Le 9 juin, le Patch Tuesday arrive et la date limite de Secure Boot se rapproche

Le Patch Tuesday de Microsoft du 9 juin est dans quelques jours, et il a plus de poids que n'importe quelle mise à jour mensuelle de routine. Il s'agit de la dernière fenêtre de déploiement structurée avant que les certificats Secure Boot de l'ère 2011 n'expirent le 24 juin, laissant tout appareil non corrigé dans un état de sécurité de démarrage dégradé à partir de cette date.

La fenêtre d'expiration des certificats s'étend du 24 au 27 juin. Le Microsoft Corporation KEK CA 2011 expire le 24 juin, le Microsoft UEFI CA 2011 expire le 27 juin et le Microsoft Windows Production PCA 2011 suivra en octobre. Les appareils qui n'auront pas reçu les certificats de remplacement 2023 avant le 24 juin ne cesseront pas de fonctionner, mais ils perdront la possibilité de recevoir les futures protections de sécurité au niveau du démarrage, y compris les mises à jour du Windows Boot Manager, Secure Boot revocation et des correctifs pour les vulnérabilités de la chaîne de démarrage récemment découvertes.

Pourquoi le 9 juin n'est pas une mise à jour de routine

Microsoft déploie les certificats de remplacement 2023 depuis février 2026 par le biais de mises à jour cumulatives, avec le Mardi des correctifs du 12 mai du 12 mai a permis d'accélérer ce déploiement. Les organisations qui ont retardé le déploiement de mai sont maintenant confrontées à une fenêtre comprimée. L'écart entre le 9 juin et la date d'expiration du 24 juin est de 15 jours. Pour les équipes d'entreprise qui gèrent de grands parcs d'appareils, ce délai n'est pas très confortable.

Les analystes en sécurité ont clairement mis en évidence la pression. La décision de reporter le déploiement du mois de mai au mois de juin a réduit la fenêtre disponible de plus de 60 %. Toute organisation supposant que le 9 juin rétablit un calendrier de déploiement normal se trompe. Le 9 juin est un triage d'urgence pour les équipes qui ont raté le mois de mai.

Que faire avant le 9 juin et immédiatement après ?

Avant le 9 juin, les administrateurs informatiques doivent exécuter la commande PowerShell suivante avec des privilèges d'administrateur pour vérifier l'état des certificats sur tous les appareils concernés : Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootServicing" -Name UEFICA2023Status

Le résultat attendu pour une migration pilotée par le système d'exploitation est "Completed" Un statut "NotStarted" n'est pas un échec automatique ; il indique souvent que l'appareil est déjà sécurisé parce que l'OEM a injecté les certificats 2023 de manière native via une récente mise à jour du BIOS. Les véritables signaux d'alarme à rechercher sont un état "Failed" ou des codes hexagonaux renseignés dans la clé UEFICA2023Error adjacente. Tout ce qui atteint ces états d'échec après le déploiement du 9 juin nécessite une remédiation manuelle immédiate.

Les appareils fonctionnant sous Windows Server 2025 avec certaines configurations de stratégie de groupe BitLocker doivent faire l'objet d'une attention particulière. Le bogue de récupération au démarrage de BitLocker est apparu lors du cycle de mise à jour d'avril 2026. La mise à jour de mai l'a résolu pour Windows 11, mais le correctif pour Windows Server 2025 reste en attente, et le comportement est volatile dans certaines configurations. Les environnements Serveur 2025 devraient effectuer un déploiement test avant de déployer les mises à jour du 9 juin dans l'ensemble du parc.

Le 9 juin devrait également corriger les vulnérabilités découvertes depuis la version du 12 mai, y compris celles qui ont fait l'objet d'une exploitation active au cours des semaines écoulées entre les deux cycles. La faille Faille Netlogon CVE-2026-41089signalée comme activement exploitée par le Centre for Cybersecurity Belgium le 29 mai, est déjà corrigée par la mise à jour de mai. Les appareils qui n'ont pas appliqué ce correctif doivent considérer le 9 juin comme un déploiement à double priorité.

L'échéance d'octobre est la suivante

Terminer la transition du certificat Transition du certificat Secure Boot avant le 24 juin ferme la fenêtre la plus urgente, mais n'est pas la fin du processus. Le certificat Microsoft Windows Production PCA 2011, qui signe le chargeur de démarrage Windows lui-même, expire en octobre 2026. Il s'agit de l'expiration la plus importante des trois d'un point de vue structurel et celle qui comporte le plus grand risque à long terme pour l'intégrité de l'amorçage des appareils qui ne l'auront pas.

La publication du Patch Tuesday du 9 juin est prévue à 10h00 PST.