Windows 10 – KB5131096 : voici la mise à jour de sécurité de novembre 2026
Microsoft a publié la mise à jour de sécurité étendue de novembre 2026 pour Windows 10 : KB5131096. C'est la première de la deuxième année du programme ESU. Voici ce qu'il faut savoir à son propos avant de l'installer.
Publiée ce mardi 10 novembre 2026, cette mise à jour embarque les correctifs de sécurité du Patch Tuesday de novembre. Ce mois-ci, Microsoft a corrigé plus de 1 200 vulnérabilités, tous produits confondus (Edge inclus). Après son installation, les machines sous Windows 10 22H2 basculent sur la build 19045.7846, et celles sous Windows 10 Enterprise LTSC 2021 sur la build 19044.7846. Comme elle est cumulative, elle reprend aussi le contenu de la mise à jour d'octobre et celui de la KB5134125 du 26 octobre, publiée en dehors du calendrier mensuel. J'avais publié un article à propos de ces mises à jour hors bande qui retirent les certificats de l'autorité eMudhra de la liste de confiance de Windows.
Ce mois de novembre marque aussi le début de la deuxième année du programme ESU (Extended Security Updates), puisque la première s'est achevée le 13 octobre 2026. Microsoft le rappelle en tête de sa page de support : les appareils professionnels sous Windows 10 22H2 ont besoin d'une licence ESU de deuxième année pour continuer à recevoir les mises à jour de sécurité. Pour les pros, le tarif de cette deuxième année de programme ESU est de 122 dollars par machine. Les particuliers dont le PC est déjà inscrit n'ont rien à faire, puisque Microsoft a prolongé discrètement le programme ESU grand public jusqu'en octobre 2027.
Imprimantes, Bureau à distance, audio USB : ce que corrige la KB5131096
Sans surprise, Microsoft ne livre aucune nouveauté fonctionnelle sur Windows 10. Par contre, la KB5131096 apporte plusieurs correctifs, dont certains visent des bugs introduits par les mises à jour d'octobre :
Impression : l'ajout d'une imprimante publiée dans l'Active Directory depuis les Paramètres de Windows pouvait échouer avec l'erreur 87. Ce bug, introduit par la mise à jour d'octobre 2026, ne touchait généralement pas les imprimantes déjà installées.
Bureau à distance et Intune : la stratégie qui liste, par l'empreinte de leur certificat, les éditeurs de fichiers
.rdpapprouvés ne pouvait pas être configurée via Microsoft Intune. Si le sujet vous concerne, mon tutoriel pour signer les fichiers .rdp avec rdpsign explique comment obtenir un certificat et signer vos fichiers de connexion.Shadowing (Bureau à distance) : les connexions de type shadow, qui permettent à un administrateur d'observer la session d'un utilisateur ou d'en prendre le contrôle, pouvaient échouer avec le message Unspecified error dans les environnements Windows Server 2016 et Windows Server 2012 R2 depuis les mises à jour d'octobre.
Audio USB : c'est la fin du feuilleton pour les périphériques USB Audio Class 1.0 (erreur Code 10 dans le Gestionnaire de périphériques, plus de son, contrôles du volume inopérants). Cette mise à jour corrige les problèmes restants ! Une première partie avait été corrigée en septembre dernier.
À ce stade, Microsoft ne signale aucun nouveau problème connu avec cette mise à jour.
PowerShell : la vérification des scripts signés devient plus stricte
Parlons maintenant d'un changement notable si vous signez vos scripts PowerShell. Avec cette mise à jour, Windows contrôle de façon plus stricte l'encodage d'un script, c'est-à-dire la façon dont ses caractères sont stockés dans le fichier, au moment de le signer et de vérifier sa signature. Jusqu'ici, un fichier contenant des octets invalides en UTF-8 était tout de même décodé. Désormais, il est rejeté. Cela pourrait avoir une vraie conséquence : un script signé et valide hier peut échouer à la vérification aujourd'hui, sans que personne n'y ait touché.
D'après la KB5135999, ce durcissement ne se limite pas à Windows 10 : il concerne aussi Windows 11 et Windows Server, de la version 2016 à la version 2025. La firme de Redmond précise le comportement des commandes PowerShell et d'App Control for Business :
Get-AuthenticodeSignature: cette commande, qui vérifie la signature d'un fichier, renvoie le statutNotSignedpour un script pourtant signé.Set-AuthenticodeSignature: cette commande, qui appose la signature, échoue avec le statutUnknownError.App Control for Business : avec cette fonctionnalité de contrôle des applications (ex-WDAC), les scripts concernés peuvent s'exécuter en mode
ConstrainedLanguage, un mode restreint de PowerShell. Le script n'est pas forcément bloqué, mais il peut échouer en cours d'exécution.
Si votre stratégie d'exécution PowerShell est définie sur AllSigned, qui impose des scripts signés, un script considéré comme non signé à cause de ce changement ne se lancera plus. Je pense que les fichiers à contrôler en priorité sont ceux qui contiennent des caractères accentués, surtout s'ils sont passés par plusieurs éditeurs.
Microsoft fournit dans cette même KB un script nommé Repair-SignedPowerShellUtf8.ps1, dont le mode Scan (par défaut) signale les fichiers à problème sans rien modifier. Pour corriger, l'éditeur recommande de créer une copie en UTF-8 avec BOM (une marque en début de fichier qui indique son encodage) grâce au mode ConvertToUtf8Bom, puis de signer de nouveau le script.
La liste des mises à jour ESU de Windows 10
Ci-dessous, la liste des mises à jour ESU pour Windows 10 publiées à ce jour.
Patch du mois de...
Numéro de KB
Novembre 2026
Octobre 2026
Septembre 2026
Août 2026
Juillet 2026
Juin 2026
Mai 2026
Avril 2026
Mars 2026
Février 2026
Janvier 2026
Décembre 2025
Novembre 2025
Pour approfondir le sujet :
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.