Microsofts update KB5127648 kan bepaalde zakelijke wifi-, ethernet- en VPN-verbindingen raken als ze voor eenmalige aanmelding (SSO) MS-CHAPv2 gebruiken, Credential Guard is uitgeschakeld en de registerwaarde BlockNtlmv1SSO ontbreekt. In die situatie schakelt Windows over op de modus Enforce, die NTLMv1-afgeleide aanmeldgegevens blokkeert. Microsoft bracht de update op 13 oktober 2026 uit voor Windows 11 24H2, 25H2 en 26H2; de mogelijke gevolgen hangen af van de authenticatieconfiguratie, niet van een algemene wifi- of VPN-storing. (Microsofts release-informatie voor KB5127648)
Dezelfde oktoberupdate-notities bevatten ook een afzonderlijke Remote Desktop-melding, die we eerder bespraken in ons artikel over de Windows 11-update van oktober.
Wanneer kan KB5127648 een bedrijfsverbinding raken?
De wijziging betreft NTLMv1-afgeleide aanmeldgegevens die bij SSO worden gebruikt. Microsoft noemt bepaalde wifi-, ethernet- en VPN-verbindingen met MS-CHAPv2-authenticatie, waaronder scenario’s met PEAP-MSCHAPv2 en EAP-MSCHAPv2. De gewijzigde standaard geldt alleen als Credential Guard uitstaat én BlockNtlmv1SSO niet is ingesteld. Is aan die voorwaarden voldaan, dan is de interne standaard Enforce. De update maakt de registerwaarde niet aan en wijzigt haar niet. (Microsofts richtlijn over NTLMv1 in Windows)
Op Microsoft Q&A meldde een beheerder dat WPA2-Enterprise-aanmelding via 802.1X/PEAP na installatie van KB5127648 niet meer lukte, terwijl WPA2-Personal volgens die melding wel werkte. De beheerder meldde dat het verwijderen van de update de verbinding herstelde. Andere deelnemers schreven dat BlockNtlmv1SSO=0 hun verbinding herstelde. (De meldingen op Microsoft Q&A)
Wat doen Audit en Enforce?
BlockNtlmv1SSO is een REG_DWORD op HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. De waarde bepaalt hoe Windows een verzoek om NTLMv1-afgeleide SSO-aanmeldgegevens behandelt:
| Modus | Waarde van BlockNtlmv1SSO | Behandeling van het verzoek | Gebeurtenis-ID |
| Audit | 0 | Windows legt het verzoek vast en staat het toe | 4024, waarschuwing |
| Enforce | 1 | Windows blokkeert het verzoek | 4025, foutmelding |
Als de waarde ontbreekt, gebruikt een systeem waarop de voorwaarden van toepassing zijn Enforce. Microsoft zegt dat een herstart niet nodig is nadat de registerwaarde is gewijzigd. In Enforce blijft het mogelijk om referenties handmatig in te voeren.
Audit kan een aanmeldprobleem helpen overbruggen wanneer een verbinding afhankelijk is van het betreffende SSO-verzoek, maar biedt minder bescherming dan Enforce. Microsoft beschrijft waarde 0 daarom als een beperkte, tijdelijke beveiligingsuitzondering, niet als een blijvende instelling.
De update verhelpt ook een ander VPN-probleem
KB5127648 lost daarnaast een afzonderlijk probleem met Always On VPN op dat volgde op KB5124008. Dat probleem betrof verbindingen waarbij automatische protocolkeuze of terugval naar een ander protocol was ingesteld. Het staat los van de mogelijke gevolgen van de NTLMv1-wijziging voor VPN-verbindingen die MS-CHAPv2-SSO gebruiken.
