Windows 11: Protezione NTLMv1

Con gli aggiornamenti di sicurezza dell'ottobre 2026, Microsoft ha apportato una modifica all'autenticazione di Windows che potrebbe causare problemi con le connessioni Wi-Fi, Ethernet e VPN in determinati ambienti aziendali. Windows blocca da allora per impostazione predefinita determinate credenziali derivate da NTLMv1 utilizzate per l'accesso automatico tramite Single Sign-On (SSO).

Ciò non significa tuttavia che il Wi-Fi smetterà improvvisamente di funzionare per tutti gli utenti dopo l'aggiornamento di ottobre. Sono interessate solo specifiche configurazioni di autenticazione, in particolare quelle che utilizzano MS-CHAPv2 in combinazione con credenziali derivate da NTLMv1. Windows 11 – Microsoft Windows Windows 11-l'utente perde la connessione WLAN. Sono interessate solo specifiche configurazioni di autenticazione, in particolare quelle che utilizzano MS-CHAPv2 in combinazione con credenziali derivate da NTLMv1.

Cosa ha modificato Microsoft con l'aggiornamento di ottobre 2026?

Cosa ha cambiato Microsoft con l'aggiornamento di ottobre 2026?

Con gli aggiornamenti di sicurezza del 13 ottobre 2026, Microsoft ha modificato il comportamento predefinito dell'impostazione Windows BlockNtlmv1SSO Prima della modifica, Windows era per impostazione predefinita in modalità di monitoraggio. I tentativi di utilizzare le credenziali corrispondenti venivano registrati, ma potevano comunque avere successo. Dopo l'installazione dell'aggiornamento di sicurezza di ottobre, Windows passa per impostazione predefinita alla modalità di applicazione, a meno che il valore del Registro di sistema pertinente non sia stato configurato esplicitamente.

In modalità di applicazione, Windows blocca la generazione delle credenziali interessate per il Single Sign-On. Ciò può influire su determinate connessioni Wi-Fi, Ethernet e VPN se utilizzano l'autenticazione basata su MS-CHAPv2.

In modalità di applicazione, Windows blocca la generazione delle credenziali interessate per Single Sign-On. Ciò può influire su determinate connessioni WLAN, Ethernet e VPN se utilizzano l'autenticazione basata su MS-CHAPv2.

Credential Guard è disattivato sul dispositivo.

Il valore del Registro di sistema "
" non è stato impostato esplicitamente. BlockNtlmv1SSO Se il valore è stato configurato prima dell'aggiornamento, questa impostazione rimane determinante. L'aggiornamento non crea né modifica automaticamente il valore del Registro di sistema. Modifica solo il comportamento predefinito interno quando il valore non è presente.

la modifica fa parte dell'aggiornamento di sicurezza "

Per Windows 11 – Microsoft Windows Windows 11 KB5127648 KB5127648. Riguarda le versioni 24H2, 25H2 e 26H2. Per Windows Server 2025, l'aggiornamento corrispondente KB5126646. La descrizione tecnica dettagliata e le opzioni di configurazione sono documentate da Microsoft in "..

Cosa sono NTLM e NTLMv1?

NTLM sta per NT LAN Manager e si riferisce a una vecchia famiglia di protocolli di autenticazione dell'ambiente Windows. Viene utilizzato per autenticare gli utenti nei confronti di servizi di rete e altri sistemi. Nelle moderne reti Windows viene spesso utilizzato Kerberos. Tuttavia, NTLM viene ancora utilizzato in determinate situazioni per motivi di retrocompatibilità.

All'interno della famiglia NTLM esistono diverse versioni. NTLMv1 è la variante più vecchia ed è considerata insicura a causa delle sue debolezze crittografiche. NTLMv2 è la versione evoluta con meccanismi di sicurezza migliorati. Pertanto, i due protocolli non devono essere equiparati.

Microsoft ha già rimosso il protocollo NTLMv1 effettivo da Windows 11, versione 24H2, e Windows Server 2025. Tuttavia, ciò non significa che tutte le procedure NTLM siano state disattivate contemporaneamente. Né significa che tutti i flussi di autenticazione con componenti crittografici più vecchi siano scomparsi automaticamente.

È proprio qui che interviene la modifica attuale: Microsoft non vuole solo impedire l'uso del protocollo NTLMv1 effettivo, ma anche bloccare determinate credenziali derivate da NTLMv1 che possono ancora essere utilizzate in altri protocolli di autenticazione.

