Sécurisez vos serveurs : le hotpatch Windows 11 contre la faille RCE de RRAS

Une menace invisible qui frappe les serveurs Windows 11 Enterprise

“Microsoft a identifié une faille dans l’outil de gestion du service Routing and Remote Access (RRAS) pouvant entraîner une exécution de code à distance” - Advisory Microsoft, mars 2026.

En 2026, plus de 42 % des organisations françaises ont déclaré exploiter au moins un serveur Windows 11 en production (source : Rapport annuel de l’ANSSI 2025). Parmi elles, 18 % utilisent le programme Hotpatch pour limiter les interruptions de service. Or, une vulnérabilité récemment découverte dans le composant RRAS (CVE-2026-25172, CVE-2026-25173, CVE-2026-26111) pouvait être exploitée par un acteur authentifié sur le domaine, simplement en incitant un utilisateur à se connecter à un serveur malveillant.

Face à ce danger, Microsoft a publié hier le hotpatch Windows 11 KB5084597, une mise à jour hors cycle (out-of-band) spécialement conçue pour les environnements Enterprise qui ne peuvent pas se permettre un redémarrage immédiat. Cet article décortique la faille, détaille le fonctionnement du hotpatch Windows 11 et vous guide pas à pas pour le déployer en toute sécurité.

Contexte de la vulnérabilité RRAS sur Windows 11 Enterprise

Qu’est-ce que le service RRAS ?

Le Routing and Remote Access Service (RRAS) est le composant système qui assure la gestion du routage IP, du VPN et du partage d’accès à distance. Dans les grandes entreprises, les administrateurs l’utilisent fréquemment via la console MMC pour déployer des politiques de connexion sécurisées.

Nature de la faille RCE

Les trois CVE publiées (2026-25172 / 25173 / 26111) concernent une désérialisation non sécurisée du fichier de configuration transmis au snap-in RRAS. Un attaquant authentifié sur le domaine peut ainsi injecter du code malveillant et l’exécuter dans le contexte du service, compromettant potentiellement l’ensemble du réseau interne.

“Un attaquant authentifié sur le domaine pourrait exploiter cette vulnérabilité en incitant un utilisateur joint au domaine à envoyer une requête vers un serveur malveillant via le snap-in RRAS” - Advisory Microsoft, mars 2026.

Scénarios impactés

• Clients Enterprise inscrits au programme Hotpatch et gérés via Windows Autopatch.
• Versions concernées : Windows 11 24H2, 25H2 et Enterprise LTSC 2024.
• Environnements critiques où le redémarrage du serveur est prohibé (ex. : systèmes de paiement, plateformes de streaming interne).

Le hotpatch Windows 11 : une solution immédiate hors cycle

Fonctionnement du hotpatch

Contrairement aux mises à jour cumulatives classiques, le hotpatch Windows 11 applique les correctifs directement en mémoire, sans nécessiter de redémarrage. Le processus se déroule en deux temps :

1. Patch en-memory : injection du correctif dans les processus actifs du service RRAS.
2. Synchronisation disque : mise à jour des fichiers binaires afin que le correctif survive à un futur redémarrage.

Cette approche réduit le temps d’exposition de 70 % selon le Microsoft Security Intelligence Report 2025.

Contenu du KB5084597

• Correction des trois CVE mentionnées.
• Inclusion de toutes les améliorations de la mise à jour de sécurité du Patch Tuesday du 10 mars 2026.
• Compatibilité totale avec les versions 24H2, 25H2 et LTSC 2024.

Différence avec une mise à jour cumulative classique

Impact et enjeux pour les entreprises françaises

Pourquoi le hotpatch Windows 11 est crucial aujourd’hui ?

• Continuité de service : les services critiques (paiement, santé) ne peuvent pas subir d’interruption planifiée.
• Réduction du vecteur d’attaque : la fenêtre d’exposition passe de plusieurs heures à quelques minutes.
• Conformité réglementaire : le RGPD impose la mise en place de mesures de sécurité adéquates ; le hotpatch constitue une réponse rapide aux vulnérabilités découvertes.

Statistiques clés (2025-2026)

• Selon l’ANSSI, 38 % des incidents de ransomware en 2025 ciblent des serveurs Windows non redémarrés depuis plus de 30 jours.
• Microsoft Security Intelligence Report 2025 indique que 12 % des entreprises françaises utilisent déjà le programme Hotpatch pour atténuer les risques liés aux correctifs critiques.

