KB5127648 ломает 802.1X PEAP: ручной фикс через реестр

Коротко о главном

Октябрьское накопительное обновление KB5127648 для Windows 11 24H2, 25H2 и 26H2 сломало 802.1X аутентификацию в корпоративных сетях. Устройства не могут подключиться к Wi-Fi через WPA2-Enterprise (PEAP) и к проводным сетям с 802.1X PEAP. Пользователи получают ошибку 0xC000000D или бесконечное состояние «Подключение».

Проблема не является багом в привычном смысле. Microsoft внесла запланированное изменение безопасности: Windows перешла из режима аудита в режим принудительного применения для NTLMv1-производных учётных данных. Это часть общего плана по отказу от устаревшего протокола NTLMv1.

Хорошая новость: есть ручной фикс через реестр, который возвращает режим аудита и восстанавливает подключение. Несколько администраторов подтвердили, что он работает. Параметр документирован Microsoft, и его можно развернуть через Group Policy.

Причина проблемы

Чтобы понять, почему обновление ломает сеть, нужно разобраться в цепочке зависимостей.

Что изменилось

Microsoft в октябре 2026 года принудительно включила блокировку генерации NTLMv1-производных учётных данных на устройствах, где параметр реестра BlockNtlmv1SSO не был настроен явно.

Раньше система работала в режиме аудита она фиксировала, но не блокировала такие данные. Теперь режим по умолчанию переключился на Enforce (принудительное применение).

Кого это затрагивает

Устройства с отключённым Credential Guard. Именно они зависят от NTLMv1-производных учётных данных для единого входа (SSO) в сетевую аутентификацию.

Протоколы, которые страдают:

• PEAP-MSCHAPv2 Wi-Fi WPA2-Enterprise.
• EAP-MSCHAPv2 проводной 802.1X.
• VPN-подключения на базе MS-CHAPv2.

На устройствах с включённым Credential Guard проблема не возникает они используют Kerberos или другие механизмы.

Симптомы

• Wi-Fi WPA2-Enterprise (PEAP): аутентификация начинается, но не завершается. В журнале событий Event 12014: OneX Held State timeout. Wi-Fi WPA2-Personal работает нормально.
• Проводной 802.1X (PEAP): клиент сообщает о внутренней ошибке аутентификации 0x80070285. Запрос не доходит до RADIUS-сервера. В редких случаях ошибка 0xC000000D.
• Проблема не зависит от производителя оборудования или чипсета (Intel, Qualcomm все затронуты).

Ручное исправление через реестр

Это временное решение, которое возвращает режим аудита и восстанавливает подключение. Оно документировано Microsoft и безопасно.

Пошаговая инструкция

1. Откройте редактор реестра от имени администратора (Win + R, введите regedit).
2. Перейдите по пути: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
3. Найдите параметр BlockNtlmv1SSO (тип DWORD).
4. Если параметра нет создайте его: правой кнопкой мыши по пустому месту → «Создать» → «Параметр DWORD (32 бита)» → назовите BlockNtlmv1SSO.
5. Установите значение 0 (режим аудита).
6. Нажмите ОК.
7. Перезагрузите компьютер и проверьте подключение к сети.

Значения параметра

• 0 режим аудита. Система фиксирует попытки использования NTLMv1 SSO, но не блокирует их.
• 1 режим принудительного применения. Система блокирует NTLMv1 SSO. Именно это значение стало поведением по умолчанию в октябре 2026 года.

Развёртывание через Group Policy

Несколько администраторов подтвердили, что параметр можно настроить централизованно через Group Policy. Это удобно для управления парком устройств.

1. Откройте Group Policy Management Console.
2. Создайте или отредактируйте политику для нужной OU.
3. Перейдите в Computer Configuration → Preferences → Windows Settings → Registry.
4. Создайте новый элемент Registry:

• Action: Update.
• Hive: HKEY_LOCAL_MACHINE.
• Key Path: SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
• Value name: BlockNtlmv1SSO
• Value type: REG_DWORD.
• Value data: 0.

1. Примените политику и выполните gpupdate /force на целевых устройствах.
2. Перезагрузите компьютеры.

Безопасность

Параметр документирован Microsoft и связан с планами компании по отказу от NTLMv1. Установка значения 0 не отключает защиту полностью она лишь возвращает поведение, которое было до октября 2026 года.

Важно понимать: это временная мера. Microsoft планирует полностью отказаться от NTLMv1 в будущих версиях Windows. Если ваша инфраструктура зависит от MS-CHAPv2, нужно планировать переход на EAP-TLS или включать Credential Guard на поддерживаемых устройствах.

