KB5127648, rilasciato da Microsoft il 13 ottobre 2026 per Windows 11, cambia il comportamento predefinito delle credenziali derivate da NTLMv1 usate per l’accesso singolo (SSO) soltanto se Credential Guard è disattivato e il valore BlockNtlmv1SSO non è impostato. In queste condizioni, alcune connessioni aziendali Wi-Fi, Ethernet o VPN basate su MS-CHAPv2 potrebbero risentirne. Microsoft descrive il cambiamento e i suoi requisiti.
Quando possono essere coinvolte le connessioni aziendali
KB5127648 riguarda Windows 11 24H2 (build 26100.9711), 25H2 (build 26200.9711) e 26H2 (build 26300.9711). Il cambiamento interessa il modo in cui Windows gestisce le credenziali SSO derivate da NTLMv1: se Credential Guard è disattivato e BlockNtlmv1SSO è assente, il valore predefinito interno passa da Audit a Enforce. L’aggiornamento non crea né modifica il valore del Registro. La guida tecnica di Microsoft illustra le condizioni e gli scenari di autenticazione.
Microsoft indica che potrebbero essere coinvolte alcune connessioni Wi-Fi, Ethernet e VPN che usano MS-CHAPv2, incluse configurazioni SSO con PEAP-MSCHAPv2 ed EAP-MSCHAPv2. Un amministratore ha riferito su Microsoft Q&A che, dopo l’installazione di KB5127648, l’autenticazione WPA2-Enterprise 802.1X/PEAP non andava a buon fine nel suo ambiente, mentre WPA2-Personal funzionava. Ha inoltre riferito che disinstallare l’aggiornamento ha ripristinato la connessione. Altri partecipanti hanno detto di aver recuperato l’accesso impostando BlockNtlmv1SSO su 0 nei rispettivi ambienti.
Audit, Enforce ed eventi di diagnostica
Microsoft colloca BlockNtlmv1SSO nel percorso HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 del Registro di sistema e ne specifica il tipo REG_DWORD. I due valori determinano se la richiesta di credenziali viene registrata e consentita oppure bloccata:
| Modalità | Valore di BlockNtlmv1SSO | Esito della richiesta | Evento di Windows |
| Audit | 0 | Registrata e consentita | 4024, avviso |
| Enforce | 1 | Bloccata | 4025, errore |
Quando il valore è assente, il comportamento predefinito diventa Enforce solo sui dispositivi con Credential Guard disattivato. Microsoft afferma che modificare BlockNtlmv1SSO non richiede il riavvio del dispositivo. Se un flusso SSO dipende dalle credenziali bloccate, l’immissione manuale delle credenziali continua a funzionare in modalità Enforce.
Impostare il valore su 0 seleziona Audit: la richiesta viene consentita e registrata. Microsoft avverte che questa modalità offre meno protezione di Enforce e va considerata un’eccezione circoscritta e temporanea.
La correzione separata per Always On VPN
Nella stessa KB, Microsoft elenca anche una correzione per un distinto problema di connessione di Always On VPN successivo a KB5124008, quando sono configurati la selezione automatica del protocollo o il passaggio a un protocollo alternativo. È uno scenario diverso dal possibile effetto del cambiamento NTLMv1 sulle connessioni VPN con SSO basato su MS-CHAPv2. NeoTeo ha già trattato il distinto avviso su Remote Desktop nelle note di Windows 11 di ottobre. Microsoft elenca la correzione di Always On VPN nelle note di KB5127648.
