Wydana 13 października 2026 r. aktualizacja KB5127648 może wpłynąć na firmowe Wi-Fi, Ethernet lub VPN korzystające z logowania jednokrotnego (SSO) opartego na MS-CHAPv2. Microsoft wiąże tę możliwość z konkretnymi warunkami: Credential Guard jest wyłączony, a wartość rejestru BlockNtlmv1SSO nie została ustawiona. Wtedy domyślny tryb zmienia się z Audit na Enforce. Microsoft opisuje tę zmianę w informacjach o aktualizacji oraz w wytycznych dotyczących NTLMv1.
Kiedy zmiana może dotyczyć połączenia
KB5127648 obejmuje Windows 11 24H2 (kompilacja 26100.9711), 25H2 (26200.9711) i 26H2 (26300.9711). Zmiana dotyczy poświadczeń pochodzących z NTLMv1 używanych przez SSO. Microsoft wskazuje, że wpływ mogą odczuć niektóre połączenia Wi-Fi, Ethernet i VPN z uwierzytelnianiem MS-CHAPv2, w tym scenariusze PEAP-MSCHAPv2 i EAP-MSCHAPv2.
W Microsoft Q&A administrator opisał przypadek, w którym po instalacji aktualizacji uwierzytelnianie WPA2-Enterprise 802.1X/PEAP nie kończyło się powodzeniem, choć WPA2-Personal działało. Napisał też, że odinstalowanie KB5127648 przywróciło łączność w jego środowisku. Kilku uczestników dyskusji zgłosiło poprawę po ustawieniu BlockNtlmv1SSO na 0. Ich relacje są dostępne w wątku Microsoft Q&A.
Co oznaczają tryby Audit i Enforce
Wartość BlockNtlmv1SSO znajduje się w rejestrze pod ścieżką HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 i ma typ REG_DWORD. Ustawienie 0 wybiera Audit, a 1 — Enforce. Jeśli wartość nie istnieje na kwalifikującym się urządzeniu, po aktualizacji obowiązuje domyślnie Enforce; KB5127648 nie tworzy ani nie zmienia wpisu rejestru.
| Tryb | Wartość BlockNtlmv1SSO | Działanie wobec żądania SSO | Zdarzenie |
| Audit | 0 | Żądanie jest rejestrowane i dozwolone | 4024 — ostrzeżenie |
| Enforce | 1 lub brak wartości przy spełnionych warunkach | Żądanie jest blokowane | 4025 — błąd |
Microsoft podaje, że po zmianie wartości nie trzeba ponownie uruchamiać urządzenia. W trybie Enforce ręczne wpisanie poświadczeń nadal pozwala się uwierzytelnić. Audit zapewnia mniejszą ochronę niż Enforce, dlatego Microsoft zaleca traktować go jako ograniczony i tymczasowy wyjątek.
Osobna poprawka dla Always On VPN
KB5127648 naprawia również odrębny problem z połączeniami Always On VPN, który pojawił się po KB5124008 przy skonfigurowanym automatycznym wyborze protokołu lub przełączaniu na inny protokół. To inny scenariusz niż możliwy wpływ zmiany NTLMv1 na SSO oparte na MS-CHAPv2. Wcześniejsze omówienie NeoTeo dotyczyło osobnego ostrzeżenia o Pulpicie zdalnym w KB5127648.