Quali versioni di Windows sono interessate?

Microsoft ha introdotto gradualmente il monitoraggio e l'applicazione delle credenziali derivate da NTLMv1. La funzionalità tecnica è stata inizialmente fornita con gli aggiornamenti a partire da agosto 2025. Nell'ottobre 2026, Microsoft ha modificato il comportamento predefinito sulle versioni di Windows designate a tale scopo.

Sistema operativo	Classificazione
Windows 11 24H2	Funzione di monitoraggio dal 2025. Il comportamento predefinito è stato modificato in applicazione con l'aggiornamento di sicurezza KB5127648 di ottobre 2026.
Windows 11 25H2	La modifica del comportamento predefinito fa parte di KB5127648 di ottobre 2026.
Windows 11 26H2	La modifica del comportamento predefinito fa parte di KB5127648 di ottobre 2026.
Windows 11 26H1	Viene elencata come versione supportata in KB5066470. Tuttavia, KB5127648 non è l'aggiornamento associato per questa versione. L'assegnazione specifica dell'aggiornamento deve essere verificata separatamente in base alla documentazione di aggiornamento pertinente.
Windows Server 2025	Il monitoraggio è stato introdotto già nel 2025. Il comportamento predefinito modificato fa parte dell'aggiornamento di sicurezza KB5126646 di ottobre 2026.
Windows Server 2019 e 2022	Con l'aggiornamento di ottobre sono stati aggiunti eventi di monitoraggio NTLM estesi. Ciò non equivale al blocco lato client tramite BlockNtlmv1SSO.

Per Windows 11 24H2, 25H2 e 26H2, Microsoft indica i seguenti build del sistema operativo per l'aggiornamento KB5127648:

Windows 11 24H2: Build 26100.9711
Windows 11 25H2: Build 26200.9711
Windows 11 26H2: Build 26300.9711

Per Windows Server 2025, Microsoft introduce l'aggiornamento KB5126646 con la build del sistema operativo 26100.33650.

La mappatura degli aggiornamenti è importante perché non tutte le versioni di Windows ricevono la stessa modifica con lo stesso numero KB. Il supporto tecnico di una configurazione in KB5066470 non è una prova automatica che un determinato aggiornamento cumulativo si applichi a ogni versione elencata.

Perché le connessioni WLAN, LAN e VPN possono essere interessate?

I potenziali problemi di connessione non sono causati dal segnale wireless o da un adattatore di rete improvvisamente difettoso. Il punto critico è l'autenticazione: in determinate configurazioni, Windows non può più fornire automaticamente le credenziali derivate da NTLMv1 necessarie per il Single Sign-On.

Ciò riguarda in particolare gli ambienti in cui MS-CHAPv2 viene utilizzato per l'accesso a una rete. Microsoft cita connessioni WLAN, Ethernet e VPN. Tuttavia, non tutte le connessioni di questo tipo sono interessate. Ciò che conta è se il rispettivo flusso di autenticazione dipende dalle credenziali SSO bloccate.

WLAN e 802.1X

Nelle reti aziendali, il WLAN è spesso protetto non solo da una password condivisa. Gli utenti o i dispositivi possono invece autenticarsi tramite 802.1X. Vengono utilizzati diversi metodi EAP.

Le configurazioni possibili includono PEAP-MSCHAPv2 ed EAP-MSCHAPv2. In determinati ambienti associati a un dominio, questi metodi possono fare affidamento su credenziali derivate da NTLMv1 per il Single Sign-On.

Se la fornitura automatica di queste credenziali viene bloccata, l'accesso WLAN potrebbe fallire o potrebbe essere richiesta un'immissione manuale delle credenziali. La rete wireless effettiva e l'adattatore WLAN non devono essere la causa del problema.

LAN cablata

Anche le connessioni di rete cablate possono essere interessate se utilizzano un'autenticazione basata su 802.1X o MS-CHAPv2. Ciò riguarda principalmente le reti aziendali gestite centralmente.

Una normale connessione Ethernet a un router privato, al contrario, non è automaticamente interessata. Anche in questo caso, ciò che conta è l'autenticazione utilizzata e non solo il tipo di connessione di rete.

Connessioni VPN

Nelle connessioni VPN, MS-CHAPv2 può essere utilizzato anche per l'autenticazione. Se l'accesso si basa su credenziali SSO derivate da NTLMv1, Windows può bloccare l'accesso automatico.

