Depuis la fin septembre, une partie des postes Windows 11 équipés d’un VPN d’entreprise de type Always On n’arrivaient plus à se connecter correctement. Après un premier faux départ en octobre, Microsoft a fini par publier un correctif. Il est disponible dans la mise à jour facultative KB5127936, diffusée le 28 octobre 2026 pour Windows 11 25H2 et 26H2. Voici ce qui s’est passé, qui est concerné et comment s’en sortir d’ici le prochain Patch Tuesday.
Les points :
Un VPN bloqué sur « Connexion en cours » #
Always On VPN est la solution intégrée à Windows qui permet à un ordinateur professionnel de se connecter automatiquement au réseau de l’entreprise dès qu’il a accès à Internet, sans action de l’utilisateur. Elle est très répandue dans les parcs gérés par Intune ou par stratégie de groupe, notamment pour le télétravail.
Après l’installation des mises à jour de sécurité de septembre 2026, certains de ces tunnels se sont mis à dysfonctionner. D’après la note officielle de Microsoft, les connexions pouvaient « rester bloquées dans l’état Connexion en cours » ou échouer après une première tentative ratée. Lors des essais suivants, Windows pouvait afficher le message « The specified port is already in use », autrement dit « le port spécifié est déjà utilisé ».
Le problème ne touchait pas toutes les configurations. Il concernait les profils réglés sur la sélection automatique du protocole, ou avec un protocole de repli. C’est le cas où Windows essaie un protocole puis bascule sur un autre, par exemple de IKEv2 vers SSTP, si le premier échoue.
Un correctif annoncé trop tôt #
L’histoire a connu un épisode embarrassant pour Microsoft. Le bug avait d’abord été signalé aux administrateurs fin septembre, par une alerte de service. Puis il a été présenté comme corrigé dans les mises à jour cumulatives d’octobre, sorties lors du Patch Tuesday du mois.
Quelques jours plus tard, l’éditeur est revenu sur cette annonce : le correctif ne figurait finalement pas dans ces mises à jour. La mention a été retirée des notes de version. Comme l’a raconté Clubic, les entreprises qui avaient appliqué le Patch Tuesday d’octobre en pensant être tirées d’affaire se retrouvaient donc toujours avec des connexions instables.
Le vrai correctif est arrivé avec la mise à jour de prévisualisation du 28 octobre. Selon BleepingComputer, Microsoft a confirmé dans la foulée que le problème était résolu pour les machines qui l’ont installée.
À lire Always On VPN : Microsoft revient sur sa correction, le bug de Windows 11 toujours actif
Ce que contient la mise à jour KB5127936 #
La KB5127936 porte Windows 11 aux builds 26200.9818 (version 25H2) et 26300.9818 (version 26H2). Sa note de version indique qu’elle « corrige un problème qui affecte les connexions Always On VPN après l’installation de la mise à jour de sécurité de septembre ».
La même mise à jour règle un second souci, lui aussi apparu en septembre. Les utilisateurs sans droits d’administrateur ne parvenaient plus à ouvrir une session Bureau à distance vers des machines où la protection administrateur est activée. L’erreur affichée était 0xC000000D, avec un message signalant un jeton invalide.
Une mise à jour facultative, à installer en connaissance de cause
Il faut garder en tête la nature de ce correctif. Les mises à jour de fin de mois, dites « preview » ou non liées à la sécurité, ne s’installent pas automatiquement. Elles servent à tester en avance les corrections qui seront ensuite intégrées dans la mise à jour cumulative du mois suivant.
Pour un service informatique, déployer une préversion sur tout un parc n’est pas anodin. La bonne pratique consiste à la tester d’abord sur quelques postes pilotes, de préférence ceux dont les utilisateurs se plaignaient de coupures VPN.
À lire VPN Tunisie : Comment Naviguer en Toute Sécurité
La solution de contournement si vous préférez attendre #
Si vous ne souhaitez pas installer une mise à jour facultative, Microsoft propose une parade simple : ne plus laisser Windows choisir le protocole. Concrètement, l’administrateur modifie le profil Always On VPN pour imposer un seul protocole, soit SSTP uniquement, soit IKEv2 uniquement, au lieu de la sélection automatique.
Le choix dépend de votre infrastructure :
IKEv2 est généralement plus rapide et se reconnecte bien quand on change de réseau, par exemple en passant du Wi-Fi à la 4G. Mais il utilise des ports UDP parfois filtrés par les réseaux d’hôtel ou de certaines entreprises.
SSTP passe par le port 443, celui du web chiffré. Il franchit donc presque tous les pare-feu, au prix de performances un peu moindres.
À lire Utiliser un VPN avec Steam : Avantages et Précautions
Une fois le correctif intégré au Patch Tuesday de novembre, prévu le mardi 10 novembre, il sera possible de revenir à la sélection automatique.
Particuliers : êtes-vous concernés ? #
Ce bug touche essentiellement les entreprises. Always On VPN se configure par profil géré et n’a rien à voir avec les applications VPN grand public que l’on télécharge pour protéger sa connexion sur un Wi-Fi public ou accéder à un catalogue de streaming. Ces logiciels utilisent leurs propres clients et protocoles, comme WireGuard ou OpenVPN.
Si votre VPN personnel refuse de se connecter, la cause est donc à chercher ailleurs : serveur saturé, protocole bloqué par le réseau, application à mettre à jour. En revanche, si c’est l’ordinateur fourni par votre employeur qui reste bloqué sur « Connexion en cours » depuis la rentrée, signalez-le à votre service informatique en mentionnant la KB5127936. Cela lui fera gagner du temps.
Ce que cet épisode rappelle sur la sécurité #
Ce feuilleton illustre une tension bien connue des administrateurs : appliquer vite les correctifs de sécurité, au risque de casser un service, ou attendre, au risque de rester exposé. Ici, une mise à jour de sécurité a dégradé un outil de sécurité, le tunnel chiffré qui protège l’accès au réseau interne.
À lire Sécurité des Connexions à Distance avec WatchGuard VPN
La leçon est surtout de méthode. Il vaut mieux déployer par vagues, garder un groupe pilote et lire les notes de version, et même les relire, puisque Microsoft lui-même a dû corriger les siennes ce mois-ci. Pour un VPN d’entreprise, prévoir un protocole de secours documenté plutôt qu’un réglage automatique laissé par défaut reste une précaution utile.
