Introduction
La vulnérabilité Windows Deployment Services CVE-2026-0386 force Microsoft à bloquer une fonctionnalité clé utilisée par des milliers d’organisations dans le monde. En effet, Microsoft a annoncé un plan en deux phases pour désactiver le déploiement mains libres dans Windows Deployment Services — WDS. Cette faille critique permet à un attaquant non authentifié d’intercepter des fichiers de configuration sensibles et d’exécuter du code arbitraire lors des déploiements réseau. Par conséquent, toutes les organisations africaines et mondiales qui utilisent WDS pour provisionner leurs parcs informatiques doivent agir avant avril 2026. Ainsi, migrer vers des solutions alternatives ou configurer les paramètres de sécurité requis s’impose sans délai.
Vulnérabilité Windows Deployment Services : comment fonctionne l’exploitation
Windows Deployment Services est un rôle serveur qui permet aux administrateurs IT de déployer des systèmes d’exploitation Windows à distance sur un réseau. En effet, ce service utilise le démarrage PXE — Pre-boot eXecution Environment — pour provisionner des machines sans intervention manuelle. La fonctionnalité de déploiement mains libres repose sur un fichier de réponses nommé Unattend.xml. Ce fichier automatise les écrans d’installation, y compris la saisie des identifiants administrateurs, sans aucune intervention humaine. Par conséquent, des organisations qui gèrent des centaines ou des milliers de postes utilisent cette fonctionnalité quotidiennement pour gagner du temps.
CVE-2026-0386 résulte d’un contrôle d’accès inadéquat — classé CWE-284. En effet, le fichier Unattend.xml est transmis via un canal RPC non authentifié. De ce fait, ce fichier est exposé via le partage RemoteInstall sans aucune authentification préalable. Un attaquant situé sur le même segment réseau peut donc intercepter ce fichier. Il peut ensuite voler les identifiants intégrés dans le fichier ou injecter du code malveillant. Ce code s’exécute directement pendant le processus de déploiement du système d’exploitation. Ainsi, la compromission touche chaque machine déployée via WDS après l’injection.
Des conséquences qui vont jusqu’à la chaîne d’approvisionnement
Des chercheurs en sécurité ont identifié trois niveaux de conséquences graves. Premièrement, une exploitation réussie peut octroyer des privilèges de niveau SYSTEM sur les machines ciblées. Deuxièmement, ces privilèges permettent des déplacements latéraux au sein du domaine Active Directory. Troisièmement, les attaquants peuvent empoisonner les images de déploiement du système d’exploitation. En effet, cette troisième conséquence représente un risque au niveau de la chaîne d’approvisionnement dans les centres de données d’entreprise. Par conséquent, une seule exploitation réussie peut compromettre l’ensemble des machines déployées via ce serveur WDS. Microsoft a confirmé un vecteur CVSS v3.1 avec des impacts élevés sur la confidentialité, l’intégrité et la disponibilité du système.
Vulnérabilité Windows Deployment Services : le calendrier en deux phases de Microsoft
Microsoft déploie ses mesures de protection selon un calendrier précis et structuré.
Phase 1 — 13 janvier 2026 : alertes et contrôles manuels activés
Depuis le 13 janvier 2026, le déploiement mains libres reste fonctionnel mais peut être désactivé manuellement. En effet, Microsoft a introduit de nouvelles alertes dans le journal des événements Windows. Des contrôles via clés de registre ont également été mis en place. Ainsi, les administrateurs peuvent imposer un comportement sécurisé dès maintenant. La clé de registre à configurer est AllowHandsFreeFunctionality = 0 sous le chemin HKLM\SYSTEM\CurrentControlSet\Services\WdsServer\Providers\WdsImgSrv\Unattend. Par conséquent, toute organisation qui a configuré ce paramètre est déjà protégée contre CVE-2026-0386.