Un'interruzione della VPN dopo un aggiornamento di Windows non è quindi una prova automatica di un problema NTLMv1. Anche il protocollo VPN, il server di autenticazione, i certificati, l'accesso alla rete e altre configurazioni devono essere presi in considerazione durante la risoluzione dei problemi.

Cos'è MS-CHAPv2 e quale ruolo svolge?

MS-CHAPv2 sta per Microsoft Challenge Handshake Authentication Protocol Version 2. È un metodo di autenticazione in cui un sistema risponde a una sfida del server con una risposta calcolata crittograficamente.

MS-CHAPv2 non è la stessa cosa di NTLMv1. Si tratta di meccanismi di autenticazione diversi. Tuttavia, esiste una connessione rilevante per la sicurezza tra i due metodi.

Microsoft spiega che MS-CHAPv2 utilizza l'hash MD4 della password dell'utente per rispondere a una sfida durante l'autenticazione. La risposta risultante è crittograficamente equivalente a NTLMv1. Ciò può comportare una superficie di attacco comparabile, anche se il protocollo NTLMv1 effettivo è già stato rimosso dal dispositivo.

Ciò spiega perché Microsoft blocca ulteriormente l'uso delle credenziali corrispondenti. La modifica della sicurezza non riguarda MS-CHAPv2 come termine o qualsiasi uso immaginabile della procedura in generale, ma l'uso delle credenziali derivate da NTLMv1 per specifici flussi SSO.

Il post di Microsoft „Bracing for BlockNtlmv1SSO“ del 23 ottobre 2026 spiega questa connessione crittografica e descrive i possibili impatti sugli ambienti VPN, WLAN, NPS e RADIUS.

Sono interessato come utente privato?

Chi Windows 11 – Microsoft Windows Windows 11 a casa con un normale router WLAN e ci si connette con la password WLAN, di solito non si è interessati da questa modifica specifica. I problemi descritti presuppongono una configurazione di autenticazione speciale.

Le cose potrebbero essere diverse per i dispositivi gestiti che sono connessi, ad esempio, a una rete aziendale, a una rete WLAN gestita centralmente o a una VPN configurata in modo appropriato.

Un ruolo importante gioca anche Credential Guard. Si tratta di una funzione di sicurezza di Windows che protegge determinate credenziali tramite funzioni di virtualizzazione. Microsoft spiega espressamente che la modifica descritta qui su BlockNtlmv1SSO si applica solo ai dispositivi su cui Credential Guard è disattivato. Se Credential Guard è attivato, questa modifica specifica non avrà effetto.

Ciò non significa, tuttavia, che Credential Guard e la nuova misura di protezione NTLMv1 siano identici. Microsoft sottolinea espressamente che Credential Guard offre una protezione più completa e ne raccomanda l'attivazione sulle piattaforme supportate, a condizione che siano soddisfatti i requisiti tecnici.

Perché l'accesso manuale può continuare a funzionare?

La modifica influisce sulla generazione di determinate credenziali derivate da NTLMv1 per Single Sign-On. SSO consente a Windows di utilizzare automaticamente le credenziali esistenti per altri servizi o connessioni di rete.

Se questo percorso di accesso automatico viene bloccato, l'inserimento manuale delle credenziali può continuare a funzionare. Non è una contraddizione: durante l'accesso manuale, le credenziali vengono richieste direttamente, mentre il flusso SSO interessato si basa sulla fornitura automatica delle credenziali.

Microsoft conferma espressamente che l'inserimento manuale delle credenziali continuerà ad essere possibile anche in modalità di applicazione. Se una connessione specifica può essere stabilita con successo dipende inoltre dalla rispettiva configurazione di autenticazione.

Come possono gli amministratori determinare se i sistemi sono interessati?

Le aziende dovrebbero soprattutto esaminare le configurazioni di autenticazione esistenti. Particolarmente rilevanti sono gli accessi WLAN, Ethernet e VPN che utilizzano MS-CHAPv2 o metodi basati su di esso.

Microsoft fornisce registri di monitoraggio ed eventi per questo scopo. Sui client Windows interessati, gli eventi nel registro Microsoft-Windows-NTLM/Operational registrato.

ID evento	Senso
4024	Avviso in modalità di monitoraggio: viene registrato un tentativo di utilizzare credenziali derivate da NTLMv1 per Single Sign-On. La richiesta potrebbe comunque avere successo.
4025	Errore in modalità di applicazione: un tentativo di utilizzare credenziali derivate da NTLMv1 per Single Sign-On è stato bloccato da una policy.

