Windows 11 26H2Октябрьское обновление KB5127648 для Windows 11 исправило сбои групповых политик, связанные с функцией «Защита администратора», которые беспокоили ИТ-администраторов с августа. Однако вместе с этим обновление принесло новую серьезную проблему с аутентификацией.
Об ошибке массово сообщают ИТ-администраторы на форуме Microsoft Q&A: после установки KB5127648 компьютеры с Windows 11 больше не могут пройти аутентификацию в сетях Wi-Fi WPA2-Enterprise с 802.1X и PEAP. Аутентификация начинается, но не завершается, а в журнале появляется событие 12014 с тайм-аутом состояния OneX Held State. Сети WPA2-Personal при этом работают как обычно. Часть администраторов сообщает, что сбой затрагивает и проводные подключения с 802.1X.
Проблема проявляется на оборудовании разных производителей и с разными беспроводными чипами, включая Intel и Qualcomm, поэтому дело, судя по всему, в самой системе. Удаление KB5127648 и перезагрузка компьютера возвращают подключение, что указывает на новое обновление как на причину сбоя. Это уже не первая проблема октябрьского обновления: пользователи также сообщают об ошибке входа в Xbox 0x87DD0005.
WPA2-Enterprise обычно используется в корпоративных и других управляемых сетях, где аутентификация 802.1X проверяет пользователей или устройства перед тем, как предоставить им доступ к сети. PEAP (Protected Extensible Authentication Protocol) – один из методов аутентификации в таких сетях.
Обновления безопасности Windows, октябрь 2026
| ОС Windows | Сборка | Версия | Канал | Обновление | ISO-образы | Доступно |
|---|---|---|---|---|---|---|
| Windows 11 | 28000.3231 | 26H1 | Stable | KB5127646 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26300.9711 | 26H2 | Stable | KB5127648 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26200.9711 | 25H2 | Stable | KB5127648 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 26100.9711 | 24H2 | Stable | KB5127648 | ISO (UUP) | 2026-10-13 |
| Windows 11 | 22631.7652 | 23H2 | Stable | KB5126653 | ISO (UUP) | 2026-10-13 |
| Windows 10 | 19045.7807 | 22H2 (ESU) | Stable | KB5126657 | ISO (UUP) | 2026-10-13 |
Как исправить
Обновление можно не удалять: есть ручное исправление через реестр Windows. Оно связано с планами Microsoft по отказу от криптографии, производной от NTLMv1. Откройте редактор реестра от имени администратора и перейдите в раздел:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
Создайте в нем параметр DWORD (32 бита) с именем BlockNtlmv1SSO, если его еще нет, и задайте ему значение 0. Затем перезагрузите компьютер и проверьте, работает ли подключение к Wi-Fi. Тот же параметр можно задать одной командой в командной строке, запущенной от имени администратора:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f
Параметр BlockNtlmv1SSO со значением 0 в разделе MSV1_0. По умолчанию его в этом разделе нет. Изображение: Comss.ru
Многие пользователи и администраторы подтверждают, что значение 0 устраняет проблему с аутентификацией. Один из администраторов распространил этот параметр через групповую политику, что может пригодиться для управления большим числом затронутых компьютеров.
Если параметры реестра заблокированы групповой политикой и изменить их нельзя, пользователи предлагают еще один обходной путь: забыть сеть Wi-Fi и подключиться к ней заново, вручную введя учетные данные. По их словам, подключение сохраняется как минимум до следующей перезагрузки. Это согласуется с пояснением Microsoft: ручной ввод учетных данных продолжает работать и после включения блокировки.
Почему это происходит
Начиная с Windows 11, версия 24H2, Microsoft постепенно ужесточает ограничения на учетные данные, производные от NTLMv1. Сам протокол NTLMv1 из Windows 11, версия 24H2 и Windows Server 2025 уже удален, а в будущих версиях Windows NTLM планируется отключить по умолчанию. Однако такие учетные данные по-прежнему используются в некоторых сценариях единого входа, включая подключения к Wi-Fi, Ethernet и VPN с аутентификацией MS-CHAPv2, например PEAP-MSCHAPv2 и EAP-MSCHAPv2. Функция Credential Guard уже защищает от этой устаревшей криптографии, и Microsoft рекомендует включать ее на поддерживаемых устройствах.
Параметр BlockNtlmv1SSO определяет, будет ли Windows проверять или блокировать попытки создать учетные данные NTLMv1 для вошедшего в систему пользователя. Значение 0 включает режим аудита: попытки разрешаются, а в журнал Microsoft-Windows-NTLM/Operational записывается предупреждение с кодом события 4024. Значение 1 включает режим блокировки: попытки блокируются, а в журнал записывается ошибка с кодом события 4025. Microsoft заранее предупреждала, что с октября 2026 года на устройствах, где этот параметр явно не задан, по умолчанию будет действовать режим блокировки. Изменение не затрагивает устройства с включенной функцией Credential Guard. Этим, вероятно, и объясняется появление проблемы именно сейчас.
У временного решения есть ограничения. Значение 0 возвращает менее строгое поведение, но при этом Windows продолжает разрешать устаревший механизм аутентификации, от которого Microsoft пытается отказаться. Сама компания называет такой шаг временным исключением для безопасности. Администраторам стоит оценить последствия для безопасности, прежде чем распространять изменение по всей сети. В качестве долгосрочного решения Microsoft рекомендует перевести подключения Wi-Fi и VPN с MS-CHAPv2 на аутентификацию по сертификатам, например PEAP-TLS или EAP-TLS.
