Alerte critique: Le patch mai 2026 pourrait empêcher l'emplacement des pilotes de domaine sur Windows Server 2016 lorsque le nom d'ordinateur a 15 caractères

Microsoft a reconnu un problème connu introduit par le mai 2026 KB5087537 patch de sécurité qui affecte l'équipement de Windows Server 2016 et peut causer des défaillances de l'emplacement du pilote de domaine (DC) lorsque le nom d'ordinateur a exactement 15 caractères. L'échec est exprimé dans les appels à DCLocator - par exemple par la commande nltest / dsgetdc:/ PDC - ils reviennent ERREUR _ INVALIDE _ PARAMÈTRE et donc empêcher les outils et les applications de trouver un contrôleur de domaine.

Du point de vue technique, l'incidence ne semble pas aléatoire: Microsoft indique que le comportement anormal ne se produit que dans les noms de machine avec la longueur exactement 15, suggérant une erreur dans les validations ou dans la manipulation du tampon qui traite le nom d'hôte pendant la résolution DC. Bien que Windows Server 2016 ait dépassé la phase de support général, il continue de recevoir des correctifs sur le canal de support étendu; vous pouvez vérifier le cycle de vie officiel sur la page Microsoft: https: / / learn.microsoft.com / fr-us / cycle de vie / produits / windows-server-2016 et l'avis spécifique sur ce problème dans le document d'appui de la mise à jour: https: / / support.microsoft.com /... / kb5087537.

Les implications opérationnelles peuvent être pertinentes: défaillances dans les opérations administratives qui dépendent des recherches en continu tels que la gestion de l'espace de noms DFS, l'authentification des services qui dépendent des requêtes de domaine et certaines tâches de gestion à distance. Dans les grands environnements, cela peut se traduire par des services dégradés ou des interruptions de processus de sauvegarde, des tâches de politique de groupe et d'autres scénarios qui consultent un contrôleur de domaine.

Avant de prendre des mesures, identifiez rapidement si vous avez affecté l'équipement. Vous pouvez détecter des serveurs dont le nom a 15 caractères à l'aide du catalogue Active Directory ou PowerShell (par exemple, avec le module AD obtenir les équipements dont la propriété Name a une longueur égale à 15). Pour vérifier directement si une équipe a le symptôme, lancez un appel de test à DCLocator comme nltest / dsgetdc:/ pdc; si l'appel retourne ERROR _ INVALID _ PARAMETER (code 87) il y a corrélation avec le problème décrit.

En ce qui concerne l'atténuation, envisager ces mesures immédiates: arrêt des déploiements en masse du KB5087537 sur les serveurs critiques par ses mécanismes de gestion des patchs (WSUS, SCCM / ConfigMgr, Intune ou Windows Update rings), et dans l'équipement où l'incidence a déjà été installée et expérimentée, évaluer la désinstallation de la mise à jour (par exemple en utilisant wusa.exe pour supprimer le paquet ou en visualisant les mises à jour installées) et redémarrer pour récupérer la capacité de localisation DC. Pour les serveurs qui ne sont pas des contrôleurs de domaine, une solution rapide peut être de renommer l'équipement de sorte que la longueur de l'auberge n'est pas exactement 15 caractères; cependant, nous ne recommandons pas de renommer les contrôleurs de domaine sans suivre la procédure officielle et prévue, parce que renommer un DC est une opération avec des risques et des dépendances (DNS, répliques, certificats, services).

Si vous avez des pilotes de domaine avec 15 noms de caractères et sont affectés, la chose la plus prudente est d'abord de restaurer l'opération en désinstallant le patch ou en isolant l'équipement pour éviter des impacts supplémentaires, puis de coordonner avec Microsoft Support pour une résolution finale ou un hotfix. De plus, repensez votre stratégie pour éviter les longueurs limites et automatiser les contrôles qui détectent les noms avec des longueurs problématiques avant d'appliquer des correctifs.

Je recommande que les organisations ayant des environnements de production suivent une politique simple mais efficace : tester les mises à jour dans un laboratoire représentatif, bloquer la distribution dans les anneaux externes pour valider le comportement dans les systèmes critiques et maintenir des procédures de réversion claires (copies, instantanés ou méthodes pour désinstaller les correctifs). Il est également important de surveiller les enregistrements d'événements système et les alertes de service d'authentification pour détecter les effets secondaires précoces.

Enfin, documenter et communiquer l'impact aux intervenants (opérations, sécurité et équipement d'affaires), hiérarchiser la liste des serveurs à examiner (premiers DC et services qui dépendent de l'authentification) et suivre l'avis de Microsoft pour appliquer le correctif ou la correction finale lorsque disponible. Si vous avez besoin d'orientations spécifiques pour votre topologie (contrôleurs de domaines, DFS, ou grandes fermes de serveurs), faites appel à un support professionnel ou à votre fournisseur de confiance, car les actions d'assainissement peuvent varier selon l'architecture et les politiques du domaine.