Microsoft reconnaît que la mise à jour d'octobre n'a pas corrigé le bug Always On VPN de Windows 11

Microsoft a reconnu qu’un bug de Windows 11 qui casse les connexions Always On VPN n’avait jamais été corrigé. L’éditeur l’avait marqué comme résolu avec la mise à jour du Patch Tuesday d’octobre 2026, avant de revenir discrètement en arrière. Un vrai correctif est désormais promis « dans les semaines à venir ».

Si vous gérez des PC portables Windows en entreprise, cet article est pour vous. Si vous utilisez une appli VPN comme NordVPN ou Proton VPN à la maison, vous pouvez sans doute souffler, et on vous explique pourquoi.

Ce qui s’est passé

Le bug est apparu après les mises à jour de sécurité de septembre 2026 pour Windows 11. Il touche Always On VPN, la fonction intégrée à Windows que les entreprises utilisent pour garder automatiquement les portables des salariés connectés au réseau interne. Microsoft a reconnu le problème dans une alerte de service envoyée aux administrateurs fin septembre.

Puis, avec la mise à jour cumulative d’octobre, le problème a été marqué Résolu. Il ne l’était pas. Le 20 octobre, The Register a rapporté que Microsoft avait remis le statut du problème (référencé WI1482218) sur Atténué, avec cette note :

“This disclosure was mistakenly updated to Resolved status on October 13, 2026. We have returned its status to Mitigated.”

En clair : la fiche a été passée à tort en statut Résolu le 13 octobre, et Microsoft l’a remise en Atténué. L’éditeur ajoute qu’un correctif « est prévu dans une mise à jour publiée dans les semaines à venir ». BleepingComputer a précisé le 21 octobre que Microsoft s’était excusé pour la confusion.

Always On VPN, en deux mots

Always On VPN est le successeur de DirectAccess, l’ancien système qui gardait les portables d’entreprise reliés au réseau du bureau. Le principe est simple : dès que le portable d’un salarié a accès à internet, Windows ouvre un tunnel VPN vers l’entreprise, sans que personne ne clique sur rien. Les administrateurs déploient le profil de façon centralisée, en général via Microsoft Intune ou une stratégie de groupe, et les utilisateurs ignorent souvent son existence jusqu’au jour où il tombe en panne.

Il peut se connecter en IKEv2, un protocole rapide qui gère bien les changements de réseau, ou en SSTP, qui passe par le même port que le trafic HTTPS et traverse la plupart des pare-feu. Le réglage automatique essaie l’un puis bascule sur l’autre. C’est justement dans ce basculement que se trouve le bug.

Quand ça échoue, les salariés à distance perdent l’accès aux partages de fichiers, à l’intranet et aux applis métier. C’est pour ça que les services d’assistance l’ont repéré dès septembre.

Quels systèmes sont touchés

D’après les deux articles :

• Windows 11 24H2 et versions suivantes, donc en pratique 24H2, 25H2 et 26H2
• Les appareils sous Always On VPN, qu’ils soient joints à un domaine, non joints ou joints à Microsoft Entra ID
• Les profils qui basculent vers une autre méthode de connexion après un premier échec. Le cas typique est la sélection automatique du protocole, où Windows essaie IKEv2 puis SSTP

Les symptômes sont difficiles à rater. La connexion reste bloquée sur « Connexion en cours » ou se relance en boucle. Les tentatives suivantes peuvent échouer avec l’erreur « Le port spécifié est déjà utilisé ».

The Register note que le bug d’origine remonte à Windows 10, mais c’est la mise à jour de septembre qui l’a fait ressortir sur les versions actuelles de Windows 11.

Le contournement

Le contournement de Microsoft n’a pas changé depuis septembre : arrêter de laisser Windows choisir le protocole tout seul. Les administrateurs doivent régler le profil Always On VPN sur un seul protocole, SSTP uniquement ou IKEv2 uniquement, selon ce que leur passerelle VPN et leurs exigences de sécurité permettent.

