Votre analyse Defender s’arrêtait à 80 % sur Windows ? Microsoft a corrigé ce bug !
Depuis le 18 août 2026, des milliers d'administrateurs système ont signalé que Microsoft Defender Antivirus bloquait les analyses complètes à 80 % sur les environnements Windows 10 et 11, créant un état d'insécurité critique. Microsoft a officiellement confirmé le défaut dans le service de moteur d'analyse et a déployé un correctif via le canal de mises à jour standard, rétablissant la fiabilité du pare-feu natif.
En bref
- Symptôme précis : Les analyses manuelles ou programmées de Microsoft Defender s'interrompent systématiquement au niveau de 80 % de progression, sans message d'erreur explicite dans l'interface utilisateur.
- Impact opérationnel : Les rapports de sécurité restent incomplets, laissant une zone aveugle sur les fichiers non encore scannés, ce qui compromet l'audit de conformité.
- Cause racine : Un défaut dans le module de gestion des ressources du moteur d'analyse (
MsMpEng.exe) provoquait une fuite mémoire ou un blocage d'entrée/sortie (I/O) lors de la phase finale d'agréation des résultats. - Correctif disponible : La mise à jour corrective est distribuée via Windows Update et peut être forcée via le centre de gestion des stratégies de groupe (GPO) ou Intune.
- Action requise : Vérifier la version du moteur de défense, relancer une analyse complète et valider l'intégrité des logs.
Anatomie du blocage : comprendre le mécanisme de défaillance
Le bug identifié ne concernait pas le décodage des signatures ni la détection des heuristiques, mais bien la phase de consolidation des résultats. Dans l'architecture de Microsoft Defender, le processus MsMpEng.exe (Microsoft Defender Antivirus Service) orchestre la lecture des fichiers, leur hachage et leur comparaison contre la base de connaissances.
Lorsque l'analyse atteignait le seuil de 80 %, le service entrait dans une phase de « flush » des tampons de mémoire tampon (buffer) vers le stockage local pour générer le rapport final. Le défaut réside dans une condition d'exclusion (race condition) sur la libération des poignées de fichiers (file handles). Concrètement, le service tentait de clôturer une session d'analyse avant que le dernier lot de fichiers en cours de lecture ne soit totalement traité.
Ce phénomène était particulièrement visible sur :
- Les machines avec un disque SSD/NVMe performant, où le délai d'I/O était trop court pour déclencher le mécanisme de récupération automatique.
- Les environnements virtualisés (Hyper-V, VMware) où la latence réseau affectait la synchronisation des composants de sécurité.
- Les postes de travail avec une grande quantité de fichiers temporaires ou de journaux applicatifs (logs) non exclus de l'analyse.
Il est crucial de distinguer ce bug d'une simple lenteur d'analyse. Un simple ralentissement se manifeste par une progression lente mais continue. Ici, la barre de progression se figeait littéralement, le processus MsMpEng.exe consommait une quantité anormale de mémoire (parfois plus de 2 Go), puis le service se réinitialisait silencieusement, annulant la session en cours.
Diagnostic expert : confirmer le bug avant le correctif
Avant d'appliquer le correctif, il est impératif de vérifier si votre parc est effectivement affecté. Les logs standard de l'Application Windows peuvent être trompeurs, car le service s'arrête proprement du point de vue du système d'exploitation (exit code 0), mais l'analyse est tronquée.
1. Vérification de l'état via PowerShell
Utilisez la commande suivante pour interroger l'état actuel du moteur et vérifier si une analyse est restée en suspens ou a échoué :
# Vérifier l'état global du service et la dernière analyse
Get-MpComputerStatus | Select-Object AMEngineVersion, AntivirusSignatureLastUpdated, ScanCount, ThreatCount
# Vérifier l'historique des analyses récentes
Get-MpThreatDetection | Sort-Object -Property InitialDetectionTime -Descending | Select-Object -First 5
Si ScanCount augmente mais que le statut de la dernière analyse dans l'interface graphique reste « En cours » ou « Incomplet » après plusieurs heures, le bug est probable.
2. Analyse des journaux du service Defender
Les détails techniques se trouvent dans les journaux de l'application Windows. Recherchez les événements spécifiques au service Microsoft-Windows-Windows Defender/Operational.
# Extraire les erreurs et avertissements des 24 dernières heures
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" -MaxEvents 50 -ErrorAction SilentlyContinue | Where-Object { $_.LevelDisplayName -in "Error", "Warning" } | Format-Table TimeCreated, ID, Message -AutoSize
Cherchez des références à des codes d'erreur internes liés à la gestion de la mémoire ou aux poignées de fichiers (codes commençant souvent par 0x800 ou erreurs E_ACCESSDENIED transitoires) qui apparaissent juste avant l'interruption à 80 %.
