01 Contexte — Pourquoi Microsoft a agi

Microsoft a documenté en 2024 une campagne du groupe APT29 (Midnight Blizzard) utilisant des fichiers .rdp signés envoyés par phishing. Ces fichiers connectaient les victimes à une infrastructure contrôlée par l’attaquant tout en redirigeant leurs ressources locales (disques, clipboard, caméra, smart cards). Le Patch Tuesday d’avril 2026 (CVE-2026-26151, CVSS 7.1, signalé par le NCSC britannique) force désormais une validation explicite à chaque ouverture.

02 KB impactées — Toutes les versions Windows

Déployées le 14 avril 2026, ces KB introduisent les nouveaux warnings RDP sur tous les OS supportés.

03 Les deux warnings et comment trouver le SHA1

Capture — Warning 2 avec publisher cliquable

RemoteApp security warning — cliquer sur le Publisher pour accéder au certificat

Capture — Détails du certificat → Thumbprint SHA1

Certificate Details → champ Thumbprint → valeur SHA1 à copier

04 HKCU ou HKLM — Quel choix ?

Les deux emplacements sont fonctionnels. La capture ci-dessous confirme le fonctionnement de HKCU avec le SHA1 renseigné.

HKCU\Software\Policies\Microsoft\Windows NT\Terminal Services — TrustedCertThumbprints confirmé

05 Solution 1 — GPO (Active Directory)

GPO Warning 1 — RdpLaunchConsentAccepted

regedit — HKCU\Software\Microsoft\Terminal Server Client — RdpLaunchConsentAccepted

GPO Warning 2 — TrustedCertThumbprints via Modèle d’administration natif

Ce paramètre GPO natif est la méthode officielle et la plus propre. Il accepte nativement plusieurs thumbprints.

06 Solution 2 — Microsoft Intune (MDM)

# Adapter les thumbprints à votre environnement (virgule sans espace)
$thumbprints = "THUMBPRINT1,THUMBPRINT2"

# Warning 2 — HKLM (portée machine, recommandé)
$p = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client"
if (-not (Test-Path $p)) {{ New-Item -Path $p -Force | Out-Null }}
Set-ItemProperty -Path $p -Name "TrustedCertThumbprints" -Value $thumbprints -Type String -Force

# Warning 1 — HKCU (contexte utilisateur connecté)
$pu = "HKCU:\Software\Microsoft\Terminal Server Client"
if (-not (Test-Path $pu)) {{ New-Item -Path $pu -Force | Out-Null }}
Set-ItemProperty -Path $pu -Name "RdpLaunchConsentAccepted" -Value 1 -Type DWord -Force

Write-Output "RDP warnings suppressed."

OMA-URI : ./Device/Vendor/MSFT/Policy/Config/RemoteDesktopServices/TrustedCertThumbprints
Type    : String
Value   : THUMBPRINT1,THUMBPRINT2

$v = Get-ItemProperty "HKCU:\Software\Microsoft\Terminal Server Client" -Name "RdpLaunchConsentAccepted" -EA SilentlyContinue
if ($v.RdpLaunchConsentAccepted -eq 1) {{ exit 0 }} else {{ exit 1 }}

Set-ItemProperty "HKCU:\Software\Microsoft\Terminal Server Client" -Name "RdpLaunchConsentAccepted" -Value 1 -Type DWord -Force; exit 0

07 Solution 3 — ManageEngine Desktop Central

08 Solution 4 — PowerShell (script direct)

#Requires -RunAsAdministrator
$thumbprints = "THUMBPRINT1,THUMBPRINT2"  # virgule sans espace si plusieurs fermes RDS

# Warning 1 — HKCU
$p1 = "HKCU:\Software\Microsoft\Terminal Server Client"
if (-not (Test-Path $p1)) {{ New-Item -Path $p1 -Force | Out-Null }}
Set-ItemProperty -Path $p1 -Name "RdpLaunchConsentAccepted" -Value 1 -Type DWord -Force

# Warning 2 — HKLM (portée machine)
$p2 = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client"
if (-not (Test-Path $p2)) {{ New-Item -Path $p2 -Force | Out-Null }}
Set-ItemProperty -Path $p2 -Name "TrustedCertThumbprints" -Value $thumbprints -Type String -Force

# Afficher les thumbprints disponibles sur ce poste
Write-Host "`nCertificats disponibles (Cert:\LocalMachine\My) :" -ForegroundColor Cyan
Get-ChildItem Cert:\LocalMachine\My |
  Select-Object Subject, @{{N="SHA1";E={{$_.Thumbprint.Replace(" ","")}}}}, NotAfter |
  Format-Table -AutoSize
Write-Host "Terminé." -ForegroundColor Green

09 Solution 5 — Désactivation totale (temporaire)

Supprime tous les warnings RDP sans gérer les certificats. Utile en dépannage urgent uniquement.

$p = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client"
if (-not (Test-Path $p)) {{ New-Item -Path $p -Force | Out-Null }}
Set-ItemProperty -Path $p -Name "RedirectionWarningDialogVersion" -Value 0 -Type DWord

10 Comportement de mémorisation Windows

Case “Remember my choices” — disponible mais non fiable après la mise à jour d’avril 2026

11 Bonnes pratiques — Renouvellement de certificat

Le thumbprint SHA1 est unique par certificat. À chaque renouvellement (certificat public annuel, certificat interne tous les 2-3 ans), le SHA1 change et les warnings réapparaissent si la GPO/Intune n’est pas mise à jour.

12 Récapitulatif des clés de registre