微软说明KB5127648网络认证失败原因：NTLMv1默认策略变更

微软于2026年10月14日更新Windows消息中心，针对安装2026年10月安全更新KB5127648后部分Wi-Fi、有线局域网和VPN连接出现认证失败的报告作出说明。据forest.watch.impress.co.jp报道，微软表示问题并非更新本身存在缺陷，而是NTLMv1单点登录（SSO）的默认行为从审核模式转为强制模式所致。

在Windows 11版本26H2、25H2和24H2以及Windows Server 2025中，为单点登录生成基于NTLMv1的凭据现已被默认限制。该变更适用于已禁用Credential Guard且未设置注册表值BlockNtlmv1SSO的设备。审核模式（注册表值0）允许使用基于NTLMv1的凭据进行SSO，并记录警告事件4024；强制模式（注册表值1）则阻止此类SSO并记录错误事件4025。

微软指出，此次更新不会创建或修改该注册表值本身，仅当该值未设置时，内部默认行为从审核模式变为强制模式。微软建议用户消除对MS-CHAPv2的依赖，并将Wi-Fi和VPN连接迁移至基于证书的认证。依赖关系可通过事件日志Microsoft-Windows-NTLM/Operational进行检查。

作为临时例外，在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0下将注册表值BlockNtlmv1SSO设为0，可在无需重启的情况下允许基于NTLMv1的SSO。

背景

NTLMv1协议本身已在Windows 11版本24H2和Windows Server 2025中移除，但其加密技术仍在某些场景中使用，例如域加入环境中基于MS-CHAPv2的连接。Windows 11和Windows Server 2025中NTLM的弃用及向Kerberos的迁移一直在分阶段推进，此次变更此前已提前规划并公布。