KB5127648 en NTLMv1: waarom PEAP-MSCHAPv2 Wi-Fi, LAN en VPN niet meer verbinden en hoe je dat definitief oplost

Het korte antwoord

Sinds KB5127648, de cumulatieve update van oktober 2026 voor Windows 11 24H2, 25H2 en 26H2, blokkeert Windows standaard NTLMv1-afgeleide referenties voor single sign-on. Windows Server 2025 krijgt dezelfde wijziging met zijn update van oktober 2026. Op apparaten zonder Credential Guard verbinden Wi-Fi-, Ethernet- (bekabeld 802.1X) en VPN-verbindingen die gebruikmaken van PEAP-MSCHAPv2 of EAP-MSCHAPv2 met Windows-referenties niet langer automatisch.

De registerwaarde BlockNtlmv1SSO op 0 zetten herstelt voorlopig het oude gedrag. De definitieve oplossing die Microsoft aanbeveelt, is certificaatgebaseerde authenticatie met EAP-TLS.

TL;DR

• Wat er veranderde: Windows dwingt BlockNtlmv1SSO nu af op elk apparaat waar een beheerder dit niet expliciet heeft geconfigureerd. Microsoft kondigde dit aan in Message Center-bericht MC1508562 en documenteert het in KB5066470.
• Wie het treft: Apparaten zonder Credential Guard die gebruikmaken van MS-CHAPv2-gebaseerde single sign-on, doorgaans domein-gekoppelde Windows-clients.
• Snelle workaround: BlockNtlmv1SSO op 0 zetten. Microsoft zelf stelt dat deze instelling niet langdurig gebruikt zou moeten worden.
• Definitieve oplossing: Overstappen op EAP-TLS. Met SCEPman doe je dat zonder een on-premises PKI te hoeven bouwen.

Wat er veranderde met KB5127648

Microsoft schakelt NTLM stap voor stap uit. De laatste stap raakt een protocol dat veel netwerken dagelijks nog gebruiken: MS-CHAPv2. Dat is gebaseerd op NTLMv1-afgeleide referenties, en Windows geeft die niet langer uit voor single sign-on.

Microsoft kondigde de handhaving aan in Message Center-bericht MC1508562, "Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard". De technische achtergrond staat in KB5066470.

Microsoft noemt dit een geplande beveiligingswijziging, geen bekend probleem met de update. Met andere woorden: dit is definitief.

Ben je getroffen?

Je bent waarschijnlijk getroffen als al het volgende van toepassing is:

• Je apparaten draaien Windows 11 24H2 of later, of Windows Server 2025, met de update van oktober 2026 (KB5127648 op Windows 11) geïnstalleerd.
• Credential Guard is uitgeschakeld op die apparaten.
• Je Wi-Fi, Ethernet (bekabeld 802.1X) of VPN maakt gebruik van PEAP-MSCHAPv2 of EAP-MSCHAPv2 met single sign-on. Dit is doorgaans een domein-gekoppeld apparaat waarop "Automatisch mijn Windows-aanmeldingsnaam en -wachtwoord gebruiken" is ingeschakeld.
• De registerwaarde BlockNtlmv1SSO is nooit ingesteld.

Je bent niet getroffen door deze wijziging als je apparaten al gebruikmaken van certificaatgebaseerde authenticatie (EAP-TLS). Apparaten met Credential Guard ingeschakeld blokkeerden dit gedrag al, dus op wachtwoord gebaseerde SSO was daar al verbroken. De wijziging zit in Windows, dus macOS-, iOS-, Android- en Linux-clients worden niet getroffen.

Hoe het eruitziet

• Apparaten verbinden niet langer automatisch en gebruikers krijgen een dialoogvenster voor referenties.
• Het wachtwoord handmatig invoeren werkt nog wel, maar Windows kan het niet opslaan voor de volgende keer.
• Werkstromen die zonder gebruikersinteractie verbinding maakten, werken niet meer; denk aan gedeelde apparaten, kioskapparaten en VPN-profielen die automatisch verbinden.
• De client logt Event ID 4025 ("geblokkeerd") in Microsoft-Windows-NTLM/Operational. In auditingmodus logt hij in plaats daarvan Event ID 4024.

De fout treedt op aan de clientzijde, waardoor je RADIUS- of NPS-logboeken weinig of niets laten zien. Begin het oplossen op het eindpunt.

Hoe je een apparaat controleert

# Is BlockNtlmv1SSO geconfigureerd? (geen waarde = Windows gebruikt de nieuwe Enforce-standaard)
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO

# Heeft Windows NTLMv1-afgeleide referenties geaudit (4024) of geblokkeerd (4025)?
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50

De snelle workaround: BlockNtlmv1SSO op 0 zetten

Je kunt getroffen apparaten terugzetten naar auditingmodus. Windows staat NTLMv1-afgeleide referenties dan weer toe en registreert elk gebruik met Event ID 4024.

Opdrachtregel

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Intune-herstelscript (uitvoeren in systeemcontext)

# Detectiescript: alleen compliant als BlockNtlmv1SSO expliciet op 0 is ingesteld
$v = (Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO
if ($v -eq 0) { exit 0 } else { exit 1 }

# Herstelscript
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null

Gebruik voor domein-gekoppelde apparaten een Groepsbeleid Voorkeuren-registeritem met dezelfde sleutel, waardenaam, type en gegevens.

