KB5127648, publicada por Microsoft el 13 de octubre de 2026 para Windows 11 24H2, 25H2 y 26H2, cambió el valor predeterminado para ciertas credenciales de inicio de sesión único derivadas de NTLMv1: pasó de Audit a Enforce cuando Credential Guard está desactivado y BlockNtlmv1SSO no está configurado. En esas condiciones, algunas conexiones Wi-Fi, Ethernet o VPN basadas en MS-CHAPv2 podrían verse afectadas. Notas de KB5127648 y guía de Microsoft sobre NTLMv1.
La misma actualización incluyó un aviso sobre Escritorio remoto para algunos usuarios sin privilegios, tratado en la cobertura anterior de NeoTeo sobre ese problema.
Cuándo puede afectar a las conexiones
El posible efecto se limita a equipos con Credential Guard desactivado y sin un valor configurado para BlockNtlmv1SSO, además de una conexión cuyo inicio de sesión único use autenticación basada en MS-CHAPv2. Microsoft menciona escenarios como PEAP-MSCHAPv2 y EAP-MSCHAPv2 en conexiones Wi-Fi, Ethernet y VPN.
En Microsoft Q&A, un administrador contó en una consulta publicada el 13 de octubre de 2026 que la autenticación WPA2-Enterprise con 802.1X/PEAP dejó de completarse tras instalar la actualización, mientras que WPA2-Personal seguía funcionando. También dijo que desinstalar la KB restableció la conexión en sus equipos. Otros participantes relataron que BlockNtlmv1SSO=0 les devolvió el acceso. Sus comentarios en Microsoft Q&A.
Qué significan Audit y Enforce
Microsoft define BlockNtlmv1SSO como un valor REG_DWORD ubicado en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. El valor 0 selecciona Audit: Windows registra la solicitud derivada de NTLMv1 y la permite. El valor 1 selecciona Enforce y la bloquea.
| Modo | Valor de BlockNtlmv1SSO | Tratamiento de la solicitud | Evento |
| Audit | 0 | Se registra y se permite | 4024: advertencia |
| Enforce | 1, o valor predeterminado si falta en un equipo elegible | Se bloquea | 4025: error |
La actualización no crea ni modifica BlockNtlmv1SSO: si el valor falta en un equipo elegible, Windows aplica el nuevo valor predeterminado interno. Microsoft indica que no hace falta reiniciar el dispositivo después de cambiarlo.
La excepción Audit y sus implicaciones
Configurar BlockNtlmv1SSO=0 permite que la solicitud pase, pero reduce la protección respecto a Enforce. Microsoft recomienda que Audit se use como una excepción limitada y temporal. Para los flujos afectados, introducir las credenciales manualmente sigue funcionando en modo Enforce, según la guía de Microsoft.
La corrección independiente de Always On VPN
KB5127648 también corrige un problema específico de Always On VPN que apareció después de KB5124008, en conexiones configuradas con selección automática de protocolo o con alternativa de protocolo. En algunos casos, los intentos posteriores indicaban que el puerto especificado ya estaba en uso. Esta corrección corresponde a ese escenario de conexión; el posible efecto sobre VPN con SSO basado en MS-CHAPv2 pertenece al cambio de NTLMv1 descrito arriba.
