Alvise C. Indice dei Contenuti
Aggiornato al 15 ottobre 2026.
La KB5066470, aggiornata il 14 ottobre 2026, descrive un cambiamento che può interrompere l’accesso automatico di connessioni aziendali basate su MS-CHAPv2.
Per capire l’impatto occorre distinguere tre elementi: il protocollo NTLMv1 già rimosso, la crittografia ancora utilizzata da alcuni meccanismi di autenticazione e il Single Sign-On, cioè l’accesso che riutilizza le credenziali della sessione Windows.
NTLMv1 era già stato rimosso: perché se ne parla ancora?
Microsoft documenta la rimozione di NTLMv1 a partire da Windows 11 24H2 e Windows Server 2025. Questo non significa che ogni tecnologia collegata alla sua crittografia sia scomparsa nello stesso momento.
La documentazione tecnica spiega che MS-CHAPv2 utilizza la stessa funzione di risposta di NTLMv1, ereditandone debolezze crittografiche. Da qui la necessità di intervenire anche sui meccanismi che dipendono da questi elementi legacy.
È importante non confondere NTLMv1 con NTLM nel suo complesso: la rimozione della prima versione non equivale all’eliminazione immediata di ogni autenticazione NTLM.
Quali versioni e aggiornamenti controllare
Gli aggiornamenti richiamati sono quelli del 13 ottobre 2026 per Windows 11 24H2, 25H2 e 26H2 e Windows Server 2025.
| Sistema | Aggiornamento di ottobre richiamato da Microsoft | Build |
|---|---|---|
| Windows 11 24H2 | KB5127648 | 26100.9711 |
| Windows 11 25H2 | KB5127648 | 26200.9711 |
| Windows 11 26H2 | KB5127648 | 26300.9711 |
| Windows Server 2025 | KB5126646 | 26100.33650 |
Le versioni e le build sono riportate nelle rispettive pagine degli aggiornamenti.
La KB5066470 è il documento esplicativo, mentre KB5127648 e KB5126646 identificano gli aggiornamenti citati per client e server: i numeri non vanno scambiati.
Da Audit a Enforce: il cambiamento concreto
Sui dispositivi con Credential Guard disattivato, quando il valore BlockNtlmv1SSO è assente, Windows passa da Audit a Enforce dopo l’aggiornamento.
L’aggiornamento non crea il valore nel Registro: cambia il comportamento interno applicato in sua assenza.
| Configurazione | Effetto |
|---|---|
| Valore 0 | Audit: richiesta consentita e registrata |
| Valore 1 | Enforce: richiesta bloccata |
| Valore assente, prima dell’aggiornamento | Audit |
| Valore assente, dopo l’aggiornamento | Enforce |
Il percorso è:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0BlockNtlmv1SSO è un valore REG_DWORD. Gli eventi specifici nel registro Microsoft-Windows-NTLM/Operational sono 4024 per l’audit e 4025 per il blocco.
Perché possono essere coinvolte Wi-Fi e VPN
Microsoft descrive problemi analoghi nelle considerazioni su Credential Guard: connessioni basate su PEAP-MSCHAPv2 o EAP-MSCHAPv2 possono dipendere dalle credenziali della sessione per l’accesso automatico.
Il punto è quindi l’autenticazione, non necessariamente la scheda di rete, il segnale wireless o il tunnel VPN. Come esempio operativo, un PC potrebbe raggiungere l’infrastruttura ma non completare l’accesso con il meccanismo SSO previsto dal profilo.
La presenza di un problema dopo l’aggiornamento, da sola, non conferma però questa causa. Prima di reinstallare driver o ricreare la connessione, verifica metodo di autenticazione ed eventi corrispondenti.
L’inserimento manuale delle credenziali è diverso dall’SSO
Microsoft distingue il riutilizzo automatico delle credenziali dall’inserimento esplicito: nei flussi interessati, il blocco dell’SSO non equivale necessariamente al blocco dell’autenticazione con credenziali fornite dall’utente.
Una prova manuale può quindi aiutare la diagnosi, se ammessa dal profilo. Non garantisce il funzionamento di qualsiasi VPN e non rappresenta una migrazione verso un metodo più sicuro.
