2026年10月「Windows Update」でWi-Fi/VPNに接続できない問題、脱「NTLMv1」が影響

「Windows メッセージセンター」に掲載された告知

　2026年10月のセキュリティ更新プログラム「KB5127648」を適用した環境で一部のWi‑Fiや有線LAN、VPN接続で認証が失敗する問題が報告されているが、これは同パッチで導入された「NTLMv1」のセキュリティ強化によるもののようだ。この変更は以前から計画・告知されていたもので、パッチの不具合ではない。米Microsoftは10月14日（現地時間）、「Windows メッセージセンター」を更新して対応を呼び掛けている。

　「Windows 11」（バージョン 26H2/25H2/24H2）と「Windows Server 2025」では「NTLM」の廃止と「Kerberos」への移行が段階的に進められており、2026年10月のセキュリティパッチ以降、シングルサインオン（SSO）で「NTLMv1」由来の資格情報を生成することが既定で制限される（監査モードから強制モードへ）。対象は「Credential Guard」が無効で、レジストリ値「BlockNtlmv1SSO」が未設定のデバイス。

　なお、今回の更新でレジストリ値が作成・変更されるわけではない。値が未設定の場合に適用される内部の既定動作が、監査モードから強制モードへ変わる。

　「NTLMv1」プロトコル自体は、「Windows 11 バージョン 24H2」と「Windows Server 2025」ですでに削除されているが、ドメインに参加している環境で「MS-CHAPv2」ベースの接続を使う場合など、一部のシナリオでは「NTLMv1」の暗号がまだ使われているという。今回の変更は、これをふさぐのが目的だ。制限されるのは、この資格情報に依存するSSOのみで、資格情報を手動で入力する認証は強制モードでも引き続き利用できる。

　同社は「MS-CHAPv2」への依存をなくし、Wi-FiやVPNの接続を証明書ベースの認証へ移行するよう求めている。依存関係の確認には、イベントログ「Microsoft-Windows-NTLM/Operational」を利用できる。監査モードではイベントID「4024」、強制モードでブロックされた場合は「4025」が記録される。

　すぐに移行できない重要な依存関係がある場合は、一時的な例外として、以下のレジストリ値を「0」（監査モード）に設定することで、「NTLMv1」由来の資格情報によるシングルサインオンを許可できる（再起動は不要）。ただし、監査モードは強制モードに比べて保護が弱くなるため、範囲を限った一時的な措置にとどめ、依存関係を解消したら強制モードへ戻すべきだ。

キー：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
値の名前：BlockNtlmv1SSO
種類：REG_DWORD
値：0（監査モード）、1（強制モード）