PIN BitLocker sous Windows 11 : KB5127936 limite les verrouillages TPM involontaires

La rédaction TricknFix OPPublié il y a 1 jour 5 min de lecture

Editorial illustration of an abstract teal shield with a keyhole and soft retry arcs over a faint chip grid, suggesting calmer BitLocker pre-boot PIN handling under Windows. — Crédit : TricknFix — illustration éditoriale

KB5127936 (aperçu Windows 11 25H2/26H2, builds 26300.9818 / 26200.9818) améliore la gestion des nouvelles tentatives de PIN BitLocker avant démarrage afin de limiter les soumissions répétées involontaires qui peuvent provoquer un verrouillage TPM anti-dictionnaire et une récupération BitLocker. Aperçu optionnel via Options avancées de Windows Update ; demandez à l’IT sur un PC géré. Ce n’est pas une garantie d’absence totale de verrouillage.

L’aperçu non sécurité d’octobre 2026 KB5127936 inclut une amélioration BitLocker destinée aux personnes qui déverrouillent Windows avec un PIN avant démarrage protégé par le TPM. En déploiement normal, Microsoft indique que la mise à jour améliore la gestion des nouvelles tentatives de PIN BitLocker avant démarrage pour empêcher des soumissions répétées involontaires de provoquer un verrouillage TPM anti-attaque par dictionnaire et une récupération.

Cet article explique ce que signifie cette formulation en langage clair, à qui elle s’applique (Windows 11 versions 25H2 et 26H2, builds 26300.9818 et 26200.9818), comment obtenir l’aperçu optionnel, et ce que la documentation BitLocker / TPM de Microsoft dit déjà sur la protection anti-martelage du PIN — sans inventer une nouvelle interface PIN, sans affirmer que chaque appareil est « guéri », ni décrire des étapes de récupération non vérifiées. Il ne reprend pas les autres articles TricknFix déjà publiés sur le même aperçu (Accelerated App Launch Edge, Always On VPN, Smart App Control grisé, menu contextuel Explorateur personnalisable).

Aucun test BitLocker/TPM en laboratoire n’est revendiqué ici. Les faits suivent KB5127936 et les pages Microsoft Learn consultées le 6 novembre 2026 (Europe/Paris). Sur un PC géré, demandez à votre équipe IT avant d’installer des mises à jour optionnelles.

Ce que KB5127936 dit sur BitLocker

KB5127936 est daté du 28 octobre 2026 et s’applique à Windows 11 version 26H2 et Windows 11 version 25H2 (éditions listées sur le KB). Les builds sont 26300.9818 et 26200.9818.

En déploiement normal, les notes incluent cet élément :

[BitLocker] This update improves BitLocker pre-boot PIN retry handling to prevent unintended repeated submissions from causing TPM dictionary-attack lockout and recovery.

Limites importantes qui découlent de cette phrase seule :

Il s’agit d’une amélioration de la gestion des nouvelles tentatives, pas d’une refonte de BitLocker ni d’une nouvelle interface PIN décrite dans le KB
L’objectif est de réduire les soumissions involontairement répétées qui peuvent pousser le TPM vers un verrouillage anti-dictionnaire, puis vers la récupération BitLocker
Microsoft n’affirme pas que chaque PIN erroné, chaque tentative de force brute volontaire ou chaque configuration d’appareil est désormais immunisé contre le verrouillage

Pourquoi un PIN erroné peut mener à un verrouillage TPM (contexte Microsoft)

La documentation Microsoft sur les contre-mesures BitLocker décrit l’option TPM avec PIN : en plus de la protection TPM, l’utilisateur doit saisir un PIN avant que le contenu du lecteur système soit accessible. Les mêmes docs indiquent que les TPM disposent d’une protection anti-martelage conçue pour freiner les attaques par essais sur le PIN.

