Nouveautés Microsoft Intune – octobre 2026 : lignes de base STIG, EPM réseau et Autopatch

Les nouveautés Microsoft Intune d’octobre 2026 portent sur une question simple : qui peut modifier quoi sur un appareil, et quand les mises à jour arrivent. Au programme : une ligne de base de sécurité pour Windows 365 for Agents, la ligne de base STIG ouverte aux clients commerciaux, la modification des paramètres réseau sans droits d’administrateur grâce à Endpoint Privilege Management, l’approbation des mises à jour qualité dans Windows Autopatch et une série d’améliorations pour Apple.

Le récapitulatif de Microsoft présente ces fonctionnalités comme disponibles, sans les qualifier de préversion, à l’exception des données d’état DDM d’Apple OS 27, annoncées comme à venir. La rubrique « Myth vs. Reality » revient, elle, sur la vitesse de réévaluation de la conformité.

Voici ce qu’il faut retenir, et ce que ça change concrètement pour vous.

Les nouveautés d’octobre en un coup d’œil

Nouveauté	Plateformes	Statut
Ligne de base de sécurité Windows 365 for Agents	Cloud PC Windows 365 for Agents (Windows 11, Edge, Defender for Endpoint)	Disponible
Ligne de base STIG	Windows	Disponible pour les clients commerciaux (déjà proposée dans les clouds gouvernementaux)
EPM : paramètres système réseau (IPv4, IPv6, DNS)	Windows	Disponible
Windows Autopatch : approbation et planification des mises à jour qualité	Windows	Disponible
Clé d’omission « Device features tour » de l’Assistant de configuration	iOS 27, iPadOS 27 (inscription automatisée des appareils)	Disponible
Synchronisations plus fréquentes après la première connexion	macOS	Disponible
Nouveaux paramètres Apple dans le catalogue de paramètres	iOS/iPadOS, macOS	Disponible
Applications VPP déclaratives dans le Portail d’entreprise	iOS/iPadOS	Disponible
Données d’état DDM dans l’inventaire	Apple OS 27	À venir

Lignes de base de sécurité : Windows 365 for Agents et STIG

Une ligne de base pour les Cloud PC utilisés par des agents

Un Cloud PC qu’un agent peut utiliser doit être sécurisé avant sa première tâche. Intune propose désormais une ligne de base de sécurité pour les Cloud PC Windows 365 for Agents. Elle déploie les paramètres recommandés pour Windows 11, Microsoft Edge et Microsoft Defender for Endpoint.

Concrètement : vous partez d’une posture de sécurité cohérente pour vos charges de travail agentiques, puis vous ne personnalisez que ce dont ces charges ont réellement besoin. Un type d’appareil qu’il serait tentant d’oublier.

La ligne de base STIG arrive chez les clients commerciaux

Les STIG (Security Technical Implementation Guides) sont les recommandations de configuration de la DISA (Defense Information Systems Agency). La ligne de base STIG d’Intune, jusqu’ici réservée aux clouds gouvernementaux, est maintenant disponible pour les clients commerciaux.

Point important : elle sert à auditer les configurations des appareils Windows pris en charge et à repérer les paramètres qui ne respectent pas les recommandations, sans modifier aucun paramètre sur les appareils. Si vos exigences de conformité s’appuient sur les STIG, vous obtenez une mesure de l’écart sans risque de casser quoi que ce soit. Pour démarrer, consultez Gérer les profils de lignes de base de sécurité dans Microsoft Intune.

Endpoint Privilege Management : modifier le réseau sans droits d’administrateur

Changer une adresse IP ne devrait pas obliger à donner des droits d’administrateur local. Microsoft Intune Endpoint Privilege Management (EPM) permet désormais aux utilisateurs standard de modifier leurs paramètres réseau via une expérience dédiée dans le Portail d’entreprise.

Le mécanisme repose sur une stratégie de paramètres système d’élévation (elevation system settings policy). Elle autorise l’utilisateur à modifier les valeurs IPv4, IPv6 et serveurs DNS des cartes réseau de son appareil, sans droits d’administrateur étendus ni déploiement d’application séparé.

Deux modes de règle sont possibles :

• automatique : la modification s’applique directement ;
• confirmée par l’utilisateur : vous pouvez alors exiger une justification métier, une authentification Windows, ou les deux, avant l’application du changement.

Mon avis : c’est typiquement le cas d’usage des techniciens terrain ou des utilisateurs qui doivent configurer une adresse IP fixe pour un équipement. Plutôt que de garder un compte administrateur local « au cas où », vous encadrez précisément cette action. Les détails sont dans Gérer les paramètres système avec Endpoint Privilege Management.

Windows Autopatch : planifier les mises à jour qualité selon le travail des utilisateurs

Toutes les mises à jour n’ont pas besoin du même calendrier. Windows Autopatch étend aux mises à jour qualité le processus d’approbation et de planification déjà utilisé pour les mises à jour de pilotes. Vous pouvez approuver ou approuver automatiquement les mises à jour par type, planifier leur déploiement et suspendre une diffusion si nécessaire.

