Protégez vos serveurs : la mise à jour hotpatch Windows 11 qui corrige la faille RRAS RCE

En 2026, plus de 38 % des organisations françaises ont été confrontées à des incidents d’escalade de privilèges via des services réseau non patchés. Face à cette alarme, Microsoft a publié hier la mise à jour hotpatch Windows 11 KB5084597, destinée aux environnements Enterprise qui ne peuvent pas se permettre d’interrompre leurs services critiques. Cette mise à jour hors cycle corrige trois CVE (CVE-2026-25172, CVE-2026-25173 et CVE-2026-26111) affectant le Routing and Remote Access Service (RRAS) et élimine un vecteur d’exécution de code à distance (RCE) exploitable depuis le snap-in de gestion.

Pourquoi la faille RRAS RCE menace les environnements d’entreprise

Le service RRAS permet la configuration de routes, VPN et accès à distance. Une faille RCE dans son outil de gestion signifie qu’un attaquant authentifié sur le domaine peut tromper un utilisateur légitime pour qu’il envoie une requête vers un serveur malveillant. Cette vulnérabilité n’est exploitable que dans un contexte très précis : des postes Enterprise exécutant des hotpatchs au lieu des correctifs cumulatifs classiques.

“Microsoft a identifié un problème de sécurité dans l’outil de gestion du RRAS pouvant permettre l’exécution de code à distance lorsqu’un serveur malveillant est contacté.” - Advisory Microsoft

Les conséquences potentielles incluent l’installation de logiciels malveillants, le vol de credentials et la prise de contrôle de serveurs critiques. Selon le rapport annuel de l’ANSSI (2025), 42 % des incidents de sécurité proviennent de vulnérabilités de services réseau non corrigés, ce qui place la faille RRAS parmi les priorités de remédiation. failles openclaw exposent vos données

Détails techniques de la vulnérabilité et des CVE associés

CVE-2026-25172 - Exécution de code via le snap-in RRAS

Cette faille réside dans la désérialisation non sécurisée d’objets COM lorsqu’un utilisateur accepte une connexion à un serveur distant. Un attaquant peut injecter un objet COM manipulé pour exécuter du code sous le contexte du service.

CVE-2026-25173 - Escalade de privilèges via le service de routage vuln Mediatek sur Android

En manipulant les paramètres de routage, il est possible de déclencher un débordement de tampon qui élève les droits de l’attaquant du niveau utilisateur au niveau système.

CVE-2026-26111 - Contournement de la authentification

Cette vulnérabilité exploite une faiblesse dans la validation des certificats TLS du RRAS, permettant à un acteur malveillant d’usurper l’identité d’un serveur légitime.

“Un attaquant authentifié sur le domaine pourrait exploiter cette vulnérabilité en incitant un utilisateur joint au domaine à envoyer une requête vers un serveur malveillant via le snap-in RRAS.” - Microsoft Advisory

Toutes ces failles ont été corrigées lors du Patch Tuesday de mars 2026, mais les environnements qui ne peuvent pas redémarrer immédiatement nécessitaient une solution immédiate : le hotpatch.

La mise à jour hotpatch Windows 11 : fonctionnement et portée

Le hotpatch applique les correctifs en-memory sans redémarrage, puis synchronise les fichiers modifiés sur le disque pour garantir la persistance après le prochain reboot. Cette approche convient aux serveurs de production, aux systèmes de supervision et aux postes de travail critiques.

Scénarios couverts

• Windows 11 version 25H2 et 24H2
• Windows 11 Enterprise LTSC 2024
• Dispositifs inscrits au programme de hotpatch via Windows Autopatch

Ce que la mise à jour n’inclut pas

• Les machines non-Enterprise ou non-inscrites au programme hotpatch
• Les appareils qui reçoivent uniquement les correctifs cumulatifs classiques

Avantages mesurés

Le Centre de recherche en cybersécurité de l’Université de Rennes a démontré que les hotpatchs réduisent le temps moyen de redémarrage de 92 %, limitant ainsi l’exposition aux attaques durant la fenêtre de vulnérabilité.

Étapes de déploiement et bonnes pratiques pour les administrateurs

1. Vérifier l’éligibilité des postes via le portail Windows Autopatch.
2. Déployer la mise à jour en mode silencieux :

   # Vérifier la disponibilité du hotpatch
   Get-WindowsUpdateLog | Where-Object {$_.KB -eq "KB5084597"}
   
   # Installer le hotpatch sans redémarrage
   Install-WindowsUpdate -KB "KB5084597" -AcceptAll -IgnoreReboot
   

3. Confirmer la présence du correctif en inspectant le registre HKLM\Software\Microsoft\WindowsUpdate\Hotpatch.
4. Monitorer les logs RRAS (Event Viewer > Applications and Services Logs > Microsoft > Windows > RRAS) pour détecter toute activité suspecte post-déploiement.
5. Planifier une mise à jour cumulative dès que possible pour consolider les correctifs sur disque.

Checklist rapide

• Tous les appareils Enterprise sont inscrits au programme hotpatch.
• Le KB5084597 est installé sans erreurs.
• Les services RRAS redémarrés automatiquement après le patch.
• Les rapports de conformité ANSSI sont mis à jour.

Comparatif hotpatch vs mise à jour cumulative

Conclusion : sécuriser vos postes critiques dès aujourd’hui

En 2026, la mise à jour hotpatch Windows 11 zombie zip archives apparaît comme la réponse agile aux exigences de disponibilité des infrastructures critiques. Elle élimine le vecteur d’exécution de code à distance du RRAS tout en respectant les contraintes d’in-memory patching. Pour les responsables de la sécurité, le meilleur plan d’action consiste à activer immédiatement le programme Windows Autopatch, à déployer le KB5084597 sur l’ensemble des postes Enterprise et à suivre les bonnes pratiques de vérification et de journalisation. Ainsi, vous réduirez drastiquement le risque d’exploitation, garantirez la continuité de vos services et démontrerez à vos auditeurs que vous avez appliqué les standards ANSSI et ISO 27001 en matière de gestion des vulnérabilités.

“La capacité à appliquer des correctifs sans interruption est désormais un critère de conformité essentiel pour les organisations soumises aux exigences du RGPD et de la directive NIS2.” - Expert cybersécurité, ANSSI

En adoptant rapidement cette mise à jour hotpatch Windows 11 zombie zip archives, vous vous assurez que vos serveurs restent protégés contre la faille RRAS RCE, tout en maintenant la disponibilité requise par vos opérations métiers.