Windows : Bureau à distance cassé par la protection admin

Microsoft a confirmé que de récentes mises à jour de Windows 11 peuvent empêcher les utilisateurs non administrateurs de se connecter à des appareils via le Bureau à distance. Le problème touche les machines sur lesquelles la fonction de sécurité "Protection administrateur" (Administrator protection) est activée.

Selon l'éditeur, le bug concerne les systèmes sous Windows 11 24H2, 25H2, 26H1 et 26H2. Il apparaît après l'installation de la mise à jour d'aperçu non liée à la sécurité KB5124010 de septembre 2026, ou de toute mise à jour ultérieure. Microsoft a reconnu le problème mardi et travaille toujours à un correctif.

Une fonction désormais activée par défaut dans de nombreuses entreprises

La Protection administrateur est arrivée sur les systèmes Windows 11 24H2 et 25H2 en octobre 2025, avec la mise à jour cumulative d'aperçu KB5067036. Elle limite les utilisateurs connectés aux droits d'un utilisateur standard. Lorsqu'ils veulent installer une nouvelle application ou modifier le registre Windows, ils doivent s'authentifier via Windows Hello, avec un code PIN ou par biométrie.

La fonction était d'abord facultative. Ce n'est plus le cas. Les organisations qui s'appuient sur les bases de référence de sécurité Windows la voient désormais activée par défaut dès qu'elles installent la mise à jour de sécurité Windows d'octobre 2026. Ces bases de référence regroupent les paramètres de configuration recommandés par Microsoft pour renforcer Windows, et de nombreuses entreprises s'en servent comme point de départ pour leurs propres stratégies.

"Si votre organisation utilise les bases de référence de sécurité Windows, publiées via le Microsoft Security Compliance Toolkit, la Protection administrateur est activée par défaut dans les bases de référence de sécurité de Windows 11, versions 24H2, 25H2 et 26H2, à moins que votre organisation n'ait configuré la stratégie autrement", a indiqué Microsoft.

Autrement dit, certaines équipes informatiques peuvent tomber sur ce bug sans jamais avoir choisi d'activer la fonction.

Des erreurs de jeton non valide

Chez les utilisateurs concernés, les tentatives de connexion au Bureau à distance échouent avec le code d'erreur 0xC000000D.

"Les tentatives de connexion peuvent échouer avec l'erreur 0xC000000D et afficher le message 'Le jeton transmis à la fonction n'est pas valide.' Ce problème touche principalement les appareils distants gérés par l'entreprise et utilisés comme hôtes Bureau à distance avec la Protection administrateur activée, quelle que soit la manière dont la fonction a été activée", a expliqué Microsoft.

Ce sont surtout les environnements professionnels qui en pâtissent. Les appareils qui servent d'hôtes Bureau à distance dans des réseaux gérés sont les plus exposés, tandis que les particuliers ont moins de risques de rencontrer l'erreur.

Solution de contournement : désactiver la fonction

En attendant un correctif définitif, Microsoft recommande de désactiver la Protection administrateur sur les appareils concernés. Les administrateurs peuvent le faire avec l'outil de gestion des stratégies qu'ils utilisent déjà.

Pour les organisations qui passent par Microsoft Intune ou par les stratégies de groupe, il s'agit de réinitialiser la stratégie "User Account Control Type Of Admin Approval Mode".

Ce contournement a un prix. Désactiver la Protection administrateur supprime une couche qui limite ce que les utilisateurs connectés, et tout logiciel malveillant s'exécutant sous leur compte, peuvent faire sans authentification supplémentaire. Les administrateurs devront arbitrer entre l'accès à distance de leurs équipes et ce renforcement de sécurité, jusqu'à ce que Microsoft publie un vrai correctif.

Ce n'est pas la première panne du Bureau à distance

Le Bureau à distance a déjà fait les frais de mises à jour Windows. En mars 2025, Microsoft avait corrigé un problème similaire qui provoquait des échecs de connexion au Bureau à distance et aux services RDS après l'installation des mises à jour publiées à partir de janvier 2025.

Le mois dernier, l'éditeur a aussi dû déployer en urgence des mises à jour hors bande pour Windows Server. Elles corrigeaient des pannes des services Bureau à distance provoquées par les mises à jour de sécurité de septembre 2026.

Le cycle de septembre 2026 a causé d'autres soucis. Microsoft a récemment résolu un bug d'Always On VPN lié à ce même lot de mises à jour.

Notre analyse

Ce bug illustre une tension bien connue de l'administration Windows. Microsoft pousse des réglages par défaut plus stricts, comme la Protection administrateur, ce qui est une mesure judicieuse contre l'usurpation d'identifiants et l'installation de logiciels indésirables. Mais quand une fonction de renforcement est activée via les bases de référence de sécurité et entre ensuite en conflit avec un outil essentiel comme le Bureau à distance, les administrateurs se retrouvent à devoir choisir entre sécurité et disponibilité.

Le calendrier complique encore les choses. De nombreuses organisations sont toujours en train de déployer les mises à jour du Patch Tuesday d'octobre 2026, et c'est précisément cette mise à jour qui active la fonction par défaut dans le cadre des bases de référence. Les équipes qui dépendent du Bureau à distance auraient intérêt à tester sur un petit groupe d'hôtes avant un déploiement à grande échelle, et à limiter au strict nécessaire toute solution de contournement plutôt que de désactiver la protection sur l'ensemble du parc.

Les mises à jour de septembre et d'octobre ont déjà provoqué plusieurs régressions distinctes touchant l'accès à distance. Cela laisse penser que les tests de mises à jour liés à la connectivité à distance méritent davantage d'attention, aussi bien chez Microsoft que dans les chaînes de déploiement des correctifs en entreprise. Reste à voir si Microsoft livrera le correctif via une mise à jour cumulative classique ou une nouvelle publication hors bande, et s'il ajustera d'ici là les réglages par défaut des bases de référence.