Un correctif de sécurité critique publié dans la mise à jour cumulative d’octobre de Microsoft fait dysfonctionner des environnements de développement dans Windows 11. Les entreprises sont tiraillées entre rollbacks et remise en question du processus d’assurance qualité du fournisseur.
Alors que Windows 10 arrive en fin de vie, les problèmes avec Windows 11 abondent. Dernier exemple en date : une mise à jour a désactivé localhost pour certains développeurs, les empêchant d’accéder aux applications web fonctionnant localement sur leurs machines. La mise à jour cumulative d’octobre 2025 (KB5066835) a corrigé des problèmes de sécurité dans les systèmes d’exploitation Windows, mais semble également avoir bloqué la capacité de l’OS à communiquer avec des processus internes. Localhost permet aux applications et aux services de s’échanger des informations sans utiliser Internet ou un réseau externe. Les programmeurs utilisent cette fonction pour concevoir, tester et déboguer des sites web et des applications localement sur une machine Windows avant de les mettre à la disposition du public. « Pour tous ceux qui développent des logiciels, c’est énorme », a déclaré David Shipley co-fondateur et CEO de Beauceron Security.
Le problème a été largement signalé sur les forums d’assistance de la firme de Redmond ainsi que sur d’autres sites de codeurs tels que Stack Overflow et Stack Exchange. La société a confirmé l’existence du bogue ; une page mise à jour sur l’état de santé des versions Windows décrit le problème et propose des solutions pour y remédier.
Des mesures d’atténuations pour sortir de l’impasse
KB5066835 est une mise à jour cumulative d’octobre 2025 pour les versions 24H2 et 25H2 de Windows 11. Elle a été précédée par une mise à jour préliminaire, KB5065789, publiée le 29 septembre 2025, qui corrigeait des problèmes tels que l’aperçu avant impression dans les navigateurs basés sur Chromium, les délais d’attente des commandes affectant l’audit dans PowerShell Remoting et Windows Remote Management (WinRM), et les messages d’erreur persistants dans la configuration de Windows Hello. Les développeurs ont également signalé quelques problèmes inattendus, notamment des échecs de connexion et des problèmes de protocole HTTP/2 affectant divers outils de développement tels que ASP.NET et Visual Studio.
Certains développeurs ont réussi à contourner ces problèmes importants en désinstallant le package KB5066835, en redémarrant leur ordinateur, puis en suspendant les mises à jour Windows afin qu’il ne soit pas réinstallé automatiquement. D’autres, cependant, ont signalé sur des forums en ligne que leurs tentatives de désinstallation du patch KB5066835 avaient échoué et qu’ils avaient dû supprimer à la place le package précédent KB5065789 de septembre. Si aucune de ces tactiques ne fonctionnait, les utilisateurs suggéraient d’ouvrir les fonctionnalités Windows et de désactiver Hyper-V, IIS, le service d’activation des processus Windows et .NET Framework 3.5 et 4.8. L’éditeur a répondu en attribuant le problème à « diverses conditions », notamment la connectivité Internet et le « moment de l’installation de la mise à jour récente et du redémarrage des appareils », et affirme qu’il est possible qu’il ne soit pas observé du tout dans certains environnements.