Le guide Manage TPM lockout explique l’idée générale : lorsque des valeurs d’autorisation envoyées au TPM échouent de façon répétée (exemple courant : BitLocker configuré en TPM plus PIN), la logique de protection du TPM est conçue pour ralentir ou arrêter les réponses — et le TPM peut entrer en état de verrouillage. Pendant ce verrouillage, les commandes qui nécessitent une autorisation échouent en général jusqu’à ce que la condition se lève selon les règles du TPM (Windows configure un comportement standardisé pour TPM 2.0).

En termes concrets pour un utilisateur de PIN :

Vous saisissez un PIN BitLocker avant démarrage
Des tentatives incorrectes ou involontairement répétées peuvent ressembler à une attaque par essais pour le TPM
Les défenses anti-martelage / anti-dictionnaire du TPM peuvent verrouiller d’autres autorisations
BitLocker peut alors exiger une récupération (en pratique souvent la clé de récupération BitLocker) avant de déverrouiller le lecteur

Ce parcours de récupération est voulu pour la sécurité. Oublier un PIN ou atteindre le verrouillage est perturbant ; Microsoft documente les options de récupération séparément. Gardez la gestion de la clé de récupération à un niveau général : suivez BitLocker recovery overview et le processus de votre organisation — n’inventez pas d’étapes de mémoire.

Ce que cet aperçu vise à améliorer

La note BitLocker de KB5127936 porte sur la gestion des nouvelles tentatives afin que des soumissions répétées involontaires soient moins susceptibles de basculer l’appareil dans ce chemin verrouillage TPM → récupération. Cette formulation est surtout pertinente si un clavier, une invite de firmware ou un chemin de saisie peut soumettre le PIN plus d’une fois sans que l’utilisateur veuille une nouvelle tentative — Microsoft ne détaille pas chaque scénario matériel dans cette ligne unique.

Ce que cet article n’affirme pas :

Que la saisie du PIN est désormais « illimitée » ou que l’anti-martelage est désactivé
Que chaque invite de récupération BitLocker vue auparavant était due à ce bug
Que le correctif est déjà dans une mise à jour de sécurité mensuelle pour chaque branche Windows 11 (cet élément est livré dans le package d’aperçu non sécurité décrit sur le KB)
Une confirmation pratique sur un clavier OEM, un dock ou une révision de firmware TPM précise

Prérequis et obtention de la mise à jour optionnelle

Pour coller au périmètre documenté de KB5127936 pour cet aperçu :

Windows 11 version 25H2 ou 26H2
Package d’aperçu KB5127936 (builds 26200.9818 / 26300.9818) ou une mise à jour ultérieure qui inclut le même changement de gestion des nouvelles tentatives BitLocker une fois qu’il atteint votre canal

Obtention documentée par Microsoft pour l’aperçu optionnel : ouvrez Démarrer > Paramètres > Windows Update > Options avancées > Mises à jour optionnelles, puis recherchez les mises à jour optionnelles disponibles.

Note de périmètre du même KB : à partir de la publication d’octobre 2026, les aperçus non sécurité ne sont disponibles que pour Windows 11 versions 25H2 et 26H2 sur ce parcours de maintenance. Windows 11 version 24H2 ne reçoit plus ces aperçus non sécurité (Entreprise et Éducation continuent les mises à jour de sécurité mensuelles). Les organisations encore en 24H2 doivent suivre le canal de mise à jour IT plutôt que d’attendre ce package d’aperçu non sécurité.

Appareils gérés : si votre PC est inscrit dans une gestion d’entreprise, traitez les aperçus optionnels comme contrôlés par l’IT. Demandez avant d’installer.

Autres éléments KB5127936 déjà sur TricknFix

KB5127936 est un large aperçu. Des articles TricknFix distincts couvrent déjà d’autres fonctions de ce package ; ce sont des intentions différentes :

Un correctif [Audio] pour la lecture HDMI / DisplayPort qui peut échouer sur certaines cartes graphiques AMD figure aussi sur le même KB et est traité séparément comme sujet communautaire de ce cycle, pas comme angle principal de cet article. USB Audio Class 1.0 Code 10 reste un problème connu sur la même page KB et concerne une autre classe de périphériques.

Sources

Sources & références

#bitlocker #kb5127936 #tpm #Windows 11