Phase 2 — Avril 2026 : blocage automatique et définitif
En avril 2026, la mise à jour de sécurité mensuelle de Microsoft désactivera automatiquement le déploiement mains libres sur tous les serveurs WDS. En effet, les organisations qui n’auront effectué aucune configuration de registre entre janvier et avril 2026 verront cette fonctionnalité bloquée sans avertissement supplémentaire. Par conséquent, tout processus de déploiement automatisé qui repose encore sur WDS mains libres s’arrêtera brutalement après cette mise à jour. De ce fait, des centaines d’organisations risquent une interruption totale de leurs capacités de provisionnement si elles n’agissent pas maintenant.
Les versions de Windows Server concernées
Cette vulnérabilité Windows Deployment Services touche un large spectre de versions serveur. En effet, Microsoft confirme que la faille affecte Windows Server 2008, 2016, 2019, 2022, 2025 et la version 23H2. Ainsi, même les infrastructures les plus anciennes sont concernées. Par conséquent, les organisations qui maintiennent des serveurs WDS sur des versions héritées de Windows Server sont tout autant exposées que celles qui utilisent les versions les plus récentes. En outre, Windows 11 est également concerné par cette faille dans le contexte des déploiements réseau.
Pourquoi cette faille est critique pour les organisations africaines
WDS est largement utilisé dans les grandes entreprises, les administrations publiques, les banques et les établissements d’enseignement en Afrique. En effet, provisionner des centaines de postes de travail via WDS est une pratique courante dans les directions informatiques qui gèrent de grands parcs de machines. Par conséquent, une interruption non anticipée du déploiement mains libres en avril 2026 peut paralyser les processus de renouvellement de parc informatique de nombreuses organisations.
Par ailleurs, le vecteur d’attaque de CVE-2026-0386 est particulièrement préoccupant dans les environnements africains. En effet, les réseaux d’entreprise africains combinent souvent des VLANs mal segmentés, des réseaux Wi-Fi partagés et des sous-réseaux où de nombreux équipements cohabitent. Ainsi, un attaquant situé sur le même segment réseau que le serveur WDS — condition suffisante pour exploiter cette faille — peut être un simple employé connecté au réseau interne. De ce fait, la surface d’attaque est bien plus large que dans des environnements réseau strictement segmentés.
Les actions à mettre en œuvre immédiatement
Face à cette vulnérabilité Windows Deployment Services, les équipes IT doivent suivre un plan d’action clair avant avril 2026.
Vérifier toutes les configurations WDS concernant Unattend.xml. En effet, chaque serveur WDS qui utilise un fichier de réponses pour le déploiement mains libres est potentiellement vulnérable. Par conséquent, un inventaire complet des serveurs WDS actifs s’impose en priorité.
Appliquer la mise à jour de sécurité Windows du 13 janvier 2026 ou ultérieure. Cette mise à jour introduit les contrôles de journalisation et les clés de registre nécessaires à la protection immédiate.
Configurer AllowHandsFreeFunctionality = 0 sur tous les serveurs WDS. De ce fait, le déploiement mains libres est désactivé manuellement avant le blocage automatique d’avril. Cela évite toute interruption surprise lors de la mise à jour d’avril 2026.
Surveiller l’Observateur d’événements. En outre, les équipes IT doivent surveiller les avertissements concernant les accès non sécurisés au fichier Unattend.xml. Tout accès suspect doit déclencher une investigation immédiate.
Migrer vers des méthodes de déploiement alternatives. Microsoft recommande trois alternatives qui ne sont pas affectées par cette vulnérabilité. Premièrement, Microsoft Intune pour la gestion des appareils cloud. Deuxièmement, Windows Autopilot pour le provisionnement automatisé moderne. Troisièmement, Microsoft Configuration Manager pour les environnements hybrides complexes. Par conséquent, engager cette migration dès maintenant garantit une continuité des opérations au-delà d’avril 2026.
Conclusion
La vulnérabilité Windows Deployment Services CVE-2026-0386 place les équipes IT face à une double urgence. En effet, corriger la faille immédiatement et planifier la migration vers des outils de déploiement modernes avant avril 2026. Par conséquent, les organisations africaines qui déploient Windows en masse via WDS n’ont plus le luxe d’attendre. Ainsi, configurer la clé de registre, appliquer les mises à jour et engager la migration vers Intune ou Autopilot constituent les trois actions qui séparent une organisation préparée d’une organisation paralysée en avril 2026.
