Windows 11認証失敗、KB5127648は不具合でなくNTLMv1既定変更

マイクロソフトは2026年10月14日、Windows Message Centerを更新し、2026年10月のセキュリティ更新プログラムKB5127648を適用した後に一部のWi-Fi、有線LAN、VPN接続で認証が失敗する報告について説明した。同社によると、原因は更新プログラムの不具合ではなく、NTLMv1から派生した資格情報を使ったシングルサインオン（SSO）の既定動作が監査モードから強制モードへと計画的に変更されたことにある。

この変更は、Windows 11のバージョン26H2、25H2、24H2およびWindows Server 2025を対象とし、Credential Guardが無効で、レジストリ値BlockNtlmv1SSOが設定されていない端末に適用される。監査モード（レジストリ値0）ではNTLMv1から派生した資格情報によるSSOが許可され、警告イベント4024が記録される。一方、強制モード（レジストリ値1）ではそうしたSSOがブロックされ、エラーイベント4025が記録される。

更新プログラム自体はレジストリ値を作成も変更もしない。値が未設定の場合に内部的に適用される既定の動作だけが、監査モードから強制モードに変わる。

依存関係はイベントログMicrosoft-Windows-NTLM/Operationalで確認できる。マイクロソフトはMS-CHAPv2への依存をなくし、Wi-FiおよびVPN接続を証明書ベースの認証へ移行するよう促している。

一時的な例外として、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0の下にあるレジストリ値BlockNtlmv1SSOを0に設定すると、再起動なしでNTLMv1から派生したSSOを許可できる。

NTLMv1プロトコル自体はWindows 11のバージョン24H2とWindows Server 2025ですでに削除されているが、ドメイン参加環境でのMS-CHAPv2ベース接続など一部のシナリオではその暗号技術が依然として使われている。Windows 11およびWindows Server 2025におけるNTLMの非推奨化とKerberosへの移行は段階的に進められており、今回の変更は事前に計画され告知されていた。