La actualización de seguridad de Windows 11 publicada el 13 de octubre de 2026 puede impedir el inicio de sesión automático en determinadas redes corporativas Wi-Fi, Ethernet y VPN. Las notas de KB5127648 confirman que Microsoft ha activado por defecto el bloqueo de credenciales derivadas de NTLMv1 en los equipos que cumplen unas condiciones concretas. La compañía indica que introducir las credenciales manualmente sigue funcionando con este bloqueo.
El cambio afecta a Windows 11 24H2, 25H2 y 26H2, además de Windows Server 2025, únicamente cuando Credential Guard está deshabilitado y el valor BlockNtlmv1SSO del Registro no está configurado. Los dispositivos con Credential Guard activado ya bloqueaban este comportamiento, por lo que el nuevo valor predeterminado no modifica su funcionamiento.
Qué conexiones pueden perder el acceso automático
Microsoft identifica como potencialmente afectadas las conexiones que utilizan inicio de sesión único basado en MS-CHAPv2, incluidos PEAP-MSCHAPv2 y EAP-MSCHAPv2. El inicio de sesión único permite autenticarse sin volver a introducir las credenciales; es esa generación automática de credenciales la que se bloquea. No significa que todas las conexiones Wi-Fi, Ethernet o VPN vayan a fallar.
NTLMv1 ya se había retirado de Windows 11 24H2 y Windows Server 2025, pero algunos flujos de MS-CHAPv2 seguían utilizando criptografía derivada de él. La actualización cierra esa vía para el inicio de sesión único en los dispositivos descritos.
Cómo identificar el bloqueo y gestionar una excepción
Hasta ahora, cuando BlockNtlmv1SSO no estaba establecido, Windows utilizaba internamente el modo Audit, equivalente al valor 0: registraba las solicitudes y las permitía. Tras la actualización pasa a Enforce, equivalente a 1, que las bloquea. La actualización no crea ni modifica ese valor del Registro; cambia el comportamiento que se aplica cuando está ausente.
Los administradores pueden revisar el registro Microsoft-Windows-NTLM/Operational para distinguir ambos casos:
- Evento 4024: advertencia de una solicitud registrada en modo Audit.
- Evento 4025: error correspondiente a una solicitud bloqueada en modo Enforce.
Si existe una dependencia crítica, Microsoft contempla una excepción temporal: crear o establecer BlockNtlmv1SSO como REG_DWORD con valor 0 en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. El ajuste devuelve el equipo al modo Audit y no requiere reiniciar. Microsoft advierte de que reduce la protección y recomienda limitar su uso mientras se corrige la dependencia de autenticación.
