Mises à jour Windows : WSUS déprécié, et ensuite ?

Gérer les mises à jour d'un parc Windows, c'est décider quels correctifs installer, sur quelles machines, à quel moment et dans quel ordre, puis vérifier qu'ils sont bien installés. Pendant vingt ans, l'outil de référence sur site a été WSUS (Windows Server Update Services). En septembre 2024, Microsoft l'a déclaré déprécié : il fonctionne et reste supporté, mais n'évolue plus. Ce chapitre explique comment Microsoft publie ses correctifs, comment fonctionne WSUS et comment le configurer, ce que signifie sa dépréciation, et quelles solutions le remplacent selon le contexte.

Comment Microsoft publie les mises à jour

• Le Patch Tuesday. Les correctifs de sécurité sortent le deuxième mardi de chaque mois (le 10 novembre et le 8 décembre 2026, par exemple), en début de soirée, heure de Paris.
• La mise à jour cumulative. Pour chaque version de Windows, un seul paquet mensuel contient tous les correctifs de sécurité et de qualité publiés depuis la sortie : installer le dernier suffit à être à jour.
• Les mises à jour hors bande. En cas de faille exploitée activement, Microsoft publie un correctif sans attendre le mois suivant.
• Les autres catégories. Pile de maintenance (le composant qui installe les mises à jour), .NET, définitions de l'antivirus Microsoft Defender (plusieurs fois par jour), pilotes, et pour Windows 11, une mise à jour de fonctionnalités par an (24H2, 25H2…). Les serveurs LTSC ne reçoivent pas de mise à jour de fonctionnalités : on change de version en migrant.

Le délai entre la publication d'un correctif et l'exploitation de la faille par des attaquants se compte parfois en jours. Le catalogue KEV de l'agence américaine CISA et les bulletins du CERT-FR signalent les failles activement exploitées : celles-là passent avant tout le reste.

Pourquoi on ne laisse pas chaque machine se débrouiller

Laisser chaque poste télécharger ses mises à jour depuis Internet, quand il veut, pose trois problèmes :

1. aucune maîtrise du moment : un serveur qui redémarre en pleine journée arrête le travail de tout le monde ;
2. aucun test : une mise à jour qui casse le logiciel de gestion des stocks casse tous les postes en même temps ;
3. aucune vision : impossible de dire, le jour d'une alerte du CERT-FR, quels postes sont protégés.

La gestion des mises à jour (patch management) organise donc le déploiement en anneaux : un petit groupe pilote reçoit les correctifs d'abord, le reste du parc quelques jours plus tard si rien n'a cassé, les serveurs dans une fenêtre de maintenance planifiée, les contrôleurs de domaine l'un après l'autre. Et elle produit des rapports de conformité.

WSUS : le principe

WSUS est un rôle de Windows Server qui fait l'intermédiaire entre Microsoft Update et les machines du réseau :

1. le serveur WSUS synchronise chaque jour le catalogue des mises à jour de Microsoft, pour les produits et les classifications choisis ;
2. l'administrateur approuve les mises à jour pour des groupes d'ordinateurs (Pilote, Postes, Serveurs) ;
3. les machines, configurées par GPO, interrogent le serveur WSUS au lieu de Microsoft Update, et installent les mises à jour approuvées pour leur groupe ;
4. elles rendent compte de leur état : installé, nécessaire, en échec.

Les fichiers ne sont téléchargés qu'une fois depuis Internet, puis distribués sur le réseau local. Plusieurs serveurs WSUS peuvent être chaînés : un serveur en amont au siège, des serveurs en aval dans les agences. WSUS stocke ses métadonnées dans une base de données : la base interne de Windows (WID) ou SQL Server.

Installer et configurer WSUS

# Le rôle, avec la base interne de Windows et la console
Install-WindowsFeature UpdateServices -IncludeManagementTools

# Fin d'installation : le dossier de stockage des mises à jour, sur un volume de données
& "C:\Program Files\Update Services\Tools\wsusutil.exe" postinstall CONTENT_DIR=D:\WSUS

Puis l'assistant de configuration de la console (wsus.msc) demande :

1. le serveur en amont : Microsoft Update, ou un autre serveur WSUS ;
2. les langues : n'en garde que les nécessaires (français, anglais) ;
3. les produits : Windows 11, Windows Server 2025, Microsoft Defender Antivirus, les versions réellement présentes dans le parc ;
4. les classifications : mises à jour critiques, de sécurité, cumulatives, définitions… ;
5. la planification de la synchronisation, une fois par jour ;
6. la première synchronisation, qui peut durer des heures.