È possibile aprire Visualizzatore eventi dal menu Start. Gli amministratori troveranno il log pertinente in "Registri applicazioni e servizi" nella sezione Microsoft-Windows-NTLM/Operational.

Gli eventi includono informazioni sul server di destinazione, sull'utente, sul processo e sul meccanismo di autenticazione utilizzato. Ciò consente di determinare quale applicazione o connessione sta richiedendo le credenziali interessate.

Monitoraggio aggiuntivo sui controller di dominio

Per le aziende con Windows Server 2019 o Windows Server 2022, esiste un ulteriore modo per rilevare potenziali dipendenze MS-CHAPv2. Con gli aggiornamenti di ottobre 2026, eventi di monitoraggio NTLM avanzati sono stati ripristinati su queste versioni del server.

Particolarmente rilevante è l'ID evento 4033, che può verificarsi su un controller di dominio quando un server VPN inoltra una sfida-risposta per verificare le credenziali. I dati dell'evento possono indicare se si tratta di un'operazione MS-CHAPv2 appropriata.

Questo monitoraggio sul controller di dominio deve essere distinto dal blocco lato client tramite BlockNtlmv1SSO . Gli eventi avanzati aiutano gli amministratori a identificare le dipendenze esistenti. Non implicano che Windows Server 2019 o 2022 ricevano automaticamente lo stesso blocco client.

Microsoft consiglia di raccogliere e valutare centralmente i log degli eventi NTLM dei controller di dominio. In ambienti più grandi, è possibile utilizzare un sistema SIEM, ad esempio.

Checklist per amministratori IT

Verificare quali versioni di Windows client e server sono in uso nell'ambiente.
Determinare se sono stati installati gli aggiornamenti di sicurezza di ottobre pertinenti.
Controllare se Credential Guard è abilitato sui client interessati.
Il valore del Registro di sistema BlockNtlmv1SSO e la sua configurazione.
Analizzare gli eventi 4024 e 4025 nel protocollo NTLM dei client.
Sui controller di dominio con Windows Server 2019 o 2022, controllare inoltre gli eventi di controllo avanzati, in particolare l'ID evento 4033.
Analizzare le configurazioni WLAN, Ethernet e VPN per le dipendenze da MS-CHAPv2.
Documentare le applicazioni interessate, i server di autenticazione e gli accessi di rete.
Pianificare e testare la transizione a un metodo di autenticazione alternativo appropriato.

Gli ID evento, la configurazione del Registro di sistema e le informazioni sul rollout sono descritti nella Documentazione Microsoft KB5066470 . Il monitoraggio supplementare su Server 2019 e 2022 è spiegato da Microsoft nel contributo „Bracing for BlockNtlmv1SSO“.

Quale soluzione transitoria offre Microsoft?

Se un'azienda rileva una dipendenza critica da MS-CHAPv2 e non può passare immediatamente all'autenticazione, Microsoft offre un'opzione di compatibilità temporanea. A tale scopo, il valore del Registro di sistema BlockNtlmv1SSO SU 0 può essere impostato.

Il valore attiva la modalità di monitoraggio. Windows continua a registrare l'utilizzo delle credenziali interessate, ma non le blocca. In questo modo, i relativi requisiti SSO possono essere nuovamente eseguiti con successo in via temporanea.

Il percorso del Registro di sistema pertinente è:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

All'interno di questa chiave di Registro di sistema, il valore DWORD (32 bit) BlockNtlmv1SSO viene creato o un valore esistente viene adattato.

Valore	Comportamento
0	Modalità di monitoraggio: le richieste vengono registrate, ma consentite.
1	Modalità di applicazione: le richieste interessate vengono bloccate.

Sono necessari i diritti di amministratore per la modifica. Secondo Microsoft, dopo aver modificato il valore, non è necessario riavviare il dispositivo. L'impostazione diventa effettiva immediatamente.

Importante: Il valore 0 non è una soluzione di sicurezza permanente. Permette nuovamente l'uso delle credenziali interessate, riducendo così la protezione della modalità di applicazione. Le aziende dovrebbero utilizzare questa impostazione solo in caso di dipendenza critica comprovata, limitata nel tempo e con un'eccezione documentata.

