ready Print driver ranking. Le pilote IPP inbox peut être souhaitable pour réduire la surface liée aux pilotes tiers, mais l'effet utile se mesure sur des modèles concrets : imprimantes USB, imprimantes découvertes sur le réseau, files partagées, fonctions avancées utilisées par les métiers et procédures support. Si un modèle dépend d'un pilote OEM pour des options spécifiques, le test doit le montrer avant que la baseline ne soit intégrée à un anneau large.
Pour le réglage TLS, ne pas se limiter aux navigateurs modernes. Vérifier les applications internes, portails d'administration, appliances, proxies d'inspection, services d'impression, clients lourds et scripts qui établissent encore des connexions sortantes depuis le poste. Le critère de poursuite est simple : aucune dépendance métier validée ne doit nécessiter TLS 1.1, ou bien l'exception doit être documentée et isolée avant application de la baseline.
Enfin, raccorder cette validation au pilote Windows 11 26H2. Les équipes qui ouvrent un anneau 26H2 peuvent profiter du même périmètre pour tester la baseline, mais les deux décisions doivent rester séparées : un poste peut être techniquement compatible 26H2 et nécessiter encore une exception de configuration sécurité.
Si la baseline est gérée dans Intune, vérifier aussi le comportement de mise à jour : les anciens profils deviennent en pratique des références à traiter séparément, et une mise à jour vers la dernière version crée une instance side-by-side. Les assignments et scope tags doivent donc être reposés explicitement au lieu d’être supposés repris.
Points de vigilance
La baseline Microsoft est une recommandation de départ, pas une preuve que toutes les applications et tous les périphériques du parc sont compatibles. La bonne démarche est d'importer, comparer, tester et ajuster, puis de conserver la justification des écarts.
La documentation Windows 11 26H2 pour IT pros mentionne aussi d'autres capacités de sécurité, comme Administrator protection et Sysmon intégré, mais ces fonctions sont documentées comme désactivées par défaut. Elles ne doivent pas être présentées comme imposées par cette baseline 26H2 sauf confirmation dans le package ou dans une politique effectivement déployée.
Sources
- Microsoft Security Baselines Blog, Windows 11, version 26H2 security baseline, publié le 29 septembre 2026 : https://techcommunity.microsoft.com/blog/microsoft-security-baselines/windows-11-version-26h2-security-baseline/4560382
- Microsoft Learn, What's new in Microsoft Intune, semaine du 5 octobre 2026 : baseline Windows 11 26H2 disponible dans Intune et profils existants non mis à jour automatiquement : https://learn.microsoft.com/en-us/intune/whats-new/
- Microsoft Learn, Default configuration of Intune's Windows security baselines, pivot Windows MDM baseline 26H2 : https://learn.microsoft.com/en-us/intune/device-security/security-baselines/ref-windows-mdm-settings?pivots=mdm-26h2#security-baseline-for-windows-version-26h2
- Index du blog Microsoft Security Baselines, entrée datée Sep 29, 2026 : https://techcommunity.microsoft.com/category/security-baselines/blog/microsoft-security-baselines
- An IT pro's guide to Windows 11, version 26H2, outils de déploiement et baseline 26H2 référencés : https://techcommunity.microsoft.com/blog/windows-itpro-blog/an-it-pro%E2%80%99s-guide-to-windows-11-version-26h2/4559760
- Microsoft Learn, What's new in Windows 11, version 26H2 for IT pros, statut des fonctions 26H2 et rappel des fonctions désactivées par défaut : https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-26h2