Désactiver SMBv1 sur Windows Server, sans casser les vieux clients

SMBv1 n'est plus installé par défaut sur les Windows récents, mais il survit sur les serveurs anciens et mis à niveau. Comment savoir s'il est actif, qui s'en sert encore, et le couper proprement.

Par la rédaction de Pixelabs · 12 octobre 2026

SMB (Server Message Block) est le protocole des partages de fichiers Windows. Sa première version, SMBv1, date d'une époque où la sécurité réseau n'avait pas le poids d'aujourd'hui. Microsoft le dit sans détour dans sa documentation : SMBv1 présente des vulnérabilités de sécurité importantes, et l'éditeur encourage vivement à ne pas l'utiliser.

Le risque : MS17-010 et ses suites

En mars 2017, le bulletin de sécurité Microsoft MS17-010, classé critique, a corrigé six vulnérabilités du serveur SMBv1 (CVE-2017-0143 à CVE-2017-0148). La plus grave permettait l'exécution de code à distance par l'envoi de messages spécialement conçus à un serveur SMBv1.

Deux mois plus tard, le CERT-FR publiait l'alerte CERTFR-2017-ALE-010 sur la propagation d'un rançongiciel exploitant ces vulnérabilités. Ses recommandations : appliquer immédiatement les correctifs MS17-010, suivre les recommandations génériques contre les rançongiciels et limiter l'exposition du service SMB, en particulier sur Internet. Le CERT-FR ajoute que désactiver SMBv1 peut être un plus, mais ne remplace pas l'installation des correctifs.

Qui est concerné

D'après Microsoft, SMBv1 n'est pas installé par défaut sur Windows 11 ni sur Windows Server 2019 et ultérieur. Il reste présent par défaut sur les éditions Famille et Professionnel de Windows 10.

Les serveurs à surveiller sont donc ceux qui ont été mis à niveau depuis une ancienne version, ou sur lesquels quelqu'un a réinstallé SMBv1 pour un vieux copieur, un NAS ou une application métier.

Vérifier d'abord : SMBv1 est-il actif ?

Sans élévation, Microsoft indique que cette commande donne l'état côté serveur :

Get-SmbServerConfiguration | Format-List EnableSMB1Protocol

Dans une console administrateur, la fonctionnalité Windows elle-même se vérifie ainsi :

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Qui s'en sert encore ?

Avant de couper, identifiez les clients qui l'utilisent. Microsoft documente un audit côté serveur :

Set-SmbServerConfiguration -AuditSmb1Access $true
Get-SmbServerConfiguration | Select AuditSmb1Access

Chaque tentative de connexion en SMBv1 écrit alors un événement d'ID 3000 dans le journal Microsoft-Windows-SMBServer\Audit. Laissez l'audit tourner sur une période qui couvre les traitements mensuels, puis relevez les machines concernées. Microsoft recommande de mettre à jour l'équipement ou le logiciel qui exige SMBv1 plutôt que de le garder.

La procédure de Microsoft

Testez sur un serveur de lab ou un instantané, et sauvegardez le serveur avant d'intervenir en production.

Option 1 : couper le protocole côté serveur

Set-SmbServerConfiguration -EnableSMB1Protocol $false

Microsoft précise que cette commande ne demande pas de redémarrage. C'est la façon la plus rapide de couper SMBv1 sur un serveur de fichiers en service.

Option 2 : supprimer la fonctionnalité

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Cette commande redémarre l'ordinateur, selon Microsoft. Planifiez-la dans une fenêtre de maintenance.

Le même résultat s'obtient dans le Gestionnaire de serveur : assistant de suppression de rôles et fonctionnalités, puis décocher Prise en charge du partage de fichiers SMB 1.0/CIFS.

Ce qu'il ne faut pas toucher

Laissez SMBv2 et SMBv3 actifs. Microsoft rappelle que désactiver SMBv3 retire notamment le chiffrement, SMB Multichannel et le basculement transparent, et que SMBv2 et SMBv3 partagent la même pile depuis Windows Server 2012.

Sur Windows Server 2025 et Windows 11 24H2, la signature SMB est obligatoire par défaut. Un vieux NAS qui ne la gère pas peut alors refuser la connexion même avec SMBv2 activé : changer de version de protocole ne lève pas cette exigence.

Impact et retour arrière

Après la coupure, les seuls clients touchés sont ceux qui ne savent parler que SMBv1, d'où l'intérêt de l'audit préalable. Si un équipement critique tombe, Microsoft documente la réactivation :

Set-SmbServerConfiguration -EnableSMB1Protocol $true

ou, si la fonctionnalité avait été supprimée, Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol, suivi d'un redémarrage. Traitez ce retour comme provisoire : la vraie correction est la mise à jour du client. S'il s'agit d'un logiciel installé sur un poste, winget permet de vérifier qu'il est à jour.

Pour contrôler ensuite la santé des contrôleurs de domaine, utilisez les outils de dépannage Active Directory. Une autre mesure de durcissement fréquente consiste à changer le mot de passe du compte krbtgt. Les autres procédures sont dans la rubrique Windows Server.

Questions fréquentes