De beveiligingsupdate van oktober 2026 verandert de standaardbehandeling van NTLMv1-afgeleide aanmeldgegevens op Windows 11 24H2, 25H2 en 26H2 en Windows Server 2025. Organisaties met bepaalde wifi-, ethernet- of VPN-configuraties kunnen hierdoor problemen ondervinden met automatische aanmelding.
Wat verandert er?
Wanneer Credential Guard is uitgeschakeld en de registersleutel BlockNtlmv1SSO niet expliciet is ingesteld, geldt voortaan standaard Enforce in plaats van Audit. Windows weigert dan het genereren van NTLMv1-afgeleide referenties voor Single Sign-On (SSO).
Het gaat om een geplande beveiligingswijziging, niet om een fout in de oktoberupdate. Apparaten met Credential Guard actief blokkeerden dit gedrag al.
Welke verbindingen lopen risico?
Vooral PEAP-MSCHAPv2 en EAP-MSCHAPv2 bij wifi, bekabeld netwerk en VPN verdienen aandacht. Automatisch verbinden kan mislukken; handmatig aanmelden kan in sommige scenario’s nog werken, maar het opslaan van referenties niet.
De precieze impact hangt af van het authenticatieontwerp en de apparaatconfiguratie.
Aanpak voor beheerders
Inventariseer profielen en RADIUS/NPS-koppelingen die MS-CHAPv2 gebruiken. Test Windows 11 en Server 2025 met de oktoberupdates, zowel met als zonder Credential Guard.
Migreer waar mogelijk naar certificaatgebaseerde authenticatie zoals EAP-TLS. Microsoft noemt tijdelijk Audit als compatibiliteitsoptie, maar dit verlaagt de beveiliging en hoort uitsluitend bij een gedocumenteerde, kortdurende uitzondering.
In het NTLM Operational-log duidt gebeurtenis 4024 op een Audit-waarschuwing en 4025 op een geblokkeerd verzoek in Enforce. Raadpleeg Microsoft KB5066470 voordat je de registerinstelling wijzigt.
Bron en context
Microsoft 365 Message Center: MC1508562. Meer informatie: https://support.microsoft.com/help/5066470.