3. Vérification de l'intégrité du service
Assurez-vous que le service n'est pas en mode dégradé à cause d'une corruption locale :
# S'assurer que le service est bien démarré et actif
Get-Service WinDefend | Select-Object Status, StartType
# Réinitialiser les composants si nécessaire (à utiliser avec précaution)
# Sfc /scannow
# DISM /Online /Cleanup-Image /RestoreHealth
Application du correctif et validation
Microsoft a corrigé ce défaut via la mise à jour du moteur d'analyse, distribuée par le canal standard de Windows Update. Comme consultant IT, vous ne pouvez pas vous contenter d'attendre la propagation naturelle si votre politique de sécurité exige une couverture immédiate.
Méthode 1 : Forçage via Windows Update
Sur les postes gérés, vous pouvez forcer la recherche et l'installation des mises à jour de sécurité, qui incluent les mises à jour du moteur Defender.
# Forcer la recherche de mises à jour
wuauclt /detectnow /reportnow
# Alternative via PowerShell (Windows 10/11)
# Note : Cette commande ne force pas l'installation directe, mais déclenche la détection.
# L'installation se fera au prochain redémarrage ou via le panneau de configuration.
Méthode 2 : Déploiement via Intune ou GPO
Pour un parc d'entreprise, la méthode la plus robuste est de vérifier que la version minimale du moteur Defender est imposée.
Via Intune (Endpoint Security) :
- Naviguez vers Endpoint Security > Antivirus.
- Assurez-vous que la politique « Minimum version of Antivirus signatures » est définie sur la version la plus récente disponible (postérieure au 18 août 2026).
- Forcez la synchronisation des profils sur les appareils affectés.
Via GPO (Group Policy Object) : Bien que la version du moteur ne soit pas directement configurable via une GPO classique (c'est géré par Windows Update), vous pouvez forcer l'installation des mises à jour via la GPO Computer Configuration > Administrative Templates > Windows Components > Windows Update. Assurez-vous que l'option « Configurer les mises à jour automatiques » est activée et que les mises à jour de sécurité sont installées automatiquement.
Validation post-correction
Une fois la mise à jour appliquée, relancez une analyse complète et surveillez la progression.
# Lancer une analyse complète
Start-MpScan -ScanType FullScan
# Surveiller la progression en temps réel (simulation via vérification de l'état)
# Il n'existe pas de commande native pour la % de progression, mais on peut vérifier
# si l'analyse est terminée avec succès.
Get-MpComputerStatus | Select-Object ScanCount, ThreatCount, AMEngineVersion
Vérifiez que la version du moteur (AMEngineVersion) a bien changé. Une analyse complète doit désormais se terminer avec un statut « Terminée » et un rapport complet.
Bonnes pratiques pour consultants IT
Face à ce type de bug critique affectant la couche de sécurité native, voici les actions recommandées pour sécuriser votre parc :
- Diversifier les sources de détection : Ne comptez pas uniquement sur Microsoft Defender. Si vous avez des agents EDR (Endpoint Detection and Response) tiers (CrowdStrike, SentinelOne, Carbon Black), vérifiez qu'ils ne sont pas affectés par des bugs similaires. Leur architecture étant différente, ils servent de filet de sécurité.
- Surveiller les métriques de performance : Dans vos outils de monitoring (Zabbix, Nagios, PRTG), ajoutez une alerte sur la consommation mémoire de
MsMpEng.exe. Si elle dépasse 1,5 Go de manière persistante sans analyse active, cela indique un potentiel fuite mémoire ou un blocage. - Exclusions ciblées : Si le blocage persistait sur certains postes avec des volumes de données énormes, envisagez des exclusions de chemins spécifiques (dossiers temporaires, journaux applicatifs volumineux) via le centre de sécurité Windows ou Intune. Cela réduit la charge I/O finale qui déclenchait le bug.
- Documentation des incidents : Documentez ce bug dans votre base de connaissances interne. Inscrivez la version du moteur corrigé et les étapes de validation. Cela évitera de diagnostiquer à nouveau ce problème si d'autres clients ou sites sont affectés.
- Plan de secours : En cas de récidive ou de nouveau bug bloquant, assurez-vous d'avoir un moyen de désactiver temporairement Defender pour lancer une analyse avec un outil portable de tierce partie (ex : Malwarebytes, ESET Online Scanner) afin de garantir la propreté des machines.
Points clés
- Le bug de blocage à 80 % de l'analyse Defender sur Windows 10/11 est confirmé et corrigé par Microsoft depuis le 18 août 2026.
- La cause est technique (race condition dans la gestion des I/O et la mémoire) et non liée aux signatures de virus.
- Le diagnostic nécessite de vérifier les logs opérationnels de Windows Defender et la version du moteur via PowerShell.
- Le correctif est distribué via Windows Update ; il est impératif de forcer la mise à jour et de valider l'analyse complète sur un échantillon représentatif du parc avant de déclarer l'incident clos.
- Pour les consultants IT, c'est une occasion de réauditer les exclusions de scan et de vérifier la redondance avec les solutions EDR tierces pour éviter tout point de défaillance unique (SPOF) dans la couche de sécurité.
Source : IT Connect
