Correctifs Windows de juillet 2026 : quelles mises à jour installer en priorité ?

L’essentiel à retenir

Le CERT-FR référence quatre vulnérabilités publiées par Microsoft le 16 juillet 2026 :

• CVE-2026-56171 ;
• CVE-2026-58598 ;
• CVE-2026-58643 ;
• CVE-2026-59117.

Les produits cités comprennent plusieurs versions de Windows 10 et Windows 11, ainsi que Windows Admin Center et Windows Terminal.

Les risques associés à cet ensemble de vulnérabilités comprennent :

• l’exécution de code arbitraire à distance ;
• l’élévation de privilèges ;
• le contournement d’une politique de sécurité ;
• l’accès non autorisé à des données.

Pour une petite entreprise, la bonne stratégie consiste à :

1. inventorier les versions réellement installées ;
2. vérifier les sauvegardes et les clés BitLocker ;
3. mettre à jour un petit groupe pilote ;
4. contrôler les applications métiers ;
5. généraliser le déploiement ;
6. vérifier les numéros de build et les échecs.

Quels systèmes sont concernés ?

L’avis du CERT-FR liste les versions suivantes.

Pourquoi ne pas cliquer immédiatement sur « Installer partout » ?

Corriger rapidement une vulnérabilité est important. Déployer une mise à jour sans préparation sur tous les postes peut néanmoins créer un autre incident :

• logiciel métier qui ne démarre plus ;
• pilote incompatible ;
• VPN indisponible ;
• impression interrompue ;
• redémarrage pendant une opération critique ;
• poste demandant une clé de récupération BitLocker ;
• machine distante qui ne revient pas en ligne.

Le but n’est pas de retarder les correctifs pendant plusieurs semaines. Il est de réduire le risque en utilisant un déploiement progressif et suffisamment rapide.

Comprendre les principaux types de vulnérabilités

Exécution de code arbitraire à distance

Une vulnérabilité d’exécution de code à distance peut permettre à un attaquant d’exécuter des instructions sur une machine ciblée.

La gravité réelle dépend notamment :

• du composant concerné ;
• de son exposition au réseau ;
• de la nécessité ou non d’une interaction utilisateur ;
• des privilèges obtenus ;
• de la disponibilité d’un code d’exploitation ;
• de l’existence d’une exploitation active.

Élévation de privilèges

Une élévation de privilèges est généralement utilisée après un premier accès.

Un attaquant déjà présent avec des droits limités peut chercher à obtenir :

• des droits administrateur local ;
• des droits SYSTEM ;
• l’accès à d’autres comptes ;
• la capacité de désactiver les protections ;
• l’accès à des données supplémentaires.

Contournement de sécurité

Un contournement peut permettre d’éviter un mécanisme prévu pour bloquer une action : avertissement, restriction applicative, contrôle de contenu ou mécanisme de confiance.

Atteinte à la confidentialité

Ce risque correspond à la possibilité d’accéder à des informations qui ne devraient pas être visibles : mémoire, fichiers, informations de session, données de configuration ou secrets.

Étape 1 : inventorier les versions Windows

Avec winver

Sur chaque poste :

1. appuyez sur Windows + R ;
2. saisissez winver ;
3. validez ;
4. relevez la version et le numéro de build.

Avec PowerShell

$os = Get-CimInstance Win32_OperatingSystem

[PSCustomObject]@{
    Ordinateur   = $env:COMPUTERNAME
    Edition      = $os.Caption
    Version      = $os.Version
    Build        = $os.BuildNumber
    Architecture = $os.OSArchitecture
    DernierBoot  = $os.LastBootUpTime
}

Pour obtenir le numéro de révision complet utilisé dans les bulletins :

$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

$versionComplete = '{0}.{1}.{2}.{3}' -f `
    $cv.CurrentMajorVersionNumber,
    $cv.CurrentMinorVersionNumber,
    $cv.CurrentBuildNumber,
    $cv.UBR

$versionComplete

Exemple :

10.0.26100.8875

Exporter un inventaire simple au format CSV

$os = Get-CimInstance Win32_OperatingSystem
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

$versionComplete = '{0}.{1}.{2}.{3}' -f `
    $cv.CurrentMajorVersionNumber,
    $cv.CurrentMinorVersionNumber,
    $cv.CurrentBuildNumber,
    $cv.UBR

