Depuis le 14 avril 2026, des machines sous Windows 11 24H2 et 25H2 ne peuvent plus effectuer leurs sauvegardes. KB5083769, la mise à jour de sécurité d'avril, a mis hors jeu plusieurs logiciels tiers populaires. Microsoft a trouvé et expliqué ce qui bloquait. Redmond a blacklisté volontairement un driver et n'avait pas vu qu'un bug VSS bloquait aussi les sauvegardes.
KB5083769 fait partie du Patch Tuesday d'avril 2026, le package de sécurité mensuel obligatoire pour Windows 11 24H2 et 25H2. Susan Bradley, spécialiste des cycles de mise à jour Windows, a été la première à décrypter ces défaillances.
Microsoft a volontairement blacklisté le driver psmounterex.sys en raison de ses vulnérabilités connues. Pour monter des images disque, Macrium Reflect a besoin de ce driver, mais Windows refuse désormais de le charger.
D'autres logiciels sont également touchés par un bogue. C'est le cas notamment d'Acronis, NinjaOne Backup et UrBackup Server.
Pourquoi Windows a délibérément blacklisté un driver
Dans la liste noire des drivers noyau vulnérables de Microsoft, on trouve désormais psmounterex.sys. Impossible, depuis le 14 avril, de monter ou gérer des images disque avec un logiciel qui dépend de ce driver. Parce que la liste de blocage est activée par défaut, Windows Code Integrity refuse de charger les versions concernées. Sur les machines touchées, on obtient soit « La sauvegarde a échoué car Microsoft VSS a expiré lors de la création de l'instantané », soit le code VSS_E_BAD_STATE.
Et comme on l'a vu, Acronis Cyber Protect Cloud, NinjaOne Backup et UrBackup Server sont également en rideau, mais pour une autre raison.
VSS, le service Windows chargé de créer des snapshots pour les sauvegardes, expire en timeout avant d'avoir terminé son travail. La solution de sauvegarde cloud native de Microsoft, qui ne passe pas par VSS, tourne comme une horloge en revanche.
Les certificats Secure Boot expirent en juin 2026, et Microsoft anticipe
À partir de juin 2026, les certificats Secure Boot de la plupart des machines Windows arrivent à expiration. Pour préparer cette transition, Microsoft travaille depuis plusieurs mois sur le boot manager, la chaîne de confiance TPM et les mesures de démarrage sécurisé. À ces niveaux du système, VSS dépend d'une cohérence fine entre drivers et services, que KB5083769 a rompue.
Susan Bradley a recommandé aux administrateurs de ne pas déployer KB5083769 en production. Sur les machines déjà touchées, voici comment procéder, d'après elle:
- Allez dans Paramètres > Windows Update > Historique des mises à jour > Désinstaller les mises à jour ;
- Puis bloquer Windows Update pour éviter la réinstallation automatique.
Attention toutefois, car retirer la mise à jour rouvre les vulnérabilités de sécurité qu'elle corrigeait. Microsoft a annoncé un correctif, mais on ne sait pas pour quand.
Les administrateurs redoutent surtout la discrétion de la panne. Une machine continue à démarrer, les utilisateurs travaillent normalement, et personne ne remarque que les sauvegardes n'aboutissent plus. On ne le découvre qu'au moment d'une restauration. Trop tard.
Source : Neowin
