微软官方确认，2026年10月13日推送的安全更新KB5127648（Windows11）、KB5126646（Windows Server2025）会造成WPA 802.1X认证失效，根源是系统默认启用NTLMv1协议强制禁用策略，同时本次更新还附带Xbox登录失败等衍生问题。受影响系统版本包含Windows 11 24H2、25H2、26H2以及Windows Server 2025。
事情是这样的
微软正在淘汰 NTLM 这个老掉牙的认证协议，这事儿从 2025 年就开始铺路了：
- 2025 年 8 月：引入了
BlockNtlmv1SSO这个注册表键，让管理员自己选择是“审计模式”（放行但记日志）还是“强制模式”（直接拦截） - 2025 年 9 月：默认开启审计机制，帮 IT 部门摸底——看看自家环境里还有多少老系统离不开 NTLMv1
- 2026 年 10 月 13 日：随着 KB5127648（Windows 11）和 KB5126646（Server 2025）落地，默认值悄悄从“审计”切到了“强制”
关键的坑就在这个切换条件上：只要你没显式配置过 BlockNtlmv1SSO，而且 Credential Guard 处于关闭状态，系统就自动进入强制拦截模式。
问题是，很多企业的 Wi-Fi（WPA2-Enterprise + PEAP）、有线 802.1X 和 VPN 都靠 MS-CHAPv2 认证，而 MS-CHAPv2 在某些单点登录场景下会生成 NTLMv1 衍生凭据。Windows 一刀切把这些凭据拦了，认证链路当场断裂。
受影响的范围
- Windows 11 24H2 / 25H2 / 26H2
- Windows Server 2025
症状就是之前报道的那样：WPA2-Personal 一切正常，WPA2-Enterprise 能开始认证但死活完不成。
微软给的临时解法
对于那些暂时没法迁移到新认证方式的企业，微软提供了一个回退方案——把系统切回审计模式：
- 打开注册表编辑器（管理员权限）
- 定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 - 找到或新建 DWORD 值
BlockNtlmv1SSO - 把数值设为
0 - 重启电脑
改完之后，Windows 会恢复“放行但记录警告”的宽松行为，Wi-Fi 认证应该就能通了。批量部署的话可以走组策略推送，已有管理员验证过 GPO 方式同样有效。
⚠️ 微软自己也承认这只是权宜之计，他们在公告里明确警告：设成 0 会降低安全性，因为这意味着你的系统重新接受那些他们正努力淘汰的遗留认证方式。所以官方的态度是“你可以先用着，但请尽快想办法迁移”。
详细的技术说明可以看微软官方支持文章 KB5066470。
这事儿的荒诞之处在哪
微软的淘汰计划本身没错，NTLMv1 确实是个安全隐患，该退。问题出在执行节奏和沟通方式上：
- 审计模式跑了才一个月，很多企业 IT 根本还没来得及完成摸底和整改
- 切换到强制模式这个动作藏在常规安全更新里，没有单独的醒目预警
- 触发条件还带个“Credential Guard 未启用”的前提，很多管理员压根不知道自己有这个隐藏开关
结果就是：一次按时间表推进的安全加固，变成了大规模的网络中断事故。计划是对的，落地是糙的。
如果你管着企业网络，现在该做的
- 先救火：对受影响的设备应用注册表修复，恢复业务
- 做评估：清点一下你的环境里到底有多少东西还依赖 MS-CHAPv2 / NTLMv1 衍生凭据——这才是微软真正希望你搞清楚的事
- 排计划：审计模式的日志里就有答案，趁着现在还能看到警告事件，把迁移清单列出来
- 考虑 Credential Guard：如果你的硬件支持，启用它本身就能提供针对遗留加密的保护，也能避免撞上这个默认强制逻辑
- 盯着后续：微软说正在研究“永久解决方案”，但没说是什么、什么时候来。EAP-TLS 之类的现代认证方式迁移，大概率还是得靠自己