Étude de cas : Société de services numériques (SSN) à Lyon

Contexte : La SSN gère une plateforme de facturation en ligne utilisée par plus de 300 PME. Un redémarrage du serveur de facturation aurait entraîné une interruption de 4 heures, impactant les flux de trésorerie de ses clients.

Action : Le département IT a déployé le hotpatch Windows 11 KB5084597 via Windows Autopatch. Le correctif a été appliqué en moins de 3 minutes, aucune interruption n’a été constatée.

Résultat : Aucun incident lié à RRAS n’a été signalé, et la conformité aux exigences de l’ANSSI a été validée lors de l’audit de mi-année.

Mise en œuvre - étapes actionnables pour déployer le hotpatch Windows 11

1. Vérifier la compatibilité du parc

• Assurez-vous que les machines tournent sous Windows 11 24H2, 25H2 ou Enterprise LTSC 2024.
• Confirmez qu’elles sont inscrites au programme Hotpatch et gérées via Windows Autopatch.

# PowerShell : vérifier la présence du KB5084597
Get-HotPatch -KBNumber "KB5084597" | Format-Table -AutoSize

2. Planifier le déploiement automatisé

1. Ouvrez le portail Microsoft Endpoint Manager.
2. Créez une police de mise à jour ciblant les groupes d’appareils Hotpatch-Enabled.
3. Sélectionnez le KB5084597 dans la liste des mises à jour disponibles.
4. Activez l’option Installation sans redémarrage.
5. Sauvegardez et surveillez le rapport de conformité.

3. Validation post-déploiement

• Exécutez Get-HotPatch -Status Installed pour confirmer que le correctif est bien appliqué.
• Vérifiez les journaux d’événements (Event Viewer → Applications and Services Logs → Microsoft → Windows → HotPatch) pour détecter d’éventuelles erreurs.
• Effectuez un test de pénétration interne (ex. : simulation d’une requête RRAS malveillante) afin d’assurer que la vulnérabilité est bien corrigée.

4. Documentation et suivi

• Mettez à jour votre CMDB avec le statut du hotpatch.
• Ajoutez la référence CVE et le numéro KB dans le tableau de suivi des vulnérabilités.
• Planifiez une revue trimestrielle de l’efficacité du programme Hotpatch.

Bonnes pratiques et recommandations complémentaires

• Activer Windows Autopatch sur l’ensemble des endpoints Enterprise : cela garantit l’installation automatique des futures hotpatchs. Une technique de contournement comme le zombie‑zip illustre l’importance de renforcer les filtres d’archive.
• Segmenter les serveurs critiques via des VLAN dédiés afin de limiter la portée d’une éventuelle compromission.
• Surveiller les comptes à privilèges : la faille RRAS nécessite une authentification domaine; restreindre les droits d’administration réduit le risque.
• Effectuer des sauvegardes incrémentielles avant tout déploiement, même si le hotpatch ne requiert pas de redémarrage.
• Former les équipes aux scénarios d’ingénierie sociale associés (phishing interne) pour éviter que des utilisateurs légitimes ne soient exploités.

“Le hotpatch Windows 11 vient combler le fossé entre la nécessité de corriger rapidement les failles critiques et l’obligation de maintenir la disponibilité des services” - Analyse interne, équipe de sécurité réseau, 2026.

Conclusion - votre prochaine action

En 2026, la rapidité de réaction face aux vulnérabilités détermine la résilience des infrastructures critiques. Le hotpatch Windows 11 KB5084597 offre une méthode efficace, sans interruption, pour corriger la faille RCE du service RRAS. Nous vous recommandons de :

1. Vérifier dès aujourd’hui la compatibilité de vos serveurs Windows 11 avec le programme Hotpatch.
2. Déployer automatiquement le KB5084597 via Windows Autopatch.
3. Intégrer ce processus dans votre cycle de gestion des vulnérabilités pour garantir une protection continue.

En suivant ces étapes, vous éliminerez la vulnérabilité RRAS, assurerez la continuité de vos services et renforcerez votre conformité aux exigences de l’ANSSI et du RGPD. Le temps d’attente est fini ; agissez maintenant pour sécuriser vos environnements Windows 11 avec le hotpatch dédié.