Le 10 novembre 2026, Windows 11 23H2 Enterprise et Education arrivera en fin de support. Après cette échéance, les appareils concernés ne recevront plus les mises à jour mensuelles de sécurité de Microsoft.
Pour les administrateurs Microsoft 365, c'est l'occasion de vérifier une question essentielle : combien de postes de votre parc utilisent encore une version de Windows qui n'est plus maintenue ou qui approche de sa fin de support ?
Microsoft Intune et Microsoft Graph permettent de réaliser une première analyse sans intervenir directement sur les appareils.
Comprendre les dates de fin de support
Toutes les éditions de Windows 11 ne disposent pas de la même durée de maintenance.
| Version | Home / Pro | Enterprise / Education |
|---|---|---|
| Windows 11 23H2 | Terminé depuis le 11/11/2025 | 10/11/2026 |
| Windows 11 24H2 | Terminé depuis le 13/10/2026 | 12/10/2027 |
| Windows 11 25H2 | 12/10/2027 | 10/10/2028 |
| Windows 11 26H2 | 10/10/2028 | 09/10/2029 |
Ces repères concernent les éditions du canal de disponibilité générale présentées ici, hors LTSC. Le tableau n’est pas exhaustif : Windows 11 26H1 suit aussi son propre calendrier. Les dates ont été vérifiées le 2 novembre 2026 dans les informations de version Microsoft.
Un appareil peut parfaitement continuer à fonctionner après sa date de fin de support. En revanche, il ne bénéficie plus des correctifs mensuels de sécurité correspondants.
Un appareil fonctionnel n'est donc pas nécessairement un appareil sécurisé ou maintenu.
Identifier les versions Windows dans Intune
La première méthode consiste à utiliser le centre d'administration Microsoft Intune.
- Ouvrir le centre d’administration Intune.
- Accéder à Appareils > Tous les appareils.
- Filtrer les appareils Windows.
- Consulter leur version de système d'exploitation et leur dernière synchronisation.
- Exporter l'inventaire si une analyse plus détaillée est nécessaire.
Les versions Windows peuvent notamment être identifiées par leur numéro de build :
| Version | Build principale |
|---|---|
| Windows 11 23H2 | 22631 |
| Windows 11 24H2 | 26100 |
| Windows 11 25H2 | 26200 |
| Windows 11 26H2 | 26300 |
Attention : la build seule ne suffit pas à déterminer la fin de support. Il faut également connaître l'édition Windows et tenir compte des exceptions de maintenance.
Automatiser l'inventaire avec Microsoft Graph
Pour les administrateurs souhaitant automatiser cette vérification, Microsoft Graph expose les appareils gérés par Intune via l'API v1.0 :
GET /deviceManagement/managedDevices
Cette ressource permet notamment de récupérer :
deviceName: nom de l'appareil ;operatingSystem: système d'exploitation ;osVersion: version installée ;complianceState: état de conformité Intune ;lastSyncDateTime: dernière synchronisation.
La permission Microsoft Graph DeviceManagementManagedDevices.Read.All est nécessaire pour lire ces informations, avec les droits et consentements appropriés.
Exemple PowerShell
L’exemple nécessite le module Microsoft.Graph.DeviceManagement et ses dépendances, dont l’authentification Graph. Si le module n’est pas installé, son installation peut être réalisée séparément :
Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser
Le compte doit disposer des autorisations Intune nécessaires et du consentement Graph approprié. Une licence Intune active est requise pour le tenant. Le script suivant réalise ensuite un premier inventaire Windows 11 23H2 :
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
$devices = Get-MgDeviceManagementManagedDevice `
-All `
-Property "deviceName,operatingSystem,osVersion,complianceState,lastSyncDateTime"
$win23H2 = $devices | Where-Object {
$_.OperatingSystem -eq "Windows" -and
$_.OsVersion -match '^10\.0\.22631(\.|$)'
}
$win23H2 |
Select-Object DeviceName, OsVersion,
ComplianceState, LastSyncDateTime |
Export-Csv -Path ".\Windows11_23H2.csv" `
-NoTypeInformation -Encoding UTF8
L’option -All récupère toutes les pages de résultats. Les lectures Graph ne modifient ni les appareils ni leur configuration ; la commande crée un CSV sur le poste qui exécute le script. Il extrait les appareils dont la build correspond à Windows 11 23H2 et génère un fichier CSV pour faciliter l'analyse.