La solution proposée consiste à utiliser la fonctionnalité Known Issue Rollback pour supprimer les mises à jour incriminées. Ce problème sera résolu automatiquement pour les systèmes grand public et professionnels non managés, et peut être déployé à l’aide d’une stratégie de groupe spéciale dans les entreprises. La société a également suggéré d’essayer les étapes suivantes : Ouvrez « Windows Update » dans l’application « Paramètres Windows ». Cliquez sur « Rechercher les mises à jour » et autorisez l’installation de toutes les mises à jour. Redémarrez l’appareil (même si aucune mise à jour n’a été installée à l’étape précédente). « Nous travaillons à la publication d’une solution à ce problème dans une prochaine mise à jour Windows », a déclaré Microsoft. « Nous vous tiendrons informés dès que nous aurons plus d’informations. »
Des perturbations et des frustrations
« Cela affecte le développement local ainsi que les applications métiers », a écrit un utilisateur sur un forum hébergé par Microsoft. Il a signalé que lorsque la mise à jour est supprimée, « tout fonctionne à nouveau ». La connexion localhost est un élément « fondamental » de Windows sur lequel les développeurs et les entreprises s’appuient discrètement chaque jour, a expliqué Erik Avakian, consultant chez Info-Tech Research Group. « Localhost sert en quelque sorte de colonne vertébrale pour la conception et le test de nombreuses applications modernes. » Lorsque localhost cesse de fonctionner, l’ensemble des environnements de développement d’applications peut être affecté, voire paralysé, entraînant la défaillance des processus et services internes et l’interruption de la communication, a-t-il souligné. Cela signifie que les développeurs ne peuvent plus tester ou exécuter d’applications web localement.
Ce problème empêche les développeurs de réaliser des débugs en local pouvant faire échouer leurs processus de tests automatisés. Dans le même temps, les services informatiques doivent résoudre les problèmes, traiter un afflux de tickets de support, restaurer les correctifs et rechercher des solutions de contournement. « Ce bogue est suffisamment perturbateur pour entraîner des retards, une perte de productivité et de la frustration au sein des équipes », a déclaré M. Avakian. « Tout cela se traduit par une perte financière réelle en termes de temps de travail des utilisateurs et de perturbation des processus métier. »
Des pertes sèches de productivité pour les développeurs
En termes d’impact économique, les développeurs de logiciels ont peut-être perdu chacun entre une demi-journée et une journée, voire plus, à cause de ce problème, a fait remarquer M. Shipley. « Cela s’additionne rapidement », a-t-il déclaré. Il est même allé jusqu’à dire que, selon le nombre de développeurs touchés dans le monde, ce bug pourrait avoir un impact aussi important que la panne généralisée de CrowdStrike en juillet 2024, qui avait interrompu les vols et mis temporairement hors ligne des millions d’entreprises. « Si les gens annulent cette mise à jour, qui comprend des correctifs de sécurité, pour des cibles de grande valeur comme les développeurs, cela crée un risque énorme », a déclaré M. Shipley. « Demander aux développeurs de renoncer aux correctifs automatiques et de revenir à l’ancienne approche consistant à attendre quelques semaines avant d’appliquer les correctifs est beaucoup plus dangereux aujourd’hui, compte tenu de la vitesse à laquelle le développement des vulnérabilités basées sur l’IA fonctionne désormais » a-t-il souligné. « J’aimerais beaucoup voir une analyse rétrospective sur la façon dont ce désastre s’est produit et savoir si un mauvais code ou des tests AI ont joué un rôle dans cette affaire ».
Selon M. Avakian, ce type de problème souligne l’importance du contrôle qualité et des tests approfondis effectués par des fournisseurs et des distributeurs tiers avant la mise sur le marché des mises à jour. Ne pas le faire peut avoir des répercussions importantes en aval et éroder la confiance dans le processus de mise à jour, tout en rendant les équipes plus prudentes en matière de correctifs. « Localhost est vraiment l’un des éléments les plus fondamentaux de la pile réseau Windows », a déclaré M. Avakian. « Un élément aussi fondamental ne devrait pas passer inaperçu lors des tests des mises à jour. » Et de souligner que cette situation rappelle également aux équipes IT qu’il est important de tester d’abord les mises à jour dans des environnements de test, de tester divers processus métier critiques dans toute l’entreprise à chaque itération de mise à jour et de créer des runbooks avec des plans de restauration et des dépendances qui correspondent aux processus métier. « Lorsque ces perturbations se multiplient sur des dizaines ou des centaines de machines de développement, cela peut entraîner un coût élevé en termes de temps, de retards et de coordination des équipes informatiques », prévient M. Avakian.