Microsoft explique les échecs d'authentification Wi-Fi et VPN liés à KB5127648
Microsoft attribue les échecs d'authentification Wi-Fi, LAN filaire et VPN après la mise à jour KB5127648 au passage du SSO NTLMv1 du mode audit au mode application.
Microsoft a mis à jour son Windows Message Center le 14 octobre 2026 pour expliquer les échecs d'authentification signalés après l'installation de la mise à jour de sécurité d'octobre 2026 KB5127648. Selon l'éditeur, ces problèmes concernent certaines connexions Wi-Fi, LAN filaire et VPN, et ne résultent pas d'un correctif défectueux, rapporte forest.watch.impress.co.jp.
La cause réside dans un changement de comportement par défaut : dans Windows 11 versions 26H2, 25H2 et 24H2 ainsi que dans Windows Server 2025, la génération d'identifiants dérivés de NTLMv1 pour l'authentification unique (SSO) passe du mode audit au mode application. Ce changement s'applique aux appareils où Credential Guard est désactivé et où la valeur de registre BlockNtlmv1SSO n'est pas définie.
Les deux modes se distinguent par leur effet et leur journalisation : le mode audit (valeur de registre 0) autorise le SSO avec des identifiants dérivés de NTLMv1 et enregistre un événement d'avertissement 4024, tandis que le mode application (valeur de registre 1) bloque ce SSO et enregistre un événement d'erreur 4025. La mise à jour ne crée ni ne modifie la valeur de registre elle-même ; seul le comportement interne par défaut appliqué lorsque la valeur n'est pas définie change.
Microsoft recommande de supprimer la dépendance à MS-CHAPv2 et de migrer les connexions Wi-Fi et VPN vers une authentification par certificat. Les dépendances peuvent être vérifiées à l'aide du journal d'événements Microsoft-Windows-NTLM/Operational.
À titre d'exception temporaire, la définition de la valeur de registre BlockNtlmv1SSO sur 0 sous HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 permet le SSO dérivé de NTLMv1 sans redémarrage.
Contexte
Le protocole NTLMv1 a déjà été supprimé dans Windows 11 version 24H2 et Windows Server 2025, mais sa cryptographie reste utilisée dans certains scénarios, notamment les connexions basées sur MS-CHAPv2 en environnement joint à un domaine. La dépréciation de NTLM et la migration vers Kerberos dans Windows 11 et Windows Server 2025 progressent par étapes, et ce changement avait été planifié et annoncé à l'avance.
En bref
Pourquoi mes connexions Wi-Fi et VPN échouent-elles après la mise à jour KB5127648 ?
Microsoft indique que ces échecs proviennent du passage par défaut du SSO avec identifiants dérivés de NTLMv1 du mode audit au mode application, et non d'un correctif défectueux.
Comment vérifier si mon appareil dépend de NTLMv1 ?
Les dépendances peuvent être examinées dans le journal d'événements Microsoft-Windows-NTLM/Operational.
Existe-t-il une solution temporaire pour rétablir le SSO NTLMv1 ?
Oui, à titre d'exception temporaire, définir la valeur de registre BlockNtlmv1SSO sur 0 sous HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 permet le SSO dérivé de NTLMv1 sans redémarrage.