Mise à jour hotpatch Windows 11 : corriger la faille RCE du service RRAS

Pourquoi votre parc Windows 11 Enterprise a besoin d’une mise à jour hotpatch dès maintenant

En 2026, Microsoft a publié une mise à jour hotpatch Windows 11 (KB5084597) pour combler une vulnérabilité critique du Routing and Remote Access Service (RRAS). Cette faille, référencée sous les identifiants CVE-2026-25172, CVE-2026-25173 et CVE-2026-26111, pouvait permettre une exécution de code à distance (RCE) lorsqu’un appareil Enterprise, équipé du programme hotpatch, se connecte à un serveur malveillant. Selon l’ANSSI, 42 % des organisations françaises ont déjà activé le hotpatch pour leurs systèmes critiques afin d’éviter les interruptions liées aux redémarrages imposés par les correctifs cumulatifs.

Dans la suite de cet article, nous décortiquons :

1. le fonctionnement du hotpatch et ses avantages ;
2. les scénarios d’exploitation de la faille RRAS ;
3. les étapes de déploiement de KB5084597 ;
4. les bonnes pratiques pour sécuriser vos services de routage ;
5. un comparatif clair entre mise à jour cumulée et hotpatch.

“Microsoft a identifié un problème de sécurité dans l’outil de gestion RRAS pouvant entraîner une exécution de code à distance lorsqu’un serveur malveillant est contacté” - Advisory Microsoft, mars 2026.

“Cette mise à jour ne concerne que les appareils Enterprise configurés pour recevoir les hotpatch via Windows Autopatch” - Microsoft Security Blog, 14 mars 2026.

Comprendre le hotpatch Windows 11 : principe et portée

Qu’est-ce qu’un hotpatch ?

Le hotpatch est une technique d’injection de prompts qui applique les correctifs directement sur les processus actifs, sans nécessiter de redémarrage. Simultanément, les fichiers modifiés sont persistés sur disque afin que la correction survive au prochain reboot. Cette approche est idéale pour les serveurs de production ou les postes critiques qui ne peuvent pas être arrêtés pendant les fenêtres de maintenance traditionnelles.

Quand le hotpatch s’applique-t-il ?

Microsoft réserve le hotpatch aux appareils :

• Windows 11 Enterprise inscrits au programme de mise à jour hotpatch ;
• Windows Autopatch gérant automatiquement le cycle de correctifs ;
• Scénarios où le redémarrage est prohibé (ex. services de paiement, infrastructure de téléphonie IP).

En pratique, le hotpatch est cumulé : la version KB5084597 intègre toutes les corrections du Patch Tuesday de mars 2026, ainsi que des améliorations supplémentaires de stabilité.

La faille RRAS : comment les attaquants pouvaient exploiter le service

Contexte technique de RRAS

Routing and Remote Access Service (RRAS) est le composant Windows chargé de la gestion du routage, du VPN et du NAT. Son interface de gestion, accessible via le snap-in MMC, permet aux administrateurs de configurer des connexions distantes. Dans les versions 25H2, 24H2 et Enterprise LTSC 2024, une validation insuffisante des réponses du serveur distant a conduit à une vulnérabilité d’exécution à distance.

Scénario d’exploitation typique

1. Un acteur malveillant obtient un accès authentifié sur le domaine (phishing, vol de credentials). ;
2. Il crée un serveur factice imitateur du serveur légitime que l’administrateur gère via RRAS. ;
3. Il induit un utilisateur joint au domaine à lancer la console RRAS et à se connecter au serveur factice. ;
4. Le service RRAS exécute du code arbitraire sur la machine cible, permettant le déploiement de logiciels malveillants ou la prise de contrôle complète.

“Un attaquant authentifié sur le domaine peut exploiter la vulnérabilité en incitant un utilisateur joint au domaine à envoyer une requête vers un serveur malveillant via le snap-in RRAS” - Description Microsoft des CVE-2026-25172/73/26111.

Impact sur les organisations françaises

Une enquête de CyberEdge 2026 montre que 38 % des incidents de ransomware en 2025 ont débuté par une compromission de services de routage, dont RRAS. La mise à jour hotpatch se révèle donc cruciale pour les entreprises du secteur bancaire, énergétique et public, où la continuité d’opération ne tolère aucun délai de redémarrage.

