Microsoft a changé les prérequis nécessaires pour recevoir des mises à jour de sécurité sur Windows 7 SP1, Windows Server 2008 R2 SP1 and Windows Server 2008 SP2. Jusqu’à maintenant, les mises à jour du système d'exploitation Windows étaient doublement signées à l'aide des algorithmes de hachage SHA-1 et SHA-2 pour authentifier que les mises à jour proviennent directement de Microsoft et n'ont pas été modifiées pendant la livraison. En raison des faiblesses de l'algorithme SHA-1 et pour s'aligner sur les normes de l'industrie, les mises à jour sont maintenant signées avec un certificat de signature de code SHA-2.
Pour les systèmes Windows 10 1709, 1803, 1809 et Windows Server 2019, le changement du mode de signature double (SHA1 et SHA2) a été fait le 18 juin 2019 sans impact pour les entreprises.
Pour les systèmes Windows 10 1507, 1607, et 1703, le changement du mode de signature double (SHA1 et SHA2) a été fait le 16 juillet 2019 sans impact pour les entreprises.
Pour les systèmes Windows Server 2012, Windows 8.1, Windows Server 2012 R2, , le changement du mode de signature double (SHA1 et SHA2) est prévu pour le 10 septembre 2019 sans impact pour les entreprises.
Le problème peut donc concernés ces anciens systèmes qui n’ont pas de support pour SHA-2 par défaut. Ainsi le Patch Tuesday de juillet 2019 était le dernier disponible en SHA-1 et celui publié le mardi 13 août n’a été publié qu’en version SHA-2.
Microsoft a publié des mises à jour de sécurité pour les systèmes suivants :
- Windows 7 SP1 et Windows Server 2008 R2 SP1 : KB4474419et KB4490628
- Windows Server 2008 SP2 : KB4493730 et KB4474419
En outre si vous utilisez WSUS 3.0 SP2 sur Windows Server 2008 SP2 et Windows Server 2008 R2 SP1 (ce qui ne devrait pas être le cas de beaucoup d’entreprises), vous devez appliquer manuellement la mise à jour suivante KB4484071 pour supporter SHA-2
Source : 2019 SHA-2 Code Signing Support requirement for Windows and WSUS
