Oktobarsko ažuriranje Windowsa može firmama prekinuti WiFi i VPN veze: Šta IT služba treba uraditi

Prema Microsoftu, nakon instaliranja oktobarskog ažuriranja, ako vrijednost BlockNtlmv1SSO u registru nije postavljena, Windows prelazi s režima nadzora (Audit) na režim blokiranja (Enforce), a samo ažuriranje tu vrijednost ne kreira niti mijenja.

Izmjena se odnosi na Windows 11 verzije 26H2, 25H2 i 24H2 te Windows Server 2025, a za Windows 11 riječ je o ažuriranju KB5127648.

Pogođeni su samo uređaji na kojima je isključena zaštita Credential Guard. Microsoft navodi da izmjena može izazvati probleme s WiFi, Ethernet i VPN vezama koje koriste MS-CHAPv2 autentifikaciju, pa se uređaji neće moći spojiti putem jedinstvene prijave (Single Sign-On).

Tu spadaju PEAP-MSCHAPv2 i EAP-MSCHAPv2, koji su česti u poslovnim mrežama s domenom.

Ručni unos korisničkog imena i lozinke i dalje radi, ali se podaci ne mogu sačuvati, pa veze koje su se ranije uspostavljale bez korisnika više neće raditi kako se očekuje. Microsoft naglašava da ovo nije poznati problem s ažuriranjem, nego planirana izmjena najavljena još u augustu 2025.

Kućni korisnici uglavnom nemaju razloga za brigu jer se, prema Microsoftu, ostaci NTLMv1 kriptografije koriste u MS-CHAPv2 vezama u okruženjima s domenom.

Kako provjeriti jeste li pogođeni

Windows blokirane pokušaje bilježi u zapisniku Microsoft-Windows-NTLM/Operational. U režimu blokiranja pojavljuje se greška s ID-om 4025, a u režimu nadzora upozorenje s ID-om 4024. Microsoft preporučuje da IT službe pomoću događaja iz režima nadzora pronađu tokove prijave koji zavise od NTLMv1 i provjere mreže koje koriste MS-CHAPv2 za WiFi, Ethernet ili VPN.

Privremeno rješenje

Ako se kritična veza ne može odmah prebaciti na drugi način prijave, Microsoft dopušta povratak na staro ponašanje. U registru, na lokaciji HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0, treba postaviti DWORD vrijednost BlockNtlmv1SSO na 0, a restart uređaja nije potreban.

Microsoft upozorava da režim nadzora smanjuje zaštitu i da ga treba koristiti samo kao ograničen i privremeni sigurnosni izuzetak. Nakon uklanjanja zavisnosti, vrijednost treba vratiti na 1.

Trajno rješenje

Microsoft preporučuje prelazak WiFi i VPN veza s MS-CHAPv2 na prijavu putem certifikata, poput PEAP-TLS ili EAP-TLS, jer su MS-CHAPv2 veze izložene sličnim rizicima kao NTLMv1. Kompanija također snažno preporučuje uključivanje zaštite Credential Guard gdje uređaji ispunjavaju uslove.