Die Ereignisse im Überwachungsmodus helfen dabei, die verbleibenden Abhängigkeiten zu identifizieren. Sobald die betroffenen Authentifizierungsabläufe migriert wurden, sollte der Wert wieder auf 1 impostato. Microsoft raccomanda espressamente di considerare la modalità di monitoraggio solo come un'eccezione di sicurezza temporanea.

Perché Microsoft consiglia l'autenticazione basata su certificati?

A lungo termine, le aziende dovrebbero eliminare la loro dipendenza da MS-CHAPv2 e passare a un metodo di autenticazione alternativo appropriato. In questo contesto, Microsoft cita EAP-TLS come alternativa, tra le altre.

Con EAP-TLS, l'autenticazione avviene tramite certificati digitali. Ciò elimina la dipendenza dai processi MS-CHAPv2 basati su password descritti e dalle credenziali di accesso derivate da NTLMv1 associate.

Tuttavia, una tale transizione comporta preparativi negli ambienti aziendali. Questi possono includere un'infrastruttura di certificati appropriata, il provisioning e la gestione dei certificati client, nonché adattamenti agli accessi di rete e ai server di autenticazione.

La migrazione dovrebbe quindi avvenire inizialmente in un ambiente di test. Successivamente, le connessioni WLAN, Ethernet e VPN interessate possono essere gradualmente convertite. Prima di un'introduzione su larga scala, gli amministratori dovrebbero verificare se tutti i dispositivi, gli account utente e i componenti di rete utilizzati supportano il nuovo metodo.

Cosa dovrebbero fare ora gli utenti privati e le aziende?

Utenti privati

Installare gli aggiornamenti di Windows come di consueto.
Non modificare preventivamente i valori del Registro di sistema.
Non disattivare autonomamente Credential Guard o altre funzioni di sicurezza.
In caso di problemi di connessione, verificare innanzitutto se anche altri dispositivi sono interessati e se la connessione Internet funziona in generale.
In caso di dispositivo di lavoro gestito, contattare il reparto IT invece di modificare autonomamente le impostazioni di autenticazione.

Piccole imprese

Verificare se WLAN o VPN utilizzano l'autenticazione centralizzata.
Chiedere al fornitore di servizi di rete o al responsabile IT un'eventuale dipendenza da MS-CHAPv2.
Documentare i problemi di connessione dopo l'aggiornamento di ottobre.
Prendere in considerazione un ritorno temporaneo alla modalità di monitoraggio solo dopo una verifica tecnica e con una chiara limitazione temporale.
Preparare la transizione a un metodo di autenticazione alternativo appropriato.

Ambienti IT di grandi dimensioni

Valutare centralmente gli eventi 4024 e 4025 sui client.
Considerare gli eventi di controllo avanzati di NTLM sui controller di dominio.
Identificare i flussi di autenticazione interessati e le dipendenze.
Eseguire il rollout degli aggiornamenti di sicurezza in modo controllato, senza posticipare gli aggiornamenti di sicurezza in modo indiscriminato.
Documentare e monitorare le eccezioni temporanee.
Pianificare la transizione a EAP-TLS e verificarla in un ambiente di test.
Preparare l'help desk e gli utenti a possibili richieste di accesso manuale.

Conclusione: Nessun guasto generale del WLAN, ma necessità di agire per le aziende

La restrizione di NTLMv1 in Windows 11 è una misura di sicurezza mirata. Con gli aggiornamenti di sicurezza di ottobre 2026, Windows bloccherà per impostazione predefinita determinate credenziali derivate da NTLMv1 per Single Sign-On. Ciò può causare problemi nelle reti aziendali con connessioni WLAN, Ethernet e VPN, se queste si basano su flussi di autenticazione basati su MS-CHAPv2.

Le normali connessioni WLAN private di solito non destano preoccupazione. Le aziende, al contrario, dovrebbero rivedere le proprie configurazioni di autenticazione, valutare i log degli eventi ed eliminare gradualmente le dipendenze MS-CHAPv2 esistenti.

Il ritorno alla modalità di monitoraggio documentato da Microsoft può aiutare a breve termine, ma dovrebbe essere utilizzato solo come soluzione di transizione limitata. A lungo termine, si raccomanda la transizione a un metodo appropriato basato su certificati come EAP-TLS.

Ulteriore documentazione Microsoft

Stato: 6 novembre 2026

Windows 11: Protezione NTLMv1 – Possibili problemi con WLAN e VPN