Il ne permet toutefois pas, à lui seul, de déterminer l'édition Windows ni de confirmer que l'inventaire est à jour. Les appareils absents d'Intune ne seront pas remontés.
Pourquoi la conformité Intune ne suffit-elle pas ?
C'est un point souvent négligé.
Un appareil peut apparaître comme conforme dans Microsoft Intune tout en exécutant une version de Windows qui n'est plus maintenue.
Pourquoi ?
Parce que la conformité repose sur les politiques configurées dans l'environnement. Elle ne constitue pas automatiquement une validation complète du cycle de vie Microsoft.
Par exemple, une stratégie qui vérifie uniquement le chiffrement BitLocker et la présence d'un antivirus ne garantit pas que Windows bénéficie encore de mises à jour de sécurité.
Intune permet de définir des versions minimales d'OS ou des plages de builds autorisées. Il faut toutefois maintenir ces exigences en fonction des versions et éditions déployées.
Il est donc important de distinguer trois notions :
- Inscription : l'appareil est présent et administré dans Intune.
- Conformité : l'appareil respecte les politiques configurées.
- Support éditeur : la version de Windows bénéficie encore des mises à jour de Microsoft.
Ces trois situations ne sont pas équivalentes.
Quelles actions entreprendre avant le 10 novembre ?
Pour les administrateurs, plusieurs actions peuvent être engagées dès maintenant.
- Réaliser un inventaire des appareils Windows 11 23H2.
- Distinguer les éditions Enterprise/Education des éditions Home/Pro.
- Identifier les appareils qui ne synchronisent plus leurs informations avec Intune.
- Vérifier la compatibilité des postes avec une version Windows encore maintenue.
- Planifier les mises à niveau via les stratégies de mises à jour de fonctionnalités Intune, après validation de leur compatibilité.
Il est également recommandé de vérifier les postes qui ne sont pas inscrits dans Intune afin de ne pas sous-estimer le périmètre concerné.
Ce qu’AuditMS vérifie déjà
Le module Intune d’AuditMS contient déjà un contrôle de version Windows. À partir des informations disponibles, il compare le numéro de build et le groupe d’édition à son référentiel de dates de maintenance.
Le détail distingue les appareils qui respectent ce critère, ceux dont la version est hors support standard et ceux qui ne peuvent pas être évalués. Une édition absente ou incohérente ne devient pas une validation par défaut lorsque le verdict dépend de cette édition. Les canaux LTSC et IoT LTSC ont un traitement distinct.
L’inventaire de base est lu en Graph v1.0. AuditMS tente aussi de récupérer les informations d’édition via Graph bêta ; si elles ne sont pas disponibles, il conserve les limites d’évaluation correspondantes. L’exemple PowerShell ci-dessus reste volontairement un premier tri par build, sans cet enrichissement.
Ce contrôle ne vérifie ni les droits ESU ni les correctifs réellement installés. Un appareil dont la version reste maintenue n’est donc pas automatiquement à jour. Les appareils sans synchronisation récente sont signalés par un contrôle séparé ; il faut recouper les deux résultats.
AuditMS n’affiche pas actuellement de catégorie dédiée « fin de support prochaine ». Pour anticiper le 10 novembre, il faut examiner la date de maintenance des appareils 23H2 et confirmer leur édition, plutôt qu’attendre un verdict « hors support ».
L’objectif est de rapprocher conformité Intune, cycle de vie Windows et fraîcheur de l’inventaire, sans confondre ces trois informations.
Conclusion
La fin de support de Windows 11 23H2 rappelle une règle importante : la sécurité d'un parc informatique ne dépend pas uniquement de la présence d'un antivirus ou de stratégies de conformité.
Elle repose également sur la capacité des administrateurs à identifier les systèmes qui ne bénéficient plus de correctifs de sécurité.
Microsoft Intune fournit les informations nécessaires à un premier inventaire, tandis que Microsoft Graph permet d'automatiser leur exploitation.
La difficulté consiste ensuite à transformer ces données en indicateurs réellement utiles pour les équipes informatiques.