KB5127648 og NTLMv1: Hvorfor PEAP-MSCHAPv2 Wi-Fi, LAN og VPN sluttet å koble til, og hvordan du løser det permanent

Kortversjonen

Siden KB5127648, den kumulative oppdateringen for Windows 11 24H2, 25H2 og 26H2 i oktober 2026, blokkerer Windows NTLMv1-avledede legitimasjoner for single sign-on som standard. Windows Server 2025 får den samme endringen med sin oppdatering i oktober 2026. På enheter uten Credential Guard kobler Wi-Fi-, Ethernet- (kablet 802.1X) og VPN-tilkoblinger som bruker PEAP-MSCHAPv2 eller EAP-MSCHAPv2 med Windows-legitimasjon seg ikke lenger til automatisk.

Å sette registerverdien BlockNtlmv1SSO til 0 gjenoppretter den tidligere atferden inntil videre. Den permanente løsningen Microsoft anbefaler er sertifikatbasert autentisering med EAP-TLS.

TL;DR

• Hva som endret seg: Windows håndhever nå BlockNtlmv1SSO på alle enheter der en administrator ikke har konfigurert det eksplisitt. Microsoft kunngjorde dette i Message Center-innlegget MC1508562 og dokumenterer det i KB5066470.
• Hvem som rammes: Enheter uten Credential Guard som bruker MS-CHAPv2-basert single sign-on, typisk domenekoblede Windows-klienter.
• Rask omvei: Sett BlockNtlmv1SSO til 0. Microsoft sier selv at innstillingen ikke bør brukes på lang sikt.
• Permanent løsning: Gå over til EAP-TLS. Med SCEPman kan du gjøre det uten å bygge en PKI på stedet.

Hva endret seg med KB5127648

Microsoft har trinnvis faset ut NTLM. Det siste steget treffer en protokoll mange nettverk fortsatt er avhengige av daglig: MS-CHAPv2. Den er bygd på NTLMv1-avledede legitimasjoner, og Windows deler ikke lenger disse ut for single sign-on.

Microsoft kunngjorde håndhevingen i Message Center-innlegget MC1508562, «Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard». Den tekniske bakgrunnen finnes i KB5066470.

Microsoft omtaler dette som en planlagt sikkerhetsherding, ikke som en kjent feil i oppdateringen. Det er med andre ord ikke midlertidig.

Er du berørt?

Du er sannsynligvis berørt hvis alt det følgende gjelder:

• Enhetene dine kjører Windows 11 24H2 eller nyere, eller Windows Server 2025, med oppdateringen fra oktober 2026 (KB5127648 på Windows 11) installert.
• Credential Guard er deaktivert på disse enhetene.
• Wi-Fi, Ethernet (kablet 802.1X) eller VPN bruker PEAP-MSCHAPv2 eller EAP-MSCHAPv2 med single sign-on. Dette er typisk en domenekoblet enhet der «Automatically use my Windows logon name and password» er aktivert.
• Registerverdien BlockNtlmv1SSO har aldri vært satt.

Du er ikke berørt av denne endringen hvis enhetene dine allerede bruker sertifikatbasert autentisering (EAP-TLS). Enheter med Credential Guard aktivert blokkerte allerede denne atferden, så passordbasert SSO fungerte ikke der fra før. Endringen er i Windows, så macOS-, iOS-, Android- og Linux-klienter er ikke berørt.

Slik ser det ut

• Enheter kobler ikke lenger til automatisk, og brukere får en legitimasjonsforespørsel.
• Å skrive inn passordet manuelt fungerer fortsatt, men Windows kan ikke lagre det til neste gang.
• Arbeidsflyter som tidligere koblet til uten brukerinteraksjon slutter å fungere, for eksempel delte enheter, kioskmaskiner og VPN-profiler som kobler til automatisk.
• Klienten logger Event ID 4025 («blocked») i Microsoft-Windows-NTLM/Operational. I Audit-modus logges Event ID 4024 i stedet.

Feilen oppstår på klienten, så RADIUS- eller NPS-loggene dine viser kanskje lite eller ingenting. Begynn feilsøkingen på endepunktet.

Slik sjekker du en enhet

# Er BlockNtlmv1SSO konfigurert? (ingen verdi = Windows bruker den nye Enforce-standarden)
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO

# Har Windows logget (4024) eller blokkert (4025) NTLMv1-avledede legitimasjoner?
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50

Den raske omveien: sett BlockNtlmv1SSO til 0

Du kan sette berørte enheter tilbake i Audit-modus. Windows tillater da NTLMv1-avledede legitimasjoner igjen og logger hver bruk med Event ID 4024.

Kommandolinje

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Intune-utbedring (kjøres i systemkontekst)

# Deteksjonsskript: kompatibel kun hvis BlockNtlmv1SSO er eksplisitt satt til 0
$v = (Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO
if ($v -eq 0) { exit 0 } else { exit 1 }

# Utbedringsskript
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null

For domenekoblede enheter bruker du et Group Policy Preferences-registerelement med samme nøkkel, verdinavn, type og data.