C’est simple à pousser via Intune ou les stratégies de groupe, mais il y a des compromis. IKEv2 est en général plus rapide et gère bien les changements de réseau. SSTP passe par le port 443, donc il traverse les pare-feu des wifi d’hôtel et des réseaux invités qui bloquent IKEv2. En choisir un, c’est perdre le repli qui rendait le mode automatique intéressant. Si vos équipes voyagent beaucoup, SSTP est le choix unique le plus sûr. Si elles travaillent surtout depuis chez elles et au bureau, IKEv2 offre une meilleure expérience.

NordVPN, Proton VPN et les autres applis sont-ils concernés ?

Très peu probable. Aucun des deux articles ne mentionne d’appli VPN grand public, et la technique explique pourquoi. Always On VPN est une fonction du client VPN intégré à Windows, configurée par le service informatique d’une organisation. Les applis VPN grand public installent leur propre client et se connectent avec leurs propres protocoles, surtout des protocoles basés sur WireGuard comme NordLynx, ou OpenVPN.

Donc si votre appli VPN perso se comporte bizarrement, ce bug n’en est probablement pas la cause. Vérifiez d’abord les suspects habituels : appli pas à jour, carte réseau à réinitialiser, règle de pare-feu. Notre guide mon VPN se déconnecte : les solutions les passe en revue.

La seule exception : si vous avez configuré un VPN à la main dans les paramètres de Windows (Paramètres, Réseau et Internet, VPN) en choisissant « Automatique » comme type de VPN. Ça utilise le même client intégré. S’il a commencé à échouer après la mise à jour de septembre, passez le type de VPN sur un seul protocole, ou mieux, utilisez l’appli de votre fournisseur. Notre guide pour configurer un VPN sur Windows 11 montre les deux méthodes.

Si vous choisissez un VPN pour un PC perso sous Windows, NordVPN est notre premier choix avec 4,63/5, une appli Windows maison, un kill switch et une politique no-logs auditée par PwC.

Obtenir NordVPN pour Windows

Comment savoir si vous utilisez Always On VPN

Si vous êtes salarié et non administrateur :

1. Ouvrez Paramètres, puis Réseau et Internet, puis VPN.
2. Cherchez une connexion VPN que vous n’avez pas créée, souvent au nom de votre entreprise.
3. Si elle est indiquée comme gérée par votre organisation, ou si elle se connecte seule à l’ouverture de session, il s’agit probablement d’Always On VPN.

Si elle reste bloquée sur « Connexion en cours », n’essayez pas de réparer vous-même en supprimant le profil. Prévenez votre service informatique. Il doit appliquer le contournement de façon centralisée, et supprimer un profil géré peut vous couper l’accès aux ressources de l’entreprise.

Pas le seul problème VPN de Windows ce mois-ci

C’est le deuxième souci VPN de Windows que nous couvrons en une semaine. La mise à jour d’octobre KB5127648 active aussi un blocage de NTLMv1 qui casse certaines connexions VPN et wifi utilisant MS-CHAPv2. Problème différent, correctif différent, que nous expliquons dans notre article sur KB5127648 et l’authentification VPN et wifi.

BleepingComputer liste aussi d’autres dégâts des mises à jour de septembre : des problèmes Hyper-V, Bureau à distance et audio USB qui ont nécessité des correctifs d’urgence hors calendrier, un souci de connexion avec des identifiants de domaine assorti d’un contournement temporaire, et un bug de l’Historique des fichiers sur lequel Microsoft travaille encore. Deux mois difficiles pour les administrateurs Windows.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Notre avis

Les bugs, ça arrive. Marquer un bug comme corrigé alors qu’il ne l’est pas, c’est pire, parce que ça dit aux administrateurs qu’ils peuvent retirer leur contournement. Ceux qui ont remis leurs profils Always On VPN en mode automatique après le 13 octobre ont pu casser eux-mêmes l’accès à distance de leurs utilisateurs.

Notre conseil aux équipes informatiques : gardez le contournement à protocole unique, ignorez les étiquettes « Résolu » sur ce problème tant que Microsoft n’a pas publié et documenté un correctif précis, et testez ce correctif sur un groupe pilote avant de le déployer. Pour les organisations qui s’interrogent déjà sur leur dépendance à un tunnel VPN unique, notre explication VPN vs zero trust mérite la lecture.

Nous mettrons cet article à jour quand Microsoft publiera le correctif.