Credential Guard: verificare lo stato, senza disattivarlo per tentativi
Credential Guard usa la sicurezza basata sulla virtualizzazione, o VBS, per isolare segreti come hash NTLM e ticket Kerberos. Offre una protezione più ampia rispetto al solo blocco delle credenziali derivate da NTLMv1.
Questo non significa che Credential Guard renda compatibile ogni configurazione legacy: Microsoft documenta già le limitazioni SSO con protocolli basati su password e raccomanda test prima della distribuzione.
Non disattivarlo come primo tentativo per ripristinare una connessione. Individua prima quale protezione sta intervenendo e su quale flusso.
Come verificare se il problema dipende dalla modifica
Una sequenza utile per il reparto IT è la seguente:
- Identifica il dispositivo: versione Windows, build, aggiornamenti e momento in cui è iniziato il problema.
- Controlla il profilo: metodo EAP, uso delle credenziali utente o macchina e modalità SSO.
- Verifica Credential Guard e la configurazione effettiva del valore BlockNtlmv1SSO.
- Riproduci un tentativo, annotando l’orario.
- Correla gli eventi con processo, destinazione e account, poi confrontali con i log dell’infrastruttura di autenticazione.
Per leggere il valore senza modificarlo, usa il Prompt dei comandi:
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSOSe il valore non esiste, interpreta il risultato insieme al livello di aggiornamento del PC. Un errore di accesso, invece, non dimostra che il valore sia assente.
Nel Visualizzatore eventi apri:
Registri applicazioni e servizi > Microsoft > Windows > NTLM > OperationalLa documentazione sull’audit NTLM spiega che i registri aiutano a individuare chi usa NTLM, verso quale destinazione e per quale motivo. Contengono informazioni utili su account, processi e contesto dell’autenticazione.
Conserva gli eventi prima di cambiare configurazioni: una prova senza orario o destinazione rende più difficile distinguere la causa dagli altri tentativi.
La soluzione da pianificare: autenticazione con certificati
Per Wi-Fi e VPN, Microsoft raccomanda di migrare dalle connessioni MS-CHAPv2 a metodi basati su certificati, come EAP-TLS o PEAP-TLS. [6]
La migrazione richiede una verifica dell’intero percorso: client, profili, infrastruttura RADIUS o VPN, distribuzione dei certificati e rinnovi. Non basta cambiare un’opzione sul singolo computer.
Come piano operativo, parti da un gruppo pilota e prova almeno connessione iniziale, riconnessione, cambio rete, accesso dopo riavvio e scadenza o rinnovo del certificato. Definisci anche chi gestirà gli errori di distribuzione e come recuperare l’accesso ai dispositivi remoti.
Eccezione temporanea: cosa prevede Microsoft
Per una dipendenza critica, Microsoft ammette BlockNtlmv1SSO=0 come eccezione temporanea e circoscritta, mentre si completa la correzione. Riduce la protezione e non reintroduce il protocollo NTLMv1 rimosso.
Prima di applicarla, il reparto IT dovrebbe registrare dispositivi coinvolti, motivazione, responsabile e data di scadenza. Conserva la configurazione precedente e limita il test ai sistemi necessari.
Dopo la migrazione, verifica che non rimangano eccezioni dimenticate e ricontrolla il comportamento effettivo sui sistemi aggiornati.
Cosa fare se sei un utente aziendale
Se la connessione ha smesso di funzionare, comunica all’IT quale rete o VPN stai usando, l’orario del tentativo e il messaggio ricevuto. Indica anche se compare una richiesta di credenziali che prima non vedevi.
Questi dettagli permettono di confrontare il tentativo con gli eventi. Modificare il Registro o rimuovere aggiornamenti senza una diagnosi può nascondere il problema e lasciare il dispositivo con una protezione inferiore.
Per gli amministratori, la priorità è distinguere una configurazione SSO legacy dagli altri guasti di connettività: prima raccogliere le prove, poi correggere l’autenticazione o definire un’eccezione con una scadenza precisa.