Derfor er det bare en omvei

• Det åpner en svak sti på nytt. Microsoft sier at MS-CHAPv2-baserte endepunkter «er utsatt for risikoer som ligner dem som påvirker NTLMv1» og anbefaler at denne innstillingen «bør vurderes nøye og ikke brukes på lang sikt».
• Det hjelper ikke enheter med Credential Guard. De blokkerer MS-CHAPv2 SSO uavhengig av denne innstillingen.
• Frakoblede enheter kan ikke motta policy. Enheter som allerede har mistet nettverkstilgang, kan trenge et kablet nettverk eller et gjestenettverk for å motta innstillingen.
• Å avinstallere oppdateringen er ikke et alternativ. Det etterlater enhetene uten månedens sikkerhetsfikser.

Bruk omveien til å kjøpe tid, sett en dokumentert sluttdato på den, og bruk den tiden til å migrere.

Den permanente løsningen: EAP-TLS i stedet for passord

Microsoft anbefaler å fjerne avhengigheten av MS-CHAPv2 og flytte Wi-Fi- og VPN-tilkoblinger til sertifikatbasert autentisering med EAP-TLS. Enheten eller brukeren beviser da sin identitet med et sertifikat og en privat nøkkel i stedet for et passord, og den private nøkkelen kan beskyttes av TPM.

I tillegg til å løse strømbruddet får du en bedre brukeropplevelse og en sterkere sikkerhetsposisjon.

Hvorfor så mange nettverk fortsatt kjører på passord

Protokollen er ikke det vanskelige. PKI-en er det. Det klassiske oppsettet inkluderer AD CS, NDES, Intune Certificate Connector, en programproxy, CRL-publisering, høy tilgjengelighet og patching. Det er mange bevegelige deler bare for å sette et sertifikat på en laptop, og det er grunnen til at mange team har utsatt overgangen i årevis. Mer om dette i Microsoft ADCS Alternatives in 2026.

Hvordan SCEPman tar PKI ut av ligningen

SCEPman er en Azure-native sertifikatmyndighet som kjører helt i din egen Azure-tenant, med nøkler i Azure Key Vault.

• Rask start: Deploy via Azure Marketplace, ARM-mal eller Terraform. De fleste team utsteder sitt første sertifikat på under en time.
• Administrerte enheter: Microsoft Intune, Jamf Pro og andre MDM-er utsteder og fornyer enhets- og brukersertifikater automatisk via SCEP.
• Validering i sanntid: Sertifikater er knyttet til bruker- eller enhetsobjektet og kontrolleres via OCSP. Når en identitet endres, tilbakekalles tilgangen automatisk.
• Fungerer med ditt nettverk: SCEPman støtter Cisco og Meraki, HPE Aruba, Fortinet, Juniper og andre, og fungerer med din eksisterende RADIUS-server.
• Ingen RADIUS-servere nødvendig: Kombinert med RADIUSaaS får du en komplett sky-native løsning for sertifikatbasert Wi-Fi-, LAN- og VPN-tilgang.

Migrasjonsveien i seks steg

1. Ta inventar. Finn ut hvilke SSID-er, kablede 802.1X-policyer og VPN-profiler som fortsatt bruker MS-CHAPv2. Event ID 4024 og 4025 viser deg hvilke enheter som er avhengige av det.
2. Kjøp tid der det trengs. Sett BlockNtlmv1SSO til 0 på kritiske enheter, men dokumenter det og sett en sluttdato.
3. Deploy SCEPman og distribuer rot-CA-sertifikatet, enten via en Intune-klarert sertifikatprofil eller via Group Policy.
4. Rull ut sertifikater. Utsted enhetssertifikater (og brukersertifikater der det trengs) via Intune, Jamf Pro eller andre MDM SCEP-profiler.
5. Bytt over gradvis. Aktiver EAP-TLS på RADIUS-serveren din (NPS, din eksisterende RADIUS eller RADIUSaaS) parallelt med PEAP. Flytt deretter Wi-Fi-, 802.1X- og VPN-profiler til EAP-TLS én gruppe om gangen.
6. Rydd opp. Fjern MS-CHAPv2-policyene, og sett deretter BlockNtlmv1SSO tilbake til 1 eller slett verdien slik at Windows bruker den sikre standarden igjen:

reg delete "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /f

Konklusjon

Microsoft har tatt beslutningen: passordbasert nettverks-SSO via MS-CHAPv2 har ingen fremtid på Windows. Du kan lappe rundt KB5127648 i noen uker, eller du kan bruke dette øyeblikket til å gå over til sertifikatbasert tilgang for godt.

Kjedelig PKI. Pålitelige sertifikater.

Prøv SCEPman gratis

FAQ