In questo articolo Indice dei contenuti 3 sezioni
Gli aggiornamenti di sicurezza di ottobre 2026 per Windows 11 possono mandare in crisi le connessioni alle reti WiFi aziendali, alle VPN e in certi casi anche alle reti Ethernet. Il motivo è una modifica voluta da Microsoft al comportamento predefinito del sistema nei confronti delle credenziali derivate dal vecchio protocollo di autenticazione NTLMv1, con il blocco automatico di alcuni meccanismi che fino a pochi giorni prima funzionavano senza intoppi. Il cambiamento è scattato con le patch del 13 ottobre 2026 e riguarda Windows 11 nelle versioni 24H2, 25H2 e 26H2, oltre a Windows Server 2025.
A pagarne le conseguenze sono soprattutto le infrastrutture aziendali che si appoggiano ancora a meccanismi di autenticazione basati su MSCHAPv2, spesso senza che gli amministratori abbiano piena consapevolezza di tutte le dipendenze presenti nella rete. NTLM, sigla di NT LAN Manager, risale al 1993 e all’arrivo di Windows NT 3.1. Per oltre 30 anni ha accompagnato l’evoluzione delle reti in azienda e, nonostante Kerberos e altre soluzioni più robuste, alcune componenti crittografiche legate a NTLMv1 sono sopravvissute dentro protocolli diversi. Microsoft ne ha avviato da tempo l’eliminazione, ma passare dalla semplice registrazione degli utilizzi al blocco vero e proprio può avere effetti immediati su chi gestisce ambienti complessi.
Cosa cambia con le patch di ottobre su Windows 11
La novità tocca il modo in cui Windows 11 genera le credenziali derivate da NTLMv1 per il Single Sign On, cioè il meccanismo che riutilizza l’identità dell’utente già autenticato nel sistema operativo per accedere ad altre risorse senza chiedere di nuovo nome utente e password. Prima di ottobre il sistema permetteva queste operazioni registrando però un avviso. La configurazione predefinita corrispondeva alla modalità Audit, utile per individuare i flussi obsoleti senza fermare il lavoro degli utenti.
Dal 13 ottobre in presenza di determinate condizioni il sistema passa da solo alla modalità Enforce, che impedisce la creazione delle credenziali ritenute non sicure. Una connessione che fino al giorno prima andava benissimo può quindi fallire in fase di autenticazione, anche se la rete e le credenziali non sono state toccate. Il cambiamento è descritto nella documentazione KB5066470 e nelle note dell’aggiornamento KB5127648 per Windows 11, mentre per Windows Server 2025 il riferimento è KB5126646. Non si tratta di un bug finito per sbaglio nel Patch Tuesday. Microsoft lo considera un rafforzamento della sicurezza pianificato e documentato già dal 2025, anche se gli effetti somigliano parecchio a quelli di un aggiornamento difettoso.
WiFi aziendali, Ethernet e VPN: dove nascono i problemi
I casi più delicati riguardano le reti che usano l’autenticazione IEEE 802.1X per controllare gli accessi. In ufficio un computer può collegarsi a una rete WiFi protetta con WPA2 Enterprise sfruttando l’account di dominio senza chiedere nulla all’utente. Una configurazione molto diffusa prevede PEAP con MSCHAPv2, dove PEAP crea un tunnel TLS protetto al cui interno avviene l’autenticazione. La protezione del tunnel però non cancella la dipendenza dai vecchi meccanismi crittografici usati per produrre il materiale necessario all’accesso. Se il client prova a recuperare in automatico le credenziali e l’operazione richiede una funzione ora bloccata, il collegamento si interrompe prima di completarsi.
Lo stesso può accadere sulle reti Ethernet che impongono 802.1X prima di far passare il traffico, quindi anche un PC attaccato fisicamente allo switch può restare fuori. Il discorso vale pure per le VPN aziendali configurate con EAP MSCHAPv2 o PEAP MSCHAPv2, perché se la procedura richiede credenziali derivate da NTLMv1 il sistema può bloccarla.
Come controllare il Registro di sistema
Tutto ruota attorno a un valore DWORD chiamato BlockNtlmv1SSO, che si trova nella chiave HKEYLOCALMACHINESYSTEMCurrentControlSetControlLsaMSV10 del Registro. Con il valore 0 è attiva la modalità Audit, che consente temporaneamente le operazioni e registra gli avvisi. Con 1 entra in gioco Enforce e la generazione delle credenziali per il Single Sign On viene impedita. La particolarità di queste patch è che Microsoft non crea né modifica il valore. Cambia invece il comportamento applicato quando la voce manca, perché sulle macchine coinvolte la sua assenza ora equivale a Enforce.
Per verificare basta interrogare quella chiave da una finestra PowerShell aperta con privilegi elevati usando il comando Get ItemProperty indicato da Microsoft. Se il valore non viene restituito significa che la configurazione non esiste. Quando un’azienda ha una dipendenza critica da queste credenziali e non può intervenire subito sull’infrastruttura, Microsoft ammette un’eccezione temporanea che consiste nel riportare BlockNtlmv1SSO a 0 e ripristinare così la modalità Audit. Da un prompt dei comandi avviato come amministratore il comando è reg add “HKLMSYSTEMCurrentControlSetControlLsaMSV10” /v BlockNtlmv1SSO /t REGDWORD /d 0 /f.
Fonte: TecnoAndroid