On crée ensuite les groupes d'ordinateurs : Pilote, Postes, Serveurs, Controleurs.

Configurer les postes par GPO

Une GPO liée aux OU des ordinateurs, dans Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Windows Update (le sous-dossier Gérer les mises à jour proposées par Windows Server Update Service sur les versions récentes des modèles) :

Le ciblage côté client place automatiquement chaque machine dans le bon groupe WSUS selon la GPO qu'elle reçoit : il faut alors régler WSUS sur Utiliser les paramètres de stratégie de groupe ou du registre sur les ordinateurs (Options > Ordinateurs).

Côté poste, l'état se vérifie dans Paramètres > Windows Update, dans le journal Microsoft-Windows-WindowsUpdateClient/Operational, et en PowerShell avec Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5. Sur un serveur Core, l'option Mettre à jour de sconfig recherche et installe les mises à jour.

Approuver par anneaux

Le rythme mensuel chez Sorbier :

1. Patch Tuesday : WSUS synchronise ; l'administrateur approuve les nouvelles mises à jour pour le groupe Pilote (les postes du service informatique et deux volontaires par service).
2. Une semaine plus tard, sans incident signalé : approbation pour Postes, avec une échéance.
3. Le samedi suivant : approbation pour Serveurs, installation dans la fenêtre de maintenance, puis pour Controleurs, un contrôleur après l'autre (on vérifie la réplication entre les deux).
4. Les correctifs d'urgence (faille activement exploitée) court-circuitent le calendrier, après un test rapide.

L'administrateur refuse aussi les mises à jour remplacées par une plus récente, et lance chaque mois l'assistant de nettoyage du serveur (Invoke-WsusServerCleanup en PowerShell) : sans entretien, la base de WSUS grossit et le serveur devient lent jusqu'à ne plus répondre.

WSUS déprécié : ce que ça veut dire

Le 20 septembre 2024, Microsoft a annoncé que WSUS était déprécié. Dans la liste officielle des fonctionnalités dépréciées de Windows Server 2025, la mention est : WSUS n'est plus développé activement, toutes les fonctionnalités et le contenu existants restent disponibles.

Concrètement :

• WSUS est toujours livré dans Windows Server 2025 et supporté selon le cycle de vie de cette version, donc jusqu'en 2034 ;
• il continue de recevoir les mises à jour de Microsoft et de les distribuer ;
• il ne recevra plus aucune nouvelle fonction, et il pourra être retiré d'une future version de Windows Server ;
• la base interne de Windows (WID), qu'utilise la plupart des installations de WSUS, est dépréciée elle aussi ;
• la synchronisation des pilotes par WSUS, dont la fin était annoncée pour avril 2025, a été reportée sans date après les retours des clients.

Ce n'est donc pas une urgence : une PME qui utilise WSUS peut continuer. C'est un signal pour planifier la suite, plutôt que de découvrir un jour qu'une version de Windows Server ne le contient plus.

Les solutions de remplacement

Microsoft oriente ses clients vers des services pilotés depuis le cloud. Aucun n'est un remplaçant identique : le bon choix dépend du parc et des licences.

Comment choisir ?

• Une PME avec Microsoft 365 et des postes récents : stratégies du client Windows Update ou Intune pour les postes ; WSUS (encore) ou Azure Update Manager pour les serveurs.
• Un réseau isolé d'Internet (industriel, santé, défense) : WSUS reste la seule solution Microsoft qui fonctionne entièrement hors ligne, avec export et import manuels du catalogue.
• Un grand parc déjà équipé de Configuration Manager : il continue, avec WSUS en dessous.

Quelle que soit la solution, les principes restent ceux de ce chapitre : des anneaux, un pilote, des échéances, des fenêtres de maintenance pour les serveurs, et des rapports pour prouver que le parc est à jour.

Exercices