Windows, l’aggiornamento di ottobre 2026 blocca NTLMv1 per il Single Sign-On

• L'update di ottobre 2026 blocca di default il Single Sign-On con credenziali derivate da NTLMv1
• Colpite le organizzazioni che usano ancora NTLMv1: possibili problemi su Wi-Fi, Ethernet e VPN
• Non è un bug: workaround temporaneo con BlockNtlmSSO a 0 (Audit), che riduce la protezione
• Verificare i log di audit e completare la migrazione da NTLM

L’aggiornamento di sicurezza di Windows di ottobre 2026 può causare problemi di rete alle organizzazioni che usano ancora NTLMv1, protocollo di autenticazione legacy da tempo deprecato. Non è un bug: Microsoft ha scelto di bloccare per impostazione predefinita le richieste che usano credenziali derivate da NTLMv1 nel Single Sign-On.

Cosa cambia

Prima dell’aggiornamento, Windows consentiva queste credenziali per il Single Sign-On e si limitava a generare eventi di avviso. Dopo l’aggiornamento le richieste vengono bloccate.

Tutto dipende dal valore di registro BlockNtlmSSO. Se non è stato configurato, Windows passa dalla modalità Audit (0) alla modalità Enforce (1). Il blocco può incidere sull’autenticazione di Wi-Fi, Ethernet e VPN e, di conseguenza, sulle connessioni. L’aggiornamento non imposta il valore da sé.

Il blocco scatta se Credential Guard non è attivo e BlockNtlmSSO non è impostato su Audit (0). Microsoft lo presenta come un passo per “finalizzare la disattivazione di NTLMv1”.

Il workaround e i suoi limiti

Gli amministratori possono impostare BlockNtlmSSO a 0 per consentire temporaneamente le credenziali NTLMv1 nel Single Sign-On. Microsoft avverte però che la modalità Audit riduce la protezione offerta da Enforce e va considerata solo come “eccezione di sicurezza temporanea e circoscritta”.

Non è chiaro per quanto tempo questa possibilità resterà disponibile. L’ipotesi più probabile, secondo la fonte, è fino alla prossima major release di Windows.

Un addio annunciato

NTLM è comparso nel 1993 con Windows NT 3.1. È stato inserito nell’elenco delle tecnologie deprecate nel 2024. A fine agosto 2025 Microsoft ha aggiunto i log di audit sull’uso di NTLMv1, per aiutare a individuare dove fosse ancora in uso.

Il protocollo è stato rimosso da Windows 11 24H2 e Windows Server 2025, ma restano alcuni residui. Compaiono soprattutto nelle connessioni basate su MS-CHAPv2, tra cui PEAP-MSCHAPv2 ed EAP-MSCHAPv2, in ambienti uniti a un dominio.

A settembre Microsoft ha dichiarato che le versioni di Windows client e Windows Server oggi in commercio continueranno a supportare NTLM. L’obiettivo di lungo periodo resta una piattaforma che non ne abbia più bisogno. Nel 2023 l’azienda aveva già indicato come traguardo l’eliminazione totale del protocollo.

Cosa fare

• Verificare nei log di audit dove sono ancora usate credenziali derivate da NTLMv1.
• Controllare le configurazioni di autenticazione di rete basate su MS-CHAPv2, in particolare PEAP-MSCHAPv2 ed EAP-MSCHAPv2.
• Se necessario, usare BlockNtlmSSO in modalità Audit (0) solo come misura temporanea e circoscritta, mentre si completa la migrazione.

Disservizi di rete dopo l’aggiornamento di ottobre possono indicare che la migrazione è meno avanzata di quanto gli amministratori ritenessero.

Fonte: theregister · Foto: theregister