Oktober-update blokkeert NTLMv1 en breekt stille wifi- en vpn-aanmeldingen
De Windows-beveiligingsupdate van 13 oktober 2026 zet een schakelaar om die in veel bedrijfsnetwerken meteen merkbaar is: aanmeldingen via wifi, ethernet en vpn die onder water nog op NTLMv1 leunen, worden nu geblokkeerd in plaats van alleen gelogd. Microsoft heeft er een eigen supportartikel voor, dat op 14 oktober is bijgewerkt.
Wat er precies verandert
Het gaat om een registerwaarde met de naam BlockNtlmv1SSO, een REG_DWORD onder HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\msv1_0. Die waarde kent twee standen. In auditmodus (0) wordt een verzoek om NTLMv1-credentials voor een aangemelde gebruiker gelogd, maar wel toegestaan. In enforcemodus (1) wordt dat verzoek geblokkeerd.
De update zelf schrijft die waarde niet. Wat wél verandert, is wat Windows doet als de waarde er helemaal niet staat. Vóór de oktober-update viel Windows dan terug op auditmodus. Na de update is enforcemodus de nieuwe standaard. Wie de waarde nooit heeft aangeraakt — en dat is de meeste omgevingen — gaat dus van loggen naar blokkeren zonder dat er iets in een configuratie is gewijzigd.
De wijziging zit in KB5127648 voor Windows 11 24H2, 25H2 en 26H2, en in KB5126646 voor Windows Server 2025.
Waar het stukloopt
Microsoft noemt expliciet "Wi-Fi, Ethernet, and VPN deployments using MS-CHAPv2 based authentication, including PEAP-MSCHAPv2 and EAP-MSCHAPv2". Dat is precies het type 802.1X-configuratie dat op veel bedrijfsnetwerken nog draait: de gebruiker meldt zich aan op Windows, en het netwerk hergebruikt die aanmelding stil op de achtergrond.
Dat stille hergebruik is wat wegvalt. Handmatig inloggen blijft werken, schrijft Microsoft: "Manually entering credentials will continue to work in Enforce mode." Dat maakt het symptoom verraderlijk. Er valt geen netwerk om; gebruikers krijgen plotseling een inlogvenster te zien waar het voorheen automatisch ging. Op het Q&A-forum van Microsoft zelf staan meldingen van beheerders die na KB5127648 problemen zien met WPA2-Enterprise over PEAP.
Dit is geen bug
The Register merkt op dat het om bedoeld gedrag gaat, en dat is belangrijk voor de verwachtingen: er komt geen herstelupdate die dit terugdraait. NTLM staat sinds 2024 op de afbouwlijst en Microsoft bouwde in 2025 auditmogelijkheden in waarmee beheerders konden zien waar de techniek nog in gebruik was. Die auditfase is nu afgelopen. Microsoft werkt naar eigen zeggen aan het definitief uitschakelen van NTLMv1.
Wat je nu kunt doen
Microsoft zet Credential Guard op de eerste plaats: "Microsoft strongly recommends its deployment and enablement if Credential Guard's requirements are met." Met Credential Guard actief speelt het blokkeren van NTLMv1-credentials voor SSO geen rol.
Lukt dat niet op korte termijn, dan kun je BlockNtlmv1SSO op 0 zetten om tijdelijk terug naar auditmodus te gaan. Microsoft hangt daar een duidelijke waarschuwing aan: "Using Audit mode reduces the protection provided by Enforce mode and should only be considered as a scoped, temporary security exception." Het is dus een pauzeknop, geen oplossing, en er is geen toezegging hoe lang die knop blijft werken.
De nuttigste actie is in de tussentijd inventariseren: welke wifi-, ethernet- en vpn-profielen in je omgeving leunen nog op MS-CHAPv2? Dat zijn de plekken waar de volgende stap in de NTLM-afbouw opnieuw gaat schuren.
Het volledige overzicht staat in het supportartikel van Microsoft over het beheren van de NTLMv1-wijzigingen.