【通知】2026年10月微软月度补丁提醒（ KB5127648）

2026 年 10 月 13 日，微软为 Windows 11 24H2、25H2、26H2 推送了累积更新 KB5127648。安装后，部分依赖 MS-CHAPv2 单点登录的设备可能出现 802.1X 或 VPN 认证失败、无法联网，或提示手动输入用户名密码。可通过调整注册表临时解决该问题。





一、影响范围
同时满足以下条件的设备会受影响：
- Windows 11 24H2 及以上版本（含 25H2、26H2），或 Windows Server 2025；
- 有线/无线 802.1X 或 VPN 使用 MS-CHAPv2 认证（如 PEAP-MSCHAPv2），并勾选了"自动使用 Windows 登录名和密码"；
- 未运行 Credential Guard；
- 注册表中未部署 BlockNtlmv1SSO。
使用证书认证（EAP-TLS）的设备不受影响。
二、以管理员身份执行下面命令，然后重启可恢复：
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f
三、原因
这是微软计划内的安全默认值变更，不是补丁缺陷。微软在 KB5066470 中预告：2026 年 10 月起，未部署 BlockNtlmv1SSO 的设备从审核模式（0）改为强制模式（1），LSA 将拒绝为 MS-CHAPv2 单点登录生成 NTLMv1 派生凭据。该变更随 10 月更新分批生效，KB5127648 的发布说明中没有列出。
PEAP 先在客户端和 NPS 之间建立 TLS 隧道，再在隧道内用 EAP-MSCHAPv2 校验身份。勾选"自动使用 Windows 登录名和密码"时，客户端会让 LSA 用当前登录用户的凭据计算 MSCHAPv2 响应。值为 1 或未部署时，补丁后 LSA 会拒绝该请求，内层认证无法完成，交换机因此不放行端口。卸载补丁或显式写入 0 都会让设备回到审核模式，所以两种做法都能恢复。
四、参考
- 微软 KB5066470：Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025
https://support.microsoft.com/en ... windows-server-2025
- Born's IT- und Windows-Blog：Windows 11 24H2 / Server 2025: Erinnerung an
https://borncity.com/blog/2026/1 ... derungen-an-ntlmv1/