SSO NTLMv1: comprueba los inicios de sesión Wi-Fi, LAN y VPN tras la actualización de octubre
Estado de la investigación: 2 de noviembre de 2026.Microsoft cambió el comportamiento predeterminado para ciertas credenciales derivadas de NTLMv1 con la actualización de seguridad del 13 de octubre de 2026. Los dispositivos Windows unidos a un dominio que utilizan el inicio de sesión único basado en MS-CHAPv2 para WLAN, Ethernet o VPN pueden verse particularmente afectados. Esto no significa que todas las conexiones de red fallen: la cadena de autenticación específica, el estado del dispositivo y Credential Guard son cruciales.
Breve conclusión
En dispositivos con Credential Guard deshabilitado y valor de registro no establecidoBlockNtlmv1SSODespués de la actualización de octubre, se aplica Enforce en lugar de Audit. Luego, Windows bloquea ciertas solicitudes SSO derivadas de NTLMv1. Los equipos de TI primero deben registrar los eventos.Microsoft-Windows-NTLM/Operationalevaluar y asignar perfiles afectados y servidores de autenticación. La forma sostenible es reducir las dependencias del inicio de sesión único MS-CHAPv2 y, cuando corresponda, cambiar a procedimientos basados en certificados como PEAP-TLS o EAP-TLS. Una excepción en el modo de auditoría debe estar limitada en el tiempo y documentada.
Qué cambió en octubre de 2026
Windows 11 24H2, 25H2, 26H1 y 26H2, así como Windows Server 2025, se mencionan en la descripción general actual de la aplicación de Microsoft. El cambio afecta a los dispositivos sin Credential Guard activado siBlockNtlmv1SSOno está configurado. Antes de la actualización de octubre, este caso se registraba y permitía de forma predeterminada; con la actualización está bloqueado de forma predeterminada. La actualización en sí no crea ni cambia el valor del registro. Un valor que ya se ha establecido sigue siendo relevante.
El modo de protocolo NTLMv1 se ha eliminado de las versiones de Windows mencionadas. Sin embargo, Microsoft describe la criptografía residual derivada de NTLMv1 en ciertos escenarios MS-CHAPv2, como PEAP-MSCHAPv2 y EAP-MSCHAPv2 en un entorno de dominio. Es por eso que un inicio de sesión puede verse afectado aunque los administradores ya no tengan configurado un NTLMv1 clásico.
Distinguir correctamente los tres estados
| configuración | Comportamiento para hacer coincidir solicitudes SSO | Nota sobre el diagnóstico |
|---|---|---|
| Falta valor, antes de la actualización de octubre | De forma predeterminada, Auditoría: la solicitud se registra y se aprueba. | El evento de advertencia 4024 puede indicar una dependencia. |
| Falta valor después de la actualización de octubre | De forma predeterminada, Aplicar: la solicitud se bloquea si el cambio se aplica al dispositivo. | Verifique el evento de error 4025 en el registro operativo NTLM. |
BlockNtlmv1SSO=0 |
Modo de auditoría: las solicitudes se aprueban y registran. | Considérelo sólo como una excepción temporal y estrictamente definida. |
BlockNtlmv1SSO=1 |
Modo obligatorio: las solicitudes coincidentes se bloquean. | Equivalente a la aplicación de la ley; Implementar de forma controlada después de la migración. |
El camino documentado esHKEY_LOCAL_MACHINE; el valor es unREG_DWORD. Según Microsoft, no es necesario reiniciar después de cambiar este valor. Antes de realizar cambios en el registro o en las políticas, los administradores deben considerar la gestión de configuración central y las aprobaciones de cambios.
Así comprueban los administradores la causa
- Limitar grupo de dispositivos:Registre la versión de Windows, el nivel de seguridad instalado en octubre, el estado del dominio y el estado de Credential Guard. El nuevo cambio de estándar no se aplica por igual a todos los dispositivos.
- Evaluar eventos NTLM:En el Visor de eventos, busque 4024 (Auditoría) y 4025 (Bloque) en Registros de aplicaciones y servicios > Microsoft > Windows > NTLM > Operacional. La hora del evento, el servidor de destino y el nombre del proceso ayudan con el mapeo.