Waarom het slechts een tijdelijke oplossing is

• Het heropent een zwak pad. Microsoft stelt dat MS-CHAPv2-gebaseerde eindpunten "onderhevig zijn aan risico's vergelijkbaar met die van NTLMv1" en adviseert dat deze instelling "zorgvuldig moet worden geëvalueerd en niet langdurig gebruikt moet worden."
• Het helpt niet op apparaten met Credential Guard. Die blokkeren MS-CHAPv2 SSO ongeacht deze instelling.
• Offline apparaten kunnen geen beleid ontvangen. Apparaten die al geen netwerktoegang meer hebben, hebben mogelijk een bekabeld netwerk of gastnetwerk nodig om de instelling te ontvangen.
• De update verwijderen is geen alternatief. Dat laat je apparaten zonder de beveiligingsfixes van die maand.

Gebruik de workaround om tijd te winnen, geef hem een gedocumenteerde einddatum en gebruik die tijd om te migreren.

De definitieve oplossing: EAP-TLS in plaats van wachtwoorden

Microsoft raadt aan de afhankelijkheid van MS-CHAPv2 te verwijderen en Wi-Fi- en VPN-verbindingen over te zetten naar certificaatgebaseerde authenticatie met EAP-TLS. Het apparaat of de gebruiker bewijst zijn identiteit dan met een certificaat en een privésleutel in plaats van een wachtwoord, en die privésleutel kan worden beschermd door de TPM.

Naast het verhelpen van de storing krijg je een betere gebruikerservaring en een steviger beveiligingspositie.

Waarom zoveel netwerken nog op wachtwoorden draaien

Het protocol is niet het probleem. De PKI is het. De klassieke opzet omvat AD CS, NDES, de Intune Certificate Connector, een toepassingsproxy, CRL-publicatie, hoge beschikbaarheid en patchbeheer. Dat zijn veel bewegende onderdelen om een certificaat op een laptop te zetten, en dat is de reden waarom veel teams de overstap jarenlang hebben uitgesteld. Meer hierover in Microsoft ADCS Alternatives in 2026.

Hoe SCEPman de PKI uit de vergelijking haalt

SCEPman is een Azure-native certificeringsinstantie die volledig in je eigen Azure-tenant draait, met sleutels in Azure Key Vault.

• Snel van start: Implementeer via Azure Marketplace, ARM-sjabloon of Terraform. De meeste teams geven hun eerste certificaat uit binnen een uur.
• Beheerde apparaten: Microsoft Intune, Jamf Pro en andere MDM's geven apparaat- en gebruikerscertificaten automatisch uit en vernieuwen ze via SCEP.
• Realtime validatie: Certificaten zijn gekoppeld aan het gebruikers- of apparaatobject en worden gecontroleerd via OCSP. Wanneer een identiteit wijzigt, wordt toegang automatisch ingetrokken.
• Werkt met je netwerk: SCEPman ondersteunt Cisco en Meraki, HPE Aruba, Fortinet, Juniper en anderen, en werkt met je bestaande RADIUS-server.
• Geen RADIUS-servers nodig: Gecombineerd met RADIUSaaS krijg je een complete cloud-native oplossing voor certificaatgebaseerde Wi-Fi-, LAN- en VPN-toegang.

Migratie in zes stappen

1. Breng in kaart. Stel vast welke SSID's, bekabelde 802.1X-beleidsregels en VPN-profielen nog MS-CHAPv2 gebruiken. Event IDs 4024 en 4025 laten zien welke apparaten ervan afhankelijk zijn.
2. Koop tijd waar nodig. Zet BlockNtlmv1SSO op 0 op kritieke apparaten, maar documenteer dit en geef het een einddatum.
3. Implementeer SCEPman en distribueer het root-CA-certificaat, via een Intune-vertrouwd certificaatprofiel of via Groepsbeleid.
4. Rol certificaten uit. Geef apparaatcertificaten (en gebruikerscertificaten waar nodig) uit via Intune, Jamf Pro of andere MDM SCEP-profielen.
5. Schakel geleidelijk over. Schakel EAP-TLS in op je RADIUS-server (NPS, je bestaande RADIUS of RADIUSaaS) naast PEAP. Zet daarna je Wi-Fi-, 802.1X- en VPN-profielen één groep tegelijk over naar EAP-TLS.
6. Ruim op. Verwijder de MS-CHAPv2-beleidsregels en zet BlockNtlmv1SSO terug op 1 of verwijder de waarde zodat Windows de veilige standaard weer gebruikt:

reg delete "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /f

Conclusie

Microsoft heeft de knoop doorgehakt: op wachtwoord gebaseerde netwerk-SSO via MS-CHAPv2 heeft geen toekomst op Windows. Je kunt KB5127648 een paar weken omzeilen, of je gebruikt dit moment om definitief over te stappen op certificaatgebaseerde toegang.

Saaie PKI. Betrouwbare certificaten.

Probeer SCEPman gratis

FAQ