Windows cambia NTLMv1 a bloqueo por defecto en ciertos equipos
KB5127648 y la actualización de Server 2025 pasan de Audit a Enforce para ciertas credenciales derivadas de NTLMv1. Solo afecta cuando Credential Guard está desactivado y la clave BlockNtlmv1SSO no está configurada.
La actualización de seguridad de octubre cambia el comportamiento predeterminado de Windows 11 24H2 y posteriores y Windows Server 2025 cuando la clave BlockNtlmv1SSO no está configurada: el sistema pasa de auditar a bloquear ciertas credenciales derivadas de NTLMv1 para inicio de sesión único. El cambio afecta a una combinación concreta de configuración, no a todos los accesos de red ni a todas las instalaciones.
Qué cambió con el parche de octubre
Microsoft había introducido la auditoría en actualizaciones anteriores para identificar usos de credenciales NTLMv1. Hasta el parche del 13 de octubre de 2026, cuando la clave no estaba presente, los equipos elegibles operaban en Audit, registraban eventos y permitían completar la autenticación. Después de la actualización, el valor predeterminado interno pasa a Enforce: las solicitudes que dependen de esas credenciales se bloquean. Windows no crea ni modifica la clave del Registro; solo cambia la conducta cuando su valor está ausente.
El alcance incluye Windows 11 24H2, 25H2 y 26H2 y Windows Server 2025, pero únicamente si Credential Guard está desactivado y BlockNtlmv1SSO no tiene un valor explícito. Con Credential Guard activo, esta transición no se aplica. La diferencia importa porque Microsoft ya había retirado el protocolo NTLMv1 de estas versiones, aunque queda criptografía derivada de NTLMv1 en algunos flujos heredados que usan MS-CHAPv2.
-WinCrew dice: Que una clave siga ausente mientras cambia el comportamiento predeterminado es una sutileza de implementación con consecuencias muy poco sutiles para quien mantiene una red antigua.-
Dónde puede notarse
Microsoft señala posibles efectos en Wi-Fi, Ethernet y VPN que usen MS-CHAPv2 para autenticación con inicio de sesión único, incluidos ciertos despliegues PEAP-MSCHAPv2 y EAP-MSCHAPv2 unidos a dominio. En esos entornos, Windows puede dejar de generar la credencial derivada que esperaba el flujo automático. La documentación no dice que todas las redes 802.1X vayan a fallar: depende del método de autenticación y de cómo se haya configurado la conexión.
Tampoco es un cambio que bloquee el inicio de sesión manual en esos casos: Microsoft indica que introducir las credenciales de forma manual continúa funcionando. Para diagnosticar una dependencia, el registro operativo de NTLM distingue los eventos de auditoría de los errores de bloqueo; los eventos 4024 indican uso detectado en Audit y los 4025, un intento bloqueado en Enforce. Eso permite identificar el flujo antes de tocar políticas de seguridad.
Cómo prepararse sin rebajar la protección a ciegas
El primer paso para administradores es revisar los eventos de auditoría, las políticas y las conexiones de usuario que dependan de autenticación heredada. Microsoft recomienda localizar primero los dispositivos que usan SSO con MS-CHAPv2 y migrar esos flujos cuando sea posible. Si existe una dependencia crítica que no puede cambiarse de inmediato, la documentación describe Audit como excepción temporal y acotada, advirtiendo que reduce la protección que aporta Enforce. No es un ajuste genérico para recuperar cualquier Wi-Fi que falle.
El aviso de KB5127648 para Windows 11 incorpora el cambio en las notas de la actualización de octubre, mientras que la guía de NTLMv1 detalla los requisitos, los registros y la transición también para Server 2025. En organizaciones con equipos mixtos, conviene comprobar versión, estado de Credential Guard y valor explícito de la clave antes de atribuir un fallo al parche. Un síntoma de conectividad posterior a la actualización es una pista para investigar, no prueba por sí sola de que NTLMv1 sea la causa.
-WinCrew dice: Si la conexión vuelve al teclear la contraseña, eso ayuda a acotar el SSO afectado; no convierte Audit en una solución permanente de seguridad.-
Diccionario de la Crew
NTLMv1 — mecanismo heredado de autenticación cuyas credenciales derivadas aún aparecen en algunos flujos aunque el protocolo se haya retirado de estas versiones.
SSO — Single Sign-On o inicio de sesión único: reutiliza una autenticación existente para acceder a otro recurso sin volver a introducir la contraseña.
MS-CHAPv2 — método de autenticación de desafío y respuesta utilizado por algunas configuraciones de Wi-Fi, Ethernet y VPN.
Credential Guard — protección de Windows que aísla credenciales y evita, entre otros casos, el uso de la criptografía NTLMv1 heredada que cubre este cambio.