$dernierCorrectif = Get-HotFix |
    Sort-Object InstalledOn -Descending |
    Select-Object -First 1

$resultat = [PSCustomObject]@{
    Ordinateur              = $env:COMPUTERNAME
    Edition                 = $os.Caption
    VersionComplete         = $versionComplete
    Architecture            = $os.OSArchitecture
    DernierDemarrage        = $os.LastBootUpTime
    DernierCorrectifDetecte = $dernierCorrectif.HotFixID
    DateCorrectif           = $dernierCorrectif.InstalledOn
}

$resultat | Export-Csv `
    -Path "$env:USERPROFILE\Desktop\inventaire-windows.csv" `
    -NoTypeInformation `
    -Encoding UTF8

Étape 2 : classer les machines par priorité

Priorité 1 : systèmes sensibles ou exposés

• postes des administrateurs ;
• machines utilisées pour administrer le cloud, les serveurs ou le réseau ;
• ordinateurs portables utilisés à l’extérieur ;
• postes manipulant des informations sensibles ;
• systèmes hébergeant Windows Admin Center ;
• équipements accessibles à distance.

Priorité 2 : postes bureautiques classiques

• bureautique ;
• messagerie ;
• navigation ;
• applications courantes ;
• accès aux fichiers partagés.

Priorité 3 : machines particulières

• postes industriels ;
• anciennes applications métiers ;
• machines rarement connectées ;
• équipements dépendant d’un matériel spécialisé ;
• postes sans sauvegarde récente.

« Priorité 3 » ne signifie pas « ne pas corriger ». Un test ou une procédure spécifique peut simplement être nécessaire.

Étape 3 : vérifier les sauvegardes

Avant le déploiement :

• vérifiez les documents métiers ;
• contrôlez la dernière exécution ;
• restaurez un fichier de test ;
• identifiez les dossiers locaux oubliés ;
• documentez la reprise des postes critiques.

Un point de restauration Windows peut aider dans certains cas, mais il ne remplace pas une sauvegarde.

Étape 4 : contrôler les clés BitLocker

Avant de mettre à jour un poste chiffré, vérifiez que la clé de récupération existe dans l’emplacement prévu :

• Microsoft Entra ID ;
• Active Directory ;
• compte Microsoft pour certains usages ;
• coffre-fort documentaire sécurisé.

Pour afficher l’état de BitLocker :

Get-BitLockerVolume

Ou :

manage-bde -status

Ne stockez pas les clés dans un fichier texte partagé ou un ticket accessible à tous.

Étape 5 : préparer un groupe pilote

Pour une entreprise de vingt postes, un groupe de deux à quatre machines peut comprendre :

• un ordinateur récent ;
• un ordinateur plus ancien ;
• un poste utilisant le logiciel métier principal ;
• un ordinateur portable.

Après la mise à jour, testez :

• démarrage et ouverture de session ;
• domaine ou Entra ID ;
• VPN ;
• impression ;
• partages réseau ;
• messagerie ;
• antivirus ou EDR ;
• sauvegarde ;
• logiciels métiers ;
• veille et sortie de veille.

Pour un correctif important, quelques heures à une journée d’observation peuvent être préférables à une attente excessive.

Étape 6 : choisir la méthode de déploiement

Windows Update

Pour un très petit parc :

1. ouvrez Paramètres ;
2. accédez à Windows Update ;
3. recherchez les mises à jour ;
4. installez-les ;
5. redémarrez ;
6. vérifiez le numéro de build.

Gestion centralisée

Selon l’environnement :

• Microsoft Intune ;
• stratégies de groupe ;
• Windows Update for Business ;
• WSUS ;
• solution RMM.

Un déploiement par anneaux permet d’organiser :

• le pilote ;
• une première vague ;
• la généralisation ;
• le rattrapage des machines hors ligne.

Étape 7 : mettre à jour Windows Admin Center et Windows Terminal

Windows Admin Center

Le CERT-FR mentionne :

• les versions antérieures à 2.7.4 ;
• les versions antérieures à 2511.

Vérifiez dans le Microsoft Security Update Guide quelle branche correspond à votre installation.

Après la mise à jour :

• contrôlez l’accès à l’interface ;
• testez les connexions aux serveurs ;
• vérifiez l’authentification ;
• contrôlez les extensions ;
• consultez les erreurs.