Официальная позиция Microsoft

Microsoft не классифицирует эту проблему как «известную ошибку» октябрьского обновления. В Центре сообщений 365 появилось уведомление MC1508562, где указано, что это запланированное изменение безопасности, а не баг.

Что это значит для администраторов:

• Microsoft не будет выпускать «фикс», который вернёт прежнее поведение.
• Администраторам рекомендуется заранее настроить BlockNtlmv1SSO на устройствах, где Credential Guard отключён.
• В будущем значение по умолчанию может снова измениться на Enforce и тогда придётся либо мигрировать на EAP-TLS, либо использовать другие обходные пути.

Что делать, если ручной фикс не помогает

Если изменение реестра не восстановило подключение:

1. Удалите KB5127648. Это немедленно вернёт сеть, но вы потеряете исправления безопасности из рекордного октябрьского Patch Tuesday.

• Откройте Параметры → Центр обновления Windows → Журнал обновлений → Удалить обновления.
• Найдите KB5127648 и нажмите «Удалить».

1. Проверьте конфигурацию RADIUS. Возможно, проблема не только в NTLMv1, но и в настройках сервера.
2. Проверьте Credential Guard. Если он отключён это объясняет уязвимость к проблеме. Рассмотрите его включение.
3. Обратитесь к вендору сетевого оборудования. Некоторые производители (Cisco, Aruba) выпустили рекомендации по совместимости с октябрьскими обновлениями Windows.

Рекомендации администраторам

1. Проведите инвентаризацию. Определите, какие устройства используют 802.1X PEAP и отключён ли у них Credential Guard.
2. Настройте BlockNtlmv1SSO заранее. Если у вас ещё не установлен KB5127648, настройте параметр через Group Policy до раскатки обновления.
3. Планируйте миграцию на EAP-TLS. Это единственное долгосрочное решение. EAP-TLS использует сертификаты вместо паролей и не зависит от NTLM.
4. Включите Credential Guard, где это возможно. Это устраняет зависимость от NTLMv1-производных данных.
5. Свяжитесь с Microsoft, если проблема носит массовый характер. Через Центр сообщений 365 можно запросить разъяснения.

Часто задаваемые вопросы

Это баг в KB5127648?

Нет. Это запланированное изменение безопасности, которое Microsoft не классифицирует как ошибку. Обновление лишь ускорило переход Windows в режим принудительного применения.

Почему проблема появилась только сейчас?

Microsoft изменила значение по умолчанию для параметра BlockNtlmv1SSO с аудита на Enforce. Раньше система фиксировала, но не блокировала NTLMv1 SSO.

Безопасно ли устанавливать BlockNtlmv1SSO = 0?

Да, это документированный параметр Microsoft. Значение 0 возвращает прежнее поведение (режим аудита). Это не отключает защиту полностью.

Затронет ли это домашних пользователей?

Нет. Проблема касается только корпоративных сетей с 802.1X PEAP. Домашние Wi-Fi с WPA2-Personal работают нормально.

Что такое Credential Guard и при чём он тут?

Credential Guard функция Windows, которая изолирует учётные данные в защищённой среде. На устройствах с включённым Credential Guard проблема не возникает, потому что они не зависят от NTLMv1.

Будет ли Microsoft исправлять это в следующем обновлении?

Нет, потому что это не баг. Microsoft может изменить поведение по умолчанию, но полностью возвращать режим аудита не планирует.

Что делать, если у меня нет прав администратора?

Обратитесь к вашему IT-отделу или системному администратору. Проблема решается на уровне политики домена.

Что в итоге

KB5127648 ломает 802.1X PEAP аутентификацию в корпоративных сетях но это не баг, а запланированное изменение безопасности. Windows перешла в режим принудительного применения для NTLMv1 SSO. Ручной фикс через реестр (BlockNtlmv1SSO = 0) восстанавливает подключение и документирован Microsoft. Администраторам стоит настроить параметр через Group Policy заранее и планировать миграцию на EAP-TLS или включение Credential Guard.

Читайте также на блоге andko.ru

• KB5127648: что нового и стоит ли устанавливать
• Xbox не пускает в аккаунт после обновления: ошибка 0x87DD0005
• Рекордный Patch Tuesday октября 2026: 1411 уязвимостей и 3 zero-day
• Windows 11 23H2 Enterprise: у вас месяц до 10 ноября