Quatre types se gèrent désormais indépendamment :

• les mises à jour de sécurité mensuelles ;
• les mises à jour non liées à la sécurité mensuelles ;
• les mises à jour de sécurité hors bande (out-of-band) ;
• les mises à jour non liées à la sécurité hors bande.

Ces contrôles étendus permettent aussi de configurer les mises à jour .NET Framework et les contrôles Quick machine recovery (récupération rapide de la machine) pour les problèmes critiques au démarrage.

Concrètement : vous pouvez caler les mises à jour non liées à la sécurité sur vos tests, vos exigences de conformité et vos contraintes métier, tout en traitant les correctifs de sécurité selon leur urgence. Voir Mises à jour qualité Windows et .NET Framework.

Apple : configuration plus rapide et nouveaux paramètres

Une nouvelle clé d’omission dans l’Assistant de configuration

Les profils d’inscription automatisée des appareils (Automated Device Enrollment) intègrent une clé d’omission de l’Assistant de configuration pour l’écran Device features tour, sur les appareils pris en charge sous iOS 27 et iPadOS 27. Elle rejoint les clés Liquid Glass et Accessibility Appearance ajoutées en août.

macOS : des synchronisations plus fréquentes après la première connexion

Le client de gestion Intune sur macOS se synchronise désormais juste après la première connexion de l’utilisateur, puis fréquemment pendant les deux heures suivantes environ, avant de revenir au rythme horaire standard tant que l’appareil est en ligne. Applications, scripts et affectations associées arrivent donc plus tôt, sans action de l’administrateur ni de l’utilisateur. Les intervalles sont décrits dans la documentation sur les intervalles d’actualisation des stratégies.

De nouveaux paramètres Apple dans le catalogue de paramètres

Le catalogue de paramètres s’enrichit pour les appareils iOS/iPadOS et macOS pris en charge : paramètres d’applications, Apple Intelligence, filtrage réseau et de contenu web et fenêtre de connexion macOS. Tout se configure avec le flux habituel des stratégies du catalogue, voir créer une stratégie avec le catalogue de paramètres.

Applications VPP déclaratives dans le Portail d’entreprise

Le Portail d’entreprise iOS/iPadOS prend en charge le téléchargement des applications VPP (Volume Purchase Program) déclaratives depuis l’onglet Applications. Elles s’installent avec moins de latence, peuvent se mettre à jour automatiquement la nuit et affichent l’état d’installation en direct. Si vous n’utilisez pas d’applications VPP déclaratives, rien ne change pour vous ni pour vos utilisateurs.

À venir : l’état DDM d’Apple OS 27 dans l’inventaire

Intune ajoutera à l’inventaire des appareils les données d’état de la gestion déclarative des appareils (DDM) d’Apple OS 27 : intégrité système des composants matériels pris en charge, détails du cache de contenu, journalisation améliorée et état MDM. Les informations varieront selon le système, le matériel, le type d’inscription et les capacités DDM prises en charge.

Idée reçue du mois : la conformité mettrait des heures à être réévaluée

L’idée reçue : après un changement de stratégie ou de paramètre de sécurité, Intune mettrait des heures à réévaluer la conformité d’un appareil.

En réalité, deux mécanismes accélèrent les choses :

• quand vous modifiez ou affectez une stratégie de conformité, Intune utilise Fast Lane pour demander aux appareils de se synchroniser et de recevoir les nouvelles exigences ;
• les appareils Windows pris en charge surveillent localement des paramètres de sécurité clés, même quand les exigences ne changent pas. Si le pare-feu est désactivé, l’appareil détecte le changement et demande une synchronisation sans attendre la prochaine planifiée, ce qui réduit la fenêtre d’exposition.

Le mécanisme joue aussi dans l’autre sens : quand l’antivirus redevient sain, à jour et actif, l’appareil peut déclencher une synchronisation. Un utilisateur bloqué par l’accès conditionnel retrouve donc plus vite ses ressources une fois le problème corrigé. Pour aller plus loin : Créer une stratégie de conformité dans Microsoft Intune.

Également annoncé ce mois-ci

En novembre, Microsoft ne publiera pas de récapitulatif « What’s New » : place à Microsoft Ignite 2026, du 17 au 20 novembre à San Francisco et en ligne. La session AI ready endpoints : secure, manage and scale (BRK404), avec Jason Roszak et Eugenie Burrage, présentera la direction prise par Intune.

Ce que je vous conseille de faire ce mois-ci

1. Déployez la ligne de base STIG en audit si vos exigences de conformité s’y réfèrent : elle ne modifie aucun paramètre et vous donne une mesure de l’écart.
2. Recensez les utilisateurs qui ont des droits d’administrateur local pour gérer le réseau et remplacez-les par une stratégie de paramètres système d’élévation EPM, en mode confirmé avec justification.
3. Revoyez votre calendrier de mises à jour qualité dans Windows Autopatch : séparez sécurité et non-sécurité, et décidez du traitement des mises à jour hors bande.
4. Ajoutez la clé Device features tour à vos profils d’inscription automatisée pour les appareils sous iOS 27 et iPadOS 27.
5. Préparez une ligne de base pour Windows 365 for Agents avant de mettre des Cloud PC à disposition d’agents.