Windows Terminal

Pour afficher la version avec winget :

winget list --name "Windows Terminal"

Pour rechercher une mise à jour :

winget upgrade --name "Windows Terminal"

Identifiez d’abord le canal de distribution utilisé : Microsoft Store, package d’entreprise, winget ou image système.

Étape 8 : vérifier la version après installation

$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

'{0}.{1}.{2}.{3}' -f `
    $cv.CurrentMajorVersionNumber,
    $cv.CurrentMinorVersionNumber,
    $cv.CurrentBuildNumber,
    $cv.UBR

Étape 9 : contrôler les fonctions essentielles

Testez :

• ouverture de session ;
• réseau filaire et Wi-Fi ;
• VPN ;
• résolution DNS ;
• partages ;
• impression et scanner ;
• messagerie ;
• navigateur ;
• antivirus ou EDR ;
• sauvegarde ;
• logiciel métier ;
• périphériques spécialisés ;
• BitLocker ;
• redémarrage complet.

Pour les postes distants, confirmez leur retour dans l’outil de gestion.

Étape 10 : surveiller pendant 24 à 72 heures

Surveillez :

• échecs d’installation ;
• redémarrages répétés ;
• erreurs applicatives ;
• lenteurs ;
• problèmes de pilote ;
• incidents VPN ;
• blocages d’impression ;
• alertes de sécurité ;
• machines restées sur une ancienne build.

Consultez également les pages Windows Release Health.

Diagnostiquer un échec Windows Update

Relever le code d’erreur

Notez :

• le code ;
• l’heure ;
• le nom du poste ;
• la mise à jour concernée ;
• le numéro de build avant l’échec.

Vérifier l’espace disque

Get-PSDrive -Name C

Générer le journal Windows Update

Get-WindowsUpdateLog

Contrôler l’intégrité du système

DISM.exe /Online /Cleanup-Image /RestoreHealth

Puis :

sfc /scannow

Consulter les problèmes connus

Avant de désinstaller un correctif, vérifiez :

• Microsoft Security Update Guide ;
• Windows Release Health ;
• documentation du logiciel métier ;
• bulletins du VPN ou de l’EDR ;
• incidents connus de votre outil RMM.

Quel délai pour déployer ?

Ces délais sont des principes d’organisation, pas une règle réglementaire universelle.

Checklist de déploiement

• ☐ L’avis Microsoft a été relu le jour du déploiement.
• ☐ Les machines et versions ont été inventoriées.
• ☐ Les systèmes prioritaires ont été identifiés.
• ☐ Les sauvegardes ont été vérifiées.
• ☐ Les clés BitLocker sont disponibles.
• ☐ Le groupe pilote a été défini.
• ☐ Les applications métiers ont été testées.
• ☐ Les correctifs ont été généralisés.
• ☐ Les redémarrages ont été réalisés.
• ☐ Les numéros de build ont été contrôlés.
• ☐ Windows Admin Center a été vérifié.
• ☐ Windows Terminal a été vérifié.
• ☐ Les machines hors ligne ont été listées.
• ☐ Les échecs sont suivis.
• ☐ Les problèmes connus sont surveillés.

Conclusion

Les correctifs de juillet 2026 concernent plusieurs versions de Windows ainsi que des outils d’administration utilisés en entreprise.

Le bon réflexe n’est ni de repousser indéfiniment les mises à jour, ni de les installer sans contrôle sur tout le parc.

Une méthode simple permet déjà de réduire fortement le risque :

1. connaître les versions installées ;
2. protéger les données et les clés de récupération ;
3. tester sur quelques machines ;
4. déployer rapidement par vagues ;
5. vérifier les builds ;
6. surveiller les erreurs.

Cette discipline est plus importante que l’outil utilisé. Un parc de dix ordinateurs suivi dans un tableau fiable peut être mieux protégé qu’un parc administré par une console complexe que personne ne consulte.

Besoin d’aide pour gérer les mises à jour Windows ?

AGE-Info accompagne les TPE et PME dans la maintenance et la sécurisation de leurs postes Windows.

Nous pouvons notamment :

• inventorier les versions ;
• identifier les machines vulnérables ;
• vérifier les sauvegardes ;
• sécuriser les clés BitLocker ;
• créer des groupes de déploiement ;
• suivre les mises à jour à distance ;
• contrôler les échecs ;
• documenter la maintenance du parc.