Depuis l'installation de la mise à jour de sécurité de septembre 2026, ton VPN Always On refuse de se connecter ? Tu n'es pas seul, et ta configuration n'y est probablement pour rien.

Les mises à jour KB5124008 (Windows 11 25H2 et 24H2) et KB5124012 (Windows 11 26H1) cassent le VPN Always On quand le profil utilise la sélection automatique du protocole. Le contournement recommandé par Microsoft est simple : forcer un seul protocole dans le profil, SSTP ou IKEv2.

Dans ce guide, tu vas comprendre ce qui coince exactement, puis appliquer 6 solutions classées du plus simple au plus avancé. On part à la chasse au bug, pas à pas.

Ce qui s'est passé avec la mise à jour de septembre 2026

En temps normal, quand ton profil Always On est réglé en mode automatique, Windows tente d'abord une connexion IKEv2. Si les ports UDP 500 et 4500 sont filtrés — classique sur un réseau d'hôtel ou un Wi-Fi public — il bascule automatiquement sur SSTP. SSTP s'appuie sur HTTPS (TCP 443), donc il traverse la plupart des pare-feu sans broncher.

Les KB de sécurité de septembre 2026 perturbent justement cette bascule automatique entre IKEv2 et SSTP. Résultat : la connexion échoue, alors que chaque protocole pris séparément fonctionnerait très bien.

Microsoft a reconnu le problème et travaille sur un correctif, sans date annoncée. En attendant, le contournement officiel consiste à forcer un seul protocole dans le profil Always On VPN, via Intune.

À retenir pour la suite : forcer SSTP seul offre la meilleure compatibilité (il passe partout), au prix de performances un peu moindres. Forcer IKEv2 seul convient aux postes sur réseau maîtrisé, mais risque de laisser les utilisateurs nomades sans accès.

Le petit réflexe hunter : avant de toucher quoi que ce soit, note la KB installée et teste la connexion sur deux réseaux différents (par exemple ton réseau maison et un partage de connexion mobile). Si ça échoue partout, c'est bien la mise à jour, pas ton réseau.

Action : identifie ta version de Windows (touche Windows + R, tape winver) et note ta KB : KB5124012 pour Windows 11 26H1, KB5124008 pour les 25H2 et 24H2.

Les 6 solutions, du plus simple au plus avancé

Suis cet ordre : chaque étape élimine une cause possible, et la plupart des cas se règlent dès la première.

1. Forcer SSTP seul dans le profil (la solution recommandée)

C'est le contournement officiel de Microsoft. Tu modifies le profil Always On VPN (via Intune) pour ne garder qu'un seul protocole : SSTP.

Pourquoi SSTP en premier ? Parce qu'il utilise le port TCP 443, celui du HTTPS. Il traverse les pare-feu d'hôtel, les Wi-Fi publics et les portails captifs là où IKEv2 se fait bloquer. C'est le choix le plus sûr pour les utilisateurs nomades.

Concrètement, ton administrateur doit modifier le profil dans Intune : dans les paramètres du profil VPN, désactiver la sélection automatique du protocole et sélectionner SSTP comme unique protocole. Ensuite, il redéploie le profil et tu testes la connexion.

Action : fais modifier le profil pour forcer SSTP seul, puis reconnecte-toi.

2. Forcer IKEv2 seul (si ton réseau est maîtrisé)

L'alternative au contournement officiel : forcer IKEv2 seul. C'est pertinent si tes utilisateurs restent sur un réseau d'entreprise ou domestique bien configuré, sans filtrage des ports UDP.

Le revers est réel : dès qu'un utilisateur se connecte depuis un hôtel ou un Wi-Fi public qui filtre les ports UDP 500 et 4500, il n'aura plus de connexion. Sans la bascule automatique vers SSTP, il reste bloqué.

Cette option convient donc aux postes fixes, pas aux nomades. Si tes équipes voyagent souvent, notre guide sur le VPN bloqué sur Wi-Fi d'hôtel, d'aéroport ou portail captif t'expliquera pourquoi SSTP est alors indispensable.

Action : sur un réseau maîtrisé, demande le forçage IKEv2 seul ; sinon, reste sur SSTP.

3. Vérifier le pare-feu et les ports côté client

Même avec le bon protocole, un pare-feu local ou un antivirus trop zélé peut bloquer la connexion. Vérifie que les ports nécessaires sont ouverts : UDP 500 et 4500 pour IKEv2, TCP 443 pour SSTP.

Sur ton PC, ouvre le Pare-feu Windows Defender et contrôle qu'aucune règle ne bloque le tunnel VPN. Désactive temporairement ton antivirus tiers pour un test : s'il est en cause, tu le sauras vite.

Si tu es sur un réseau public, le filtrage vient souvent du réseau lui-même, pas de ton PC. Dans ce cas, forcer SSTP seul (solution 1) reste ta meilleure carte.