- Verifique la ruta de la red:Haga coincidir el SSID afectado, el perfil 802.1X cableado o el perfil VPN con RADIUS/NPS y la configuración de autenticación. MS-CHAPv2 por sí solo no es suficiente como prueba de error; El factor decisivo es el uso específico de SSO.
- Migrar grupo de prueba:Seleccione un pequeño grupo de dispositivos y usuarios con el equipo de red e identidad. Configure la autenticación basada en certificados, la reversión de documentos y la ruta de soporte e impleméntelos de manera más amplia solo después de realizar pruebas exitosas.
Ruta de transición recomendada y consideraciones
Microsoft recomienda identificar las dependencias en MS-CHAPv2 y cambiar los inicios de sesión de WLAN y VPN a procedimientos basados en certificados. En las notas de Credential Guard, Microsoft nombra PEAP-TLS y EAP-TLS como alternativas a PEAP-MSCHAPv2 y EAP-MSCHAPv2 respectivamente.
- Ventaja del cambio:El registro ya no depende de la ruta SSO derivada de NTLMv1 descrita.
- Esfuerzo de planificación:Los servidores de emisión, renovación, aprovisionamiento de dispositivos y autenticación de certificados deben encajar y probarse.
-
Excepción transitoria:
BlockNtlmv1SSO=0Según las instrucciones de Microsoft, puede permitir temporalmente una dependencia crítica, pero reduce la protección. El alcance del dispositivo, la persona responsable, la fecha de caducidad y el paso de migración pertenecen a la documentación de excepción.
No confunda automáticamente los eventos 4024/4025 con Credential Guard: Microsoft enumera sus propios identificadores de eventos para los bloques de Credential Guard. Por lo tanto, verifique el origen del evento, el registro y el estado del dispositivo antes de determinar la causa.
Lista de verificación antes del lanzamiento
- Dispositivos con la versión adecuada de Windows y la actualización de octubre inventariados
- Credential Guard y existente
BlockNtlmv1SSO-Valores leídos - Eventos 4024/4025 correlacionados con el proceso, el servidor de destino y el perfil de red
- WLAN, Ethernet y VPN se consideran por separado
- Perfil de certificado, renovación y restauración probados en un grupo piloto.
- Excepciones temporales provistas con fecha de vencimiento y responsable
Preguntas frecuentes
¿Fallan todas las WLAN con MS-CHAPv2 después de la actualización?
No. Según Microsoft, el cambio puede afectar los flujos de inicio de sesión único aplicables; Según las preguntas frecuentes, los datos de acceso introducidos manualmente siguen funcionando. Se debe comprobar qué conexión se ve afectada en función del entorno y los eventos específicos.
¿La actualización cambia mi registro?
No. Microsoft dice que la actualización no crea ni edita el valor. Si falta, solo el estándar interno de los dispositivos afectados cambia de Auditar a Aplicar.
¿Es esto un error en la actualización de octubre?
Microsoft describe la medida como un refuerzo de seguridad planificado y no como un error conocido en la actualización. Un inicio de sesión fallido aún debe diagnosticarse según los eventos y la cadena de autenticación.
Fuentes y notas de prueba.
Las instrucciones son una evaluación de la documentación de Microsoft, no una medición o prueba de laboratorio independiente. Las declaraciones técnicas fueron verificadas al 2 de noviembre de 2026 utilizando las siguientes fuentes:
- Soporte de Microsoft: administre los cambios de NTLMv1 y evite problemas de autenticación de red en Windows (KB5066470)
- Microsoft Learn: Consideraciones y problemas conocidos al usar Credential Guard
- Microsoft Learn: Política CSP: LocalPoliciesSecurityOptions
- Microsoft Learn: Centro de mensajes de Windows, anuncio del 14 de octubre de 2026
Se revisó el video explicativo oficial apropiado, pero la investigación no encontró un video verificado y suficientemente específico para este cambio NTLMv1-SSO específico; por lo tanto, no se incluye ningún vídeo. Autor: TechDesk PE Digital.Networks.