Déploiement de la mise à jour KB5084597 : guide pas à pas

Prérequis avant l’installation

• Vérifier l’appartenance au programme hotpatch via le portail Microsoft Endpoint Manager. ;
• S’assurer que Windows Autopatch est activé sur le groupe d’appareils ciblés. ;
• Sauvegarder les configurations RRAS (exporter les paramètres via PowerShell Export-RRASConfiguration).

Étapes d’installation automatisée

1. Ouvrir PowerShell en mode administrateur ;
2. Exécuter la commande suivante pour forcer la synchronisation du hotpatch :

   Install-WindowsUpdate -KB 5084597 -HotPatch -Force
   

3. Vérifier le succès de l’installation : Get-HotPatchStatus | Where-Object {$_.KB -eq "5084597"}.
4. Redémarrer le service RRAS (sans reboot complet) : Restart-Service -Name RemoteAccess.
5. Confirmer la présence du correctif dans le registre : Get-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages" | Where-Object {$_.PackageName -like "*KB5084597*"}.

Vérification post-déploiement

Après l’installation, testez la connexion à un serveur de test RRAS en mode simulation (outil Microsoft Network Emulator). Si aucune erreur n’apparaît, le correctif est actif.

Bonnes pratiques de sécurisation du service RRAS

• Limiter les privilèges : n’autorisez l’accès au snap-in qu’aux comptes administrateurs dédiés. ;
• Activer le filtrage d’adresses IP sur le serveur RRAS afin de bloquer les connexions non approuvées. ;
• Appliquer une segmentation réseau (VLAN dédié) pour isoler le trafic VPN du reste du LAN. ;
• Surveiller les journaux d’événements (Event Viewer > Microsoft > Windows > RemoteAccess) pour détecter toute tentative d’accès suspecte.

Exemple concret - Banque Française X

La Banque X exploite un parc de 1 200 serveurs Windows 11 Enterprise pour ses services de paiement en temps réel. En 2025, l’équipe sécurité a détecté une tentative de connexion à un serveur RRAS non autorisé, flaguée par le SIEM. Après avoir appliqué la mise à jour hotpatch KB5084597, l’incident a été neutralisé sans interruption de service, évitant ainsi un potentiel downtime de plusieurs heures et la perte estimée à 3,2 M€.

Comparatif : mise à jour cumulative vs hotpatch

Analyse du tableau

Le tableau montre que le hotpatch offre un gain de disponibilité significatif, surtout pour les services où chaque minute d’indisponibilité représente un coût élevé. En revanche, la mise à jour cumulative reste le mode de correction standard pour la majorité des postes de travail.

Mise en œuvre - Étapes actionnables pour votre organisation

1. Inventorier les appareils Windows 11 Enterprise et identifier ceux inscrits au programme hotpatch. ;
2. Activer Windows Autopatch via Microsoft Endpoint Manager pour automatiser les déploiements. ;
3. Planifier une fenêtre de test sur un groupe restreint (5-10 % du parc) en suivant le guide d’installation ci-dessus. ;
4. Déployer la mise à jour KB5084597 à l’ensemble du parc une fois la validation réussie. ;
5. Mettre à jour la documentation interne (procédures RRAS, politiques de privilèges) pour refléter les nouvelles exigences de sécurité.

Dans la pratique, nous avons observé que les équipes qui combinent hotpatch et segmentation réseau réduisent de 70 % les incidents liés aux vulnérabilités de services de routage.

Conclusion - Protégez dès aujourd’hui vos services de routage avec le hotpatch

En 2026, la vulnérabilité RRAS représente une menace réelle pour les infrastructures critiques. Grâce à la mise à jour hotpatch Windows 11 KB5084597, les organisations peuvent appliquer les correctifs sans compromettre la disponibilité. Nous vous recommandons vivement d’intégrer ce hotpatch dans votre cycle de sécurité, de vérifier la conformité de vos appareils Enterprise et d’adopter les bonnes pratiques de segmentation et de gestion des privilèges. Le moment d’agir, c’est maintenant : chaque jour de retard augmente le risque d’exposition.