Vous ouvrez Windows Update et la même mise à jour est encore là : KB5007651, la mise à jour de la plateforme Sécurité Windows. Vous l'installez, Windows annonce un succès, et quelques heures plus tard elle revient. L'historique finit par l'afficher « installée avec succès » plusieurs fois par jour, et le PC semble ne jamais être tout à fait à jour.
Rassurez-vous : dans le cas que nous avons traité à l'atelier, sur un portable sous Windows 11, la mise à jour était bel et bien installée. C'est Windows Update qui ne s'en rendait pas compte. Voici comment le vérifier en deux minutes, puis faire taire cette mise à jour proprement, sans rien casser.
| Le point | Ce qu'il faut savoir |
|---|---|
| Le symptôme | KB5007651 proposée à chaque recherche, notée « réussie » plusieurs fois dans l'historique |
| Le vrai état | La plateforme Sécurité Windows est déjà à la bonne version : votre protection fonctionne |
| La cause | Windows Update ne détecte pas la version installée et la repropose sans fin |
| La solution | Masquer la mise à jour, et surtout toutes ses versions : les anciennes remontent une par une |
| Ce qui est inutile | Réinitialiser Sécurité Windows ou vider le cache de Windows Update |
Le tableau typique :
Rien n'est bloqué, le PC fonctionne. Mais la mise à jour ne disparaît jamais, et à force on finit par se demander si l'antivirus de Windows est vraiment à jour.
Une autre mise à jour de Sécurité Windows revient, elle, légitimement plusieurs fois par jour : KB2267602, la mise à jour des définitions de l'antivirus (la liste des menaces connues). Elle change à chaque fois de numéro de version, et c'est exactement ce qu'on attend d'elle. Il ne faut surtout pas la masquer.
Le problème décrit ici ne concerne que KB5007651, la plateforme (le logiciel Sécurité Windows lui-même), qui ne devrait s'installer qu'une fois par nouvelle version, quelques fois par an.
C'est l'étape qui permet de masquer la mise à jour sans arrière-pensée.
Get-AppxPackage -AllUsers Microsoft.SecHealthUI | Select-Object Name, Version
Si l'on retrouve le même nombre du milieu (ici 29628) dans les deux versions, la plateforme proposée par Windows Update est déjà installée. Votre protection est à jour : seule la détection de Windows Update est en cause, vous pouvez passer à la partie 5.
Si la version installée est plus ancienne que celle proposée, la mise à jour ne s'installe pas vraiment. Ce n'est plus le même problème, et masquer la mise à jour serait une mauvaise idée : voyez plutôt la fin de l'article.
Sur le PC traité à l'atelier, tout était en ordre du côté de Sécurité Windows : la bonne version installée pour tous les utilisateurs, ses fichiers au bon endroit dans C:\Windows\System32\SecurityHealth\. Le registre gardait pourtant la trace d'une erreur de version à chaque passage de Windows Update.
Ce qui se passe : l'installeur constate que la version est déjà là, s'arrête et répond « succès ». Mais la règle qui permet à Windows Update de savoir si la mise à jour est présente, elle, ne trouve rien. Conséquence surprenante : une fois la version récente masquée, Windows Update a proposé les versions précédentes, une par une (29554, 29510, 29429, 27840, 27703). Pour lui, aucune plateforme Sécurité Windows n'était installée du tout.
Ce PC avait connu d'anciens antivirus (Avast, McAfee), désinstallés depuis. Nous ne pouvons pas affirmer que c'est la cause, mais c'est un point commun à garder en tête.
Ce que nous avons essayé sans aucun effet, pour vous éviter de perdre du temps :
Reset-AppxPackage) ;SoftwareDistribution et catroot2).Masquer une mise à jour, c'est dire à Windows Update de ne plus la proposer. Rien n'est désinstallé.
Le piège : masquer seulement la version affichée ne suffit pas. Les versions plus anciennes remontent aussitôt, à la recherche suivante. Il faut recommencer jusqu'à ce qu'il n'en reste plus aucune ; sur notre PC, il y en avait six. Le petit script ci-dessous fait cette boucle à votre place.
$s = (New-Object -ComObject Microsoft.Update.Session).CreateUpdateSearcher()
for ($i = 1; $i -le 15; $i++) {
$k = @($s.Search("IsInstalled=0 and IsHidden=0").Updates | Where-Object Title -match 'KB5007651')
if (-not $k) { break }
$k | ForEach-Object { Write-Host "Masquee :" $_.Title; $_.IsHidden = $true }
}
Write-Host "Termine : plus aucune KB5007651 proposee."
Le script ne touche qu'aux mises à jour dont le nom contient KB5007651. Les définitions de l'antivirus (KB2267602) et les mises à jour de Windows continuent d'arriver normalement.
L'outil Microsoft « Afficher ou masquer les mises à jour » (wushowhide) fait le même travail en cliquant, mais il faut alors répéter l'opération autant de fois qu'il y a de versions, et ne le télécharger que depuis le site de Microsoft, jamais depuis un site de téléchargement inconnu.
Pour que Windows Update propose de nouveau KB5007651, ce bloc, collé dans la même fenêtre administrateur, réaffiche toutes ses versions masquées :
$s = (New-Object -ComObject Microsoft.Update.Session).CreateUpdateSearcher()
$s.Search("IsHidden=1").Updates | Where-Object Title -match 'KB5007651' | ForEach-Object { $_.IsHidden = $false; Write-Host "Reaffichee :" $_.Title }
Si la vérification de la partie 3 montre une version plus ancienne que celle proposée, ou si l'application Sécurité Windows ne s'ouvre pas, affiche une page blanche ou signale une protection désactivée, ne masquez rien : votre PC est peut-être réellement moins protégé. C'est souvent la trace d'un ancien antivirus mal désinstallé, parfois d'un logiciel malveillant qui s'en prend à la protection de Windows. Pour faire le point, notre article Comment savoir si mon PC a un virus ? donne les premiers repères, et notre structure BSC Sécurité s'occupe des postes de particuliers dont la protection a été mise à mal : www.bsc-securite.fr.
Vous êtes encore sous Windows 10 et c'est une autre mise à jour qui échoue en boucle ? Le cas du pack de licence des mises à jour étendues est traité dans KB5126256 : Windows 10 ne reçoit plus de mises à jour de sécurité (ESU).
La vérification et le masquage prennent quelques minutes, et nous en profitons pour contrôler que Sécurité Windows protège bien votre PC et que les autres mises à jour passent.
Non. Le masquage dit seulement à Windows Update de ne plus proposer cette mise à jour. Sécurité Windows reste installé et actif, et ses définitions continuent d'arriver par KB2267602.
Pas si la vérification de la partie 3 montre que la version proposée est déjà installée : c'est alors un simple défaut d'affichage de Windows Update.
Parce que Windows Update ne voit aucune plateforme installée et propose, à défaut, la version précédente, puis celle d'avant. D'où l'intérêt de masquer toutes les versions en une fois.
Dans notre cas, ni l'un ni l'autre n'a changé quoi que ce soit. Inutile de vous lancer dans ces manipulations avant d'avoir essayé le masquage.
Oui, la commande utilise l'outil de Windows Update présent sur Windows 10 comme sur Windows 11. Il faut simplement l'exécuter dans une fenêtre PowerShell ouverte en administrateur.
BSC Informatique, EURL BSC INFORMATIQUE, 18 Avenue Olbius Riquier, 83400 Hyères, 04 94 27 65 95.
Windows Update, Sécurité Windows et réglages de Windows 11,
pour les particuliers et les professionnels.