Action : vérifie les ports UDP 500/4500 et TCP 443, puis refais un test de connexion.

4. Installer la mise à jour optionnelle KB5124010

Le 22 septembre, Microsoft a publié la mise à jour optionnelle KB5124010. Elle ne corrige pas officiellement ce bug du VPN Always On, mais elle vaut le test : les mises à jour cumulatives optionnelles embarquent souvent des ajustements réseau.

Va dans Paramètres, puis Windows Update, et clique sur « Rechercher les mises à jour ». Installe la KB5124010 si elle est proposée, puis redémarre ton PC.

Action : installe la KB5124010 et teste à nouveau ton VPN.

5. Réinitialiser la pile réseau

Quand les paramètres réseau sont corrompus, un reset complet remet les compteurs à zéro. Ouvre l'invite de commandes en administrateur et tape successivement :

netsh winsock reset

netsh int ip reset

Redémarre ensuite ton ordinateur. Cette manipulation efface les configurations réseau personnalisées, mais ne touche ni à tes fichiers ni à tes applications.

Si tu obtiens une erreur différente après ça, par exemple une erreur 691, ce n'est plus le bug de septembre : consulte notre guide dédié VPN qui ne se connecte plus sur Windows 11 : erreur 691, solutions.

Action : exécute les deux commandes netsh en administrateur, redémarre, reteste.

6. Désinstaller la KB fautive (dernier recours)

Si rien ne fonctionne, tu peux désinstaller la mise à jour en cause : Paramètres, Windows Update, Historique des mises à jour, puis « Désinstaller les mises à jour ». Sélectionne KB5124008 ou KB5124012 selon ta version de Windows.

Attention : les mises à jour de sécurité de septembre 2026 corrigent des failles critiques. Désinstaller la KB te reconnecte au VPN, mais laisse ton PC exposé. Réinstalle-la dès que Microsoft publie le correctif officiel.

Pour limiter l'exposition, ne désinstalle que le temps strictement nécessaire, et évite les réseaux publics pendant cette période.

Action : désinstalle la KB, teste, et surveille la sortie du correctif Microsoft pour la réinstaller.

En attendant le correctif : un dépannage temporaire

Si tu dois travailler tout de suite et que le VPN d'entreprise reste inaccessible, une solution temporaire peut dépanner : utiliser un VPN grand public fiable le temps que ton IT corrige le profil Always On.

Notre reco : pour un dépannage temporaire, un VPN grand public fiable comme NordVPN te permet de sécuriser ta connexion en attendant que ton Always On refonctionne. Pense à le désactiver une fois le VPN d'entreprise rétabli, pour ne pas faire transiter les données pro par un autre tunnel.

Action : mets en place une solution temporaire uniquement si ton responsable IT l'autorise.

Quand demander de l'aide

Le profil Always On VPN est géré par ton entreprise : si tu n'as pas accès à Intune, tu ne pourras pas forcer le protocole toi-même. C'est normal, et ce n'est pas un échec.

Contacte ton administrateur réseau ou le support IT de ton entreprise. Transmets-lui les infos clés : les KB en cause (KB5124008, KB5124012), le contournement officiel (forçage d'un protocole unique, SSTP recommandé) et le fait que Microsoft prépare un correctif.

Si tu es toi-même l'administrateur, vérifie après modification du profil que celui-ci est bien redéployé sur les postes : un profil modifié mais non redéployé ne change rien.

Action : envoie à ton IT ce guide et les numéros de KB, puis patiente pour le redéploiement du profil.

Questions fréquentes

Pourquoi mon VPN marchait très bien avant la mise à jour de septembre 2026 ?

Parce que le bug touche la bascule automatique entre IKEv2 et SSTP, pas ta configuration. Ton profil n'a pas changé : c'est Windows qui gère mal la sélection du protocole depuis l'installation de la KB.

Forcer SSTP seul va-t-il ralentir ma connexion ?

Légèrement : SSTP offre des performances un peu moindres qu'IKEv2. Mais une connexion stable et un peu moins rapide vaut mieux qu'aucune connexion du tout.

Je n'ai pas accès à Intune, que puis-je faire ?

Le profil Always On est géré par ton entreprise : seul l'administrateur peut modifier le protocole. Transmets-lui ce guide et les numéros de KB. En attendant, les solutions 3 à 6 restent à ta portée.

La mise à jour optionnelle KB5124010 corrige-t-elle le problème ?

Microsoft n'a pas confirmé de correction dans cette mise à jour du 22 septembre. Installe-la quand même : elle peut améliorer les choses, et un correctif officiel est en préparation, sans date annoncée.

Puis-je simplement désinstaller la mise à jour ?

Oui, mais c'est le dernier recours : tu perds les correctifs de sécurité critiques de septembre 2026. Réinstalle la KB dès que le correctif officiel de Microsoft sort.