PatchFactoryVeille
Menu
← Toutes les publications
Windows Update · Certificats7 min de lecture

Windows Update : préparer la rotation de certificats 2027 sur les postes non à jour

Microsoft annonce une rotation de certificats utilisés par Windows Update, avec des expirations prévues les 17 mai 2027 et 19 juin 2027. Les postes et serveurs supportés qui restent à jour doivent recevoir les nouveaux certificats par les mises à jour mensuelles, mais les appareils anciens, isolés ou hors support doivent être identifiés dès maintenant.

Impact
appareils Windows qui s'appuient directement sur Windows Update, Windows Update for Business ou Windows Autopatch pour recevoir leurs mises à jour, surtout s'ils sont en retard de correctifs ou hors support. Microsoft précise que le changement ne s'applique pas aux appareils qui reçoivent leurs mises à jour depuis WSUS.
Action
inventorier les versions Windows et le canal réel de mise à jour, vérifier que les mises à jour minimales indiquées par Microsoft sont présentes avant les échéances 2027, puis préparer une trajectoire de mise à niveau pour les appareils hors support.
Statut
À planifier

Classement : À planifier

Résumé : Microsoft annonce une rotation de certificats utilisés par Windows Update, avec des expirations prévues les 17 mai 2027 et 19 juin 2027. Les postes et serveurs supportés qui restent à jour doivent recevoir les nouveaux certificats par les mises à jour mensuelles, mais les appareils anciens, isolés ou hors support doivent être identifiés dès maintenant.

Impact : appareils Windows qui s'appuient directement sur Windows Update, Windows Update for Business ou Windows Autopatch pour recevoir leurs mises à jour, surtout s'ils sont en retard de correctifs ou hors support. Microsoft précise que le changement ne s'applique pas aux appareils qui reçoivent leurs mises à jour depuis WSUS.

Action : inventorier les versions Windows et le canal réel de mise à jour, vérifier que les mises à jour minimales indiquées par Microsoft sont présentes avant les échéances 2027, puis préparer une trajectoire de mise à niveau pour les appareils hors support.

Statut : À planifier.

Ce qui change

Le Windows Message Center a publié le 8 octobre 2026 une annonce sur la rotation de certificats utilisés pour établir la confiance avec Windows Update. Le billet Windows IT Pro associé explique que ces certificats expirent en deux vagues, le 17 mai 2027 et le 19 juin 2027. Si les certificats de remplacement ne sont pas présents, les appareils concernés ne pourront plus se connecter à Windows Update et ne recevront plus les mises à jour depuis ce service.

Microsoft ne décrit pas ce changement comme une urgence immédiate pour tous les postes. La recommandation principale est plus simple : maintenir les appareils supportés à jour avec les mises à jour mensuelles. Les nouveaux certificats sont distribués par ce canal. En revanche, les appareils qui ont été gelés, exclus des anneaux, remis en service après une longue période hors ligne ou maintenus sur une version hors support doivent être traités comme un périmètre à risque.

Périmètre WindowsAction Microsoft documentée
Windows 11 25H2 et versions ultérieuresAucune action spécifique
Windows 11 24H2 et Windows Server 2025Installer la mise à jour de sécurité de septembre 2025 ou ultérieure avant le 19 juin 2027
Autres versions Windows 11 supportées et Windows Server 2022Installer la mise à jour de sécurité de juillet 2026 ou ultérieure avant le 19 juin 2027
Versions Windows 10 encore supportéesInstaller la mise à jour de sécurité de juillet 2026 ou ultérieure avant le 19 juin 2027
Windows 10 Enterprise 2019 LTSC, Windows Server 2019 et Windows Server 2016Installer la mise à jour de sécurité de juillet 2026 ou ultérieure avant le 17 mai 2027
Autres versions WindowsMigrer vers une version supportée

Qui est concerné

Le point clé est le chemin de mise à jour réel. Les parcs gérés avec Windows Update for Business ou Windows Autopatch doivent vérifier que les appareils restent suffisamment actuels pour recevoir les certificats avant 2027. Les appareils gérés par Intune mais exclus des politiques de qualité, placés en pause longue ou maintenus volontairement sur une vieille build méritent une revue spécifique.

Les environnements WSUS ne sont pas visés par l'annonce pour la connectivité des appareils à Windows Update. Il faut donc éviter de transformer ce signal en alerte générique pour tous les clients MECM/SUP. En revanche, il reste utile d'identifier les appareils hybrides, co-gérés ou de secours qui basculent parfois vers Windows Update direct, ainsi que les machines qui sortiraient demain d'un modèle WSUS vers WUfB ou Autopatch.

Le calendrier rejoint aussi les sujets de cycle de vie déjà actifs. Microsoft Learn liste Windows 10 Enterprise 2019 LTSC comme supporté jusqu'au 9 janvier 2029, Windows 10 Enterprise LTSB 2016 jusqu'au 13 octobre 2026, et Windows 10 Enterprise LTSC 2021 jusqu'au 12 janvier 2027 pour l'édition Enterprise. Les appareils hors support ne doivent pas être considérés comme récupérables par simple attente d'un correctif de certificats.

Actions recommandées

Commencer par croiser trois informations : version Windows, source de mise à jour effective, et niveau de correctif le plus récent. Le résultat attendu est une liste courte d'exceptions : appareils supportés mais très en retard, appareils volontairement gelés, machines de secours rarement connectées, images de référence anciennes, postes de laboratoire et systèmes hors support encore présents dans l'inventaire.

Pour les appareils supportés qui utilisent Windows Update, WUfB ou Autopatch, la cible opérationnelle est de garantir l'installation de la mise à jour minimale indiquée par Microsoft ou d'une mise à jour ultérieure avant l'échéance applicable. Le contrôle peut être intégré aux rapports existants de qualité updates : l'intérêt n'est pas de créer un processus séparé, mais de repérer les appareils qui ne suivent déjà pas le flux mensuel.

Pour les appareils hors support, la recommandation n'est pas de chercher une exception de certificat. Microsoft indique qu'ils perdront l'accès à Windows Update et recommande une mise à niveau vers une version Windows client ou serveur supportée. S'il faut télécharger une mise à jour de rattrapage pour un appareil supporté mais isolé, Microsoft renvoie au Microsoft Update Catalog comme source de téléchargement direct, à utiliser par des administrateurs.

Points de vigilance

Ne pas attendre 2027 pour découvrir les écarts. La rotation est lointaine, mais le risque réel est de retrouver dans quelques mois des appareils que personne ne voulait toucher : kiosques, postes industriels, masters oubliés, machines de support ou serveurs d'administration qui ne passent plus dans les anneaux standards.

Ne pas confondre non plus version minimale corrigée et cible recommandée. Installer la mise à jour minimale documentée peut suffire pour la rotation de certificats, mais ce n'est pas une stratégie de sécurité durable si l'appareil reste ensuite gelé. Le bon indicateur est la capacité à continuer à recevoir les mises à jour mensuelles jusqu'aux échéances de 2027, puis au-delà.

Sources