A atualização de segurança KB5127648, lançada pela Microsoft em 13 de outubro de 2026 para o Windows 11 24H2, 25H2 e 26H2, pode afetar algumas conexões corporativas de Wi-Fi, Ethernet ou VPN. Isso depende de uma configuração específica: o Credential Guard precisa estar desativado, o valor BlockNtlmv1SSO deve estar ausente e a autenticação precisa usar um cenário de SSO baseado em MS-CHAPv2. A Microsoft descreve a mudança nas notas da atualização e na orientação técnica sobre NTLMv1.
O que muda com a KB5127648
A atualização muda o padrão interno para o uso de credenciais derivadas de NTLMv1 no logon único (SSO): nas condições citadas, o Windows passa do modo Audit para o Enforce. No Audit, a solicitação é registrada e permitida; no Enforce, é bloqueada. A KB5127648 não cria nem altera o valor BlockNtlmv1SSO no Registro.
A mudança pode alcançar conexões que usam autenticação baseada em MS-CHAPv2, como cenários de SSO com PEAP-MSCHAPv2 ou EAP-MSCHAPv2. O possível impacto se limita a essas configurações: não significa que qualquer rede Wi-Fi ou VPN deixe de funcionar.
Um administrador relatou no Microsoft Q&A que a autenticação WPA2-Enterprise 802.1X/PEAP falhou após a instalação da atualização, enquanto o WPA2-Personal continuou funcionando. Ele também disse que desinstalar a KB5127648 restabeleceu a conexão. Outros participantes relataram que definir BlockNtlmv1SSO como 0 recuperou o acesso em seus ambientes. Os relatos estão no Microsoft Q&A.
Como interpretar os modos e os eventos
A Microsoft identifica o valor como REG_DWORD no caminho HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. Quando o valor está ausente, o padrão Enforce vale nas condições de elegibilidade descritas acima.
| Modo | Valor de BlockNtlmv1SSO | Solicitação de credencial | Evento no Windows |
| Audit | 0 | É registrada e permitida | 4024, aviso |
| Enforce | 1 | É bloqueada | 4025, erro |
A Microsoft informa que não é necessário reiniciar o dispositivo depois de alterar o valor. No modo Enforce, inserir as credenciais manualmente continua funcionando. Já o Audit oferece menos proteção: a Microsoft o descreve como uma exceção de segurança que deve ser limitada e temporária. A orientação técnica da empresa detalha os modos e os eventos.
A correção do Always On VPN é outro caso
A mesma KB5127648 corrige um problema distinto do Always On VPN, que surgiu após a KB5124008 em conexões com seleção automática de protocolo ou fallback configurado. Essa correção trata desse cenário; o possível impacto de NTLMv1 diz respeito a conexões SSO baseadas em MS-CHAPv2. A Microsoft lista separadamente a correção do Always On VPN.
A NeoTeo também abordou outro aviso nas notas da atualização de outubro: o problema de Área de Trabalho Remota descrito na cobertura anterior da KB5127648.
