Windows 11 KB5127648, NTLMv1 engelleme varsayılanını Enforce moduna çevirdi, 802.1X girişini bozuyor

Windows 11'in Ekim 2026 güvenlik güncellemesini kuran kurumlar, 802.1X kimlik doğrulamasına dayanan Wi-Fi ve kablolu ağlarda bağlantılarını kaybediyor. Sorumlu konvansiyonel bir hata değil: KB5127648 adlı yama, daha önce duyurulan bir NTLMv1 engelleme ayarını Enforce moduna aldı ve bunun sonucunda MS-CHAPv2 kimlik bilgileri üzerine kurulu çoklu oturum açma reddediliyor. Raporu dev.to üzerinde İngilizce olarak da yayımlanan Japon teknoloji sitesi Joho no Todai'ye göre güncelleme, 13 Ekim'de Windows 11'in 24H2, 25H2 ve 26H2 sürümleri için (26100.9711, 26200.9711 ve 26300.9711 build'leri) yayımlandı.

Kimlik doğrulama başlıyor ve sonra takılıyor

Güncellemenin gelmesinden kısa süre sonra şikayetler Microsoft'un Soru-Cevap forumlarında görünmeye başladı. İlk bildiriyi yapan kullanıcı, kimlik doğrulamanın başlayıp sonra askıda kaldığını, bağlantının bir OneX held-state zaman aşımı olan Event 12014 ile kesildiğini anlattı. WPA2-Personal ağlar etkilenmiyor ve arıza Intel ve Qualcomm dahil birden fazla üreticinin kablosuz çipsetlerinde yeniden üretiliyor; bu da sorunun herhangi bir sürücüden değil, kimlik doğrulama yığından kaynaklandığına işaret ediyor. Yalnızca Wi-Fi değil, kablolu 802.1X kimlik doğrulaması da çalışmayı bırakıyor.

Konu başlığı 90'dan fazla aynı sorunun bildirimi topladı; bunların arasında Çince konuşulan bölgelerdeki yöneticilerden gelenler de var ve birkaç yönetici bu örüntüyü bağımsız olarak doğruladı: KB5127648 kaldırıldığında bağlantı hemen geri geliyor, yeniden kurulduğunda ağ tekrar bozuluyor. Joho no Todai'nin yazımı sırasında Microsoft'un güncelleme sürüm notlarında 802.1X veya PEAP'ı kapsayan bilinen bir sorun listelenmemişti ve bağımsız bir topluluk danışmanı, sürüm sağlık sayfasının da aynı şekilde sessiz olduğunu belirtti.

Planlanmış bir varsayılan değişikliği yöneticileri hazırlıksız yakaladı

Ortaya çıkan geçici çözüm asıl nedeni gösteriyor. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 altında BlockNtlmv1SSO adında 32 bitlik bir DWORD oluşturup 0'a ayarlamak normal çalışmayı geri getiriyor; 40'tan fazla kişinin faydalı bulduğu bu yanıtı bazı yöneticiler Group Policy üzerinden de dağıttı.

Bu anahtar, Microsoft'un Ağustos 2025'te yayımladığı ve NTLMv1 türevi kriptografinin emekliye ayrılması için bir yol haritası ortaya koyan dokümanında geçiyor. Windows 11 24H2 ve sonrası NTLMv1 protokolünün kendisini kaldırdı, ancak NTLMv1 türevi kimlik bilgileri Wi-Fi, kablolu ağlar ve VPN'ler üzerindeki MS-CHAPv2 kimlik doğrulamasındaki çoklu oturum açmada yaşamaya devam etti. Eylül 2025 güncellemeleri, bu kimlik bilgilerinin her kullanımını günlüğe kaydeden bir Audit modu getirdi ve Microsoft, Ekim 2026 güncellemelerinin varsayılanı Audit'ten (0) Enforce'a (1) çevireceğini açıklamıştı. KB5127648 tam olarak o ay geldi.

Microsoft'un dokümantasyonu, Enforce altında Wi-Fi, kablolu LAN ve VPN bağlantıları için MS-CHAPv2 çoklu oturum açmanın çalışmayı bırakacağı, ancak kimlik bilgileri elle girildiğinde kimlik doğrulamanın başarılı olacağı konusunda uyarıyor. Forum testleri bu tanımla örtüştü: Windows kullanıcı hesabı seçeneği işaretliyken kimlik doğrulama başarısız oldu, WLAN-AutoConfig Event 12013 0x80070285 hatasıyla günlüğe kaydedildi ve kullanıcılar alanadı\kullanıcıadı ile parolayı elle girdiğinde işlem başarılı oldu. Bildiriyi yapan kullanıcı ayrıca BlockNtlmv1SSO değerinin güncelleme öncesinde ve sonrasında da ayarlanmamış olduğunu doğruladı; yani ayarı hiç yapılandırmamış makineler yeni, daha katı varsayılanı devraldı.

Geri alma işleminin bir son kullanma tarihi var

BlockNtlmv1SSO değerini 0'a geri ayarlamak yönetilen cihaz filoları için pratik bir geçici çözüm, ancak Microsoft'un emekliye ayırmaya çalıştığı kimlik doğrulamayı açıkça yeniden serbest bırakıyor. Microsoft'un önerisi Credential Guard'ı etkinleştirmek; onu zaten çalıştıran makineler bu değişiklikten baştan beri etkilenmedi. Kalıcı çözüm, 802.1X ortamlarında MS-CHAPv2 çoklu oturum açma bağımlılığına son vermek, örneğin sertifika tabanlı EAP-TLS'e geçmek ve emeklilik yol haritası, bu registry kaçış kapısının eninde sonunda kapanacağını garanti ediyor.

Neden önemli

Bu, sıradan bir Windows güvenlik güncellemesinin kurumsal oturum açma altyapısını bozduğu üst üste ikinci ay. Eylül'deki KB5124008, Credential Guard'ın Machine Identity Isolation özelliğini zorunlu modda açtı ve Joho no Todai'nin o zaman bildirdiğine göre bazı alan adına katılmış bilgisayarların oturum açamamasına yol açtı. Mevcut konu başlığındaki bir yönetici, yamanın sıradan bir Patch Tuesday sürümü olarak görüldüğü için test edilmeden çıkarıldığını yazdı ve aylık güncellemelerin bu büyüklükte değişiklikler göndermeye ne zaman başladığını sordu.

Gidişatın yönü savunulabilir: NTLMv1 eskimiş bir kriptografi ve emekliye ayrılması gecikmiş durumda. Ancak bir değişikliği dokümantasyonla duyurmak ile operasyon ekiplerini buna hazır etmek farklı şeyler ve iki ay süren bozuk kimlik doğrulama, bu varsayılan değişikliklerinin nasıl teslim edildiğinde yapısal bir sorun olduğuna işaret ediyor. Şu anda MS-CHAPv2 ile 802.1X çalıştıran yöneticiler artık pratik bir son tarihle karşı karşıya: Credential Guard'ı test edin, EAP-TLS'e geçiş planlayın ve bir sonraki varsayılan çevirmenin tam olarak bunun yaptığını varsayın.