Windows 11, perché le patch di ottobre bloccano WiFi, VPN e reti aziendali

L’installazione degli aggiornamenti di sicurezza per Windows di ottobre 2026 può provocare problemi di connessione alle reti WiFi aziendali, alle VPN e persino ad alcune reti Ethernet. Microsoft ha modificato il comportamento predefinito di Windows nei confronti delle credenziali derivate dal vecchio protocollo di autenticazione NTLMv1, bloccando automaticamente alcuni meccanismi che fino a pochi giorni fa continuavano a funzionare.

La modifica è entrata in vigore con gli aggiornamenti del 13 ottobre 2026 e interessa Windows 11 nelle versioni 24H2, 25H2 e 26H2, oltre a Windows Server 2025. Le conseguenze possono manifestarsi soprattutto nelle infrastrutture aziendali che utilizzano ancora meccanismi di autenticazione basati su MS-CHAPv2, spesso senza che gli amministratori conoscano tutte le dipendenze presenti nella propria rete.

NTLM (NT LAN Manager) risale al 1993, quando Microsoft introdusse Windows NT 3.1, e ha accompagnato per oltre 30 anni l’evoluzione delle reti aziendali. Nonostante l’arrivo di Kerberos e di soluzioni di autenticazione più robuste, alcune componenti crittografiche associate a NTLMv1 hanno continuato a sopravvivere in protocolli differenti. Microsoft ha avviato da tempo la loro eliminazione, ma il passaggio dalla semplice registrazione degli utilizzi al blocco effettivo può produrre conseguenze immediate per chi gestisce reti complesse.

Windows 11 blocca le credenziali NTLMv1: cosa cambia con gli aggiornamenti di ottobre 2026

La modifica introdotta da Microsoft riguarda il modo in cui Windows 11 gestisce la generazione di credenziali derivate da NTLMv1 per il Single Sign-On (SSO), il meccanismo che permette di riutilizzare l’identità dell’utente già autenticato a livello di sistema operativo per accedere ad altre risorse senza digitare nuovamente le credenziali.

Prima degli aggiornamenti di ottobre 2026, Windows consentiva determinate operazioni basate sulla crittografia NTLMv1, registrando però un evento di avvertimento nel sistema. La configurazione predefinita corrispondeva alla modalità Audit: gli amministratori potevano individuare i flussi di autenticazione obsoleti, senza interrompere le attività degli utenti.

Dal 13 ottobre il comportamento cambia: se ricorrono determinate condizioni, Windows 11 passa automaticamente alla modalità Enforce, che impedisce la generazione delle credenziali considerate non sicure. Una connessione precedentemente funzionante può quindi fallire durante l’autenticazione, anche quando la configurazione della rete e le credenziali dell’utente non hanno subito alcuna modifica.

La novità compare nella documentazione ufficiale KB5066470 di Microsoft e nelle note dell’aggiornamento KB5127648 per Windows 11. Per Windows Server 2025, Microsoft richiama invece l’aggiornamento KB5126646.

Non si tratta di un bug introdotto accidentalmente dal Patch Tuesday: Microsoft considera il cambiamento una misura di rafforzamento della sicurezza, pianificata e documentata fin dal 2025. Anche se gli effetti possono assomigliare a quelli di un aggiornamento difettoso, il comportamento risponde a una precisa scelta progettuale.

Perché NTLMv1 può creare ancora problemi se Microsoft lo ha già rimosso?

Le situazioni più delicate riguardano le infrastrutture che utilizzano l’autenticazione IEEE 802.1X per controllare l’accesso alla rete. In un’azienda, per esempio, un computer Windows può collegarsi a una rete WiFi protetta mediante WPA2-Enterprise, utilizzando le credenziali dell’account di dominio senza richiedere all’utente di inserirle nuovamente.

Una configurazione piuttosto diffusa prevede l’impiego di PEAP-MSCHAPv2: PEAP crea un tunnel TLS protetto all’interno del quale avviene l’autenticazione basata su MS-CHAPv2. La protezione offerta da TLS non elimina però le eventuali dipendenze dai vecchi meccanismi crittografici utilizzati per produrre il materiale necessario all’autenticazione.

Se il client Windows tenta di recuperare automaticamente le credenziali dell’utente autenticato e l’operazione richiede una funzione ora bloccata, il processo può interrompersi prima che il sistema completi l’accesso alla rete.

Una situazione analoga può verificarsi sulle reti Ethernet che impongono l’autenticazione 802.1X prima di autorizzare il traffico. Anche un PC collegato fisicamente a uno switch può incontrare difficoltà, se l’infrastruttura utilizza un metodo di autenticazione interessato dal cambiamento.

Il discorso si estende alle VPN aziendali: alcune configurazioni sfruttano EAP-MSCHAPv2 oppure PEAP-MSCHAPv2 per autenticare l’utente. Se la procedura richiede la generazione automatica di credenziali derivate da NTLMv1, Windows può bloccarla.

Come verificare la configurazione NTLMv1 nel Registro di sistema

Il comportamento dipende da un valore DWORD denominato BlockNtlmv1SSO, presente nella chiave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 del Registro di Windows.

Il valore accetta due configurazioni: 0 abilita Audit, consentendo temporaneamente le operazioni interessate e registrando gli avvertimenti; 1 abilita Enforce, impedendo la generazione delle credenziali derivate da NTLMv1 per il Single Sign-On.

La particolarità degli aggiornamenti di ottobre 2026 è che Microsoft non crea e non modifica automaticamente il valore BlockNtlmv1SSO. Cambia invece il comportamento interno applicato quando il valore non esiste: sulle macchine interessate, l’assenza della configurazione corrisponde ora a Enforce anziché ad Audit.

Per controllare la situazione, è possibile aprire una finestra PowerShell con privilegi elevati ed eseguire il comando seguente:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name BlockNtlmv1SSO -ErrorAction SilentlyContinue

Se il comando non restituisce il valore richiesto, significa che la configurazione non è presente.

Quando un sistema aziendale presenta una dipendenza critica da credenziali derivate da NTLMv1 e non è possibile intervenire immediatamente sull’infrastruttura, Microsoft ammette un’eccezione temporanea. La procedura consiste nell’impostare BlockNtlmv1SSO a 0, ripristinando la modalità Audit per le operazioni coinvolte. Da un prompt dei comandi avviato come amministratore, il comando è reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f.