MicrosoftMicrosoft уже несколько лет постепенно отказывается от аутентификации NTLM в Windows в пользу альтернатив на базе Kerberos. Изменения затрагивают клиентские и серверные выпуски Windows, а ИТ-администраторов призывают заранее подготовиться к переходу. Однако устаревшая технология пока остается в системе, и последние обновления «Вторника патчей» (Patch Tuesday) усиливают отдельные механизмы ее защиты.
Статья поддержки Microsoft KB5135557 с планом внедрения. Изображение: Comss.ru
В своем уведомлении Microsoft сообщила, что обновления Windows, выпущенные 10 ноября, содержат патч против уязвимости CVE-2026-118737. Это критическая уязвимость, которая позволяет злоумышленнику удаленно выполнять код в сети из-за «некорректной проверки криптографической подписи в среде выполнения удаленных вызовов процедур Windows». Для защиты от этой угрозы Microsoft поэтапно внедряет изменения в механизм подписывания сообщений NTLM.
Обновления безопасности Windows, ноябрь 2026
| ОС Windows | Сборка | Версия | Канал | Обновление | ISO-образы | Доступно |
|---|---|---|---|---|---|---|
| Windows 11 | 28000.3501 | 26H1 | Stable | KB5132059 | ISO (UUP) | 2026-11-10 |
| Windows 11 | 26300.9974 | 26H2 | Stable | KB5132061 | ISO (UUP) | 2026-11-10 |
| Windows 11 | 26200.9974 | 25H2 | Stable | KB5132061 | ISO (UUP) | 2026-11-10 |
| Windows 11 | 26100.9974 | 24H2 | Stable | KB5132061 | ISO (UUP) | 2026-11-10 |
| Windows 11 | 22631.7711 | 23H2 | Stable | KB5131087 | ISO (UUP) | 2026-11-10 |
| Windows 10 | 19045.7846 | 22H2 (ESU) | Stable | KB5131096 | ISO (UUP) | 2026-11-10 |
План внедрения
Первый этап начался 10 ноября 2026 года. Клиенты Windows теперь по умолчанию предлагают использовать подписывание сообщений NTLM для всех подключений, а серверы принимают подключения как с подписью, так и без нее. События аудита позволяют отслеживать клиентов, которые не используют подписывание NTLM.
Второй этап запланирован на май 2027 года. На этом этапе требования станут значительно строже: Windows Server по умолчанию будет требовать подписывания NTLM, а «защищенные серверы» начнут отклонять подключения клиентов, которые его не предлагают. Microsoft подчеркнула, что все поддерживаемые версии Windows Server уже умеют подписывать сообщения NTLM – обязательное применение этого механизма просто вводится постепенно.
Рекомендации администраторам
В документации Microsoft приведены дополнительные технические сведения: события аудита, которые следует отслеживать ИТ-администраторам, новые параметры реестра и их возможные значения, а также ответы на часто задаваемые вопросы. Компания также уточнила, что изменения не затрагивают подключения с гостевыми учетными записями, поскольку у них «нет существенных привилегий». Поэтому обязательное подписывание NTLM для таких подключений не дало бы заметного выигрыша в безопасности организации. При этом Microsoft допускает, что в будущем соответствующие параметры реестра могут быть удалены.
