Windows 11 : Protection NTLMv1

Avec les mises à jour de sécurité d'octobre 2026, Microsoft a apporté une modification à l'authentification Windows qui peut entraîner des problèmes de connexion Wi-Fi, Ethernet et VPN dans certains environnements d'entreprise. Windows bloque désormais par défaut certaines informations d'identification dérivées de NTLMv1 utilisées pour la connexion automatique via l'authentification unique (SSO).

Cependant, cela ne signifie pas que le Wi-Fi tombera soudainement en panne pour tous les utilisateurs de Windows 11 – Microsoft Windows Windows 11- après la mise à jour d'octobre. Seules certaines configurations d'authentification sont affectées, en particulier celles qui utilisent MS-CHAPv2 en combinaison avec des informations d'identification dérivées de NTLMv1.

Pour les utilisateurs privés disposant d'un réseau Wi-Fi domestique ordinaire, il n'y a donc généralement pas lieu de s'inquiéter. Les entreprises et les administrateurs informatiques devraient en revanche vérifier si leurs accès réseau reposent encore sur les procédures concernées. Microsoft fournit à cet effet des possibilités de surveillance et une option de compatibilité temporaire.

Qu'est-ce que Microsoft a changé avec la mise à jour d'octobre 2026 ?

Avec les mises à jour de sécurité du 13 octobre 2026, Microsoft a modifié le comportement par défaut du paramètre Windows BlockNtlmv1SSO qui contrôle si Windows surveille simplement ou bloque l'utilisation de certaines informations d'identification dérivées de NTLMv1 pour l'authentification unique.

Avant la modification, Windows était par défaut en mode de surveillance. Les tentatives d'utilisation d'informations d'identification correspondantes étaient enregistrées, mais pouvaient toujours réussir. Après l'installation de la mise à jour de sécurité d'octobre, Windows passe par défaut en mode d'application, sauf si la valeur de registre concernée a été explicitement configurée.

En mode d'application, Windows bloque la génération des informations d'identification concernées pour l'authentification unique. Cela peut affecter certaines connexions Wi-Fi, Ethernet et VPN si elles utilisent une authentification basée sur MS-CHAPv2.

La modification n'est cependant valable que sous deux conditions :

Credential Guard est désactivé sur l'appareil.
La valeur du Registre BlockNtlmv1SSO n'a pas été explicitement définie.

Si la valeur a déjà été configurée avant la mise à jour, ce paramètre reste pertinent. La mise à jour ne crée ni ne modifie automatiquement la valeur du Registre. Elle modifie uniquement le comportement par défaut interne lorsque la valeur est absente.

Pour Windows 11 – Microsoft Windows Windows 11 la modification fait partie de la mise à jour de sécurité KB5127648. Elle concerne les versions 24H2, 25H2 et 26H2. Pour Windows Server 2025, la mise à jour correspondante est KB5126646. Microsoft documente la description technique détaillée et les options de configuration dans KB5066470.

Qu'est-ce que NTLM et NTLMv1 ?

NTLM signifie NT LAN Manager et désigne une ancienne famille de protocoles d'authentification de l'environnement Windows. Il est utilisé pour authentifier les utilisateurs auprès des services réseau et d'autres systèmes. Dans les réseaux Windows modernes, Kerberos est souvent utilisé. Cependant, NTLM continue d'être utilisé dans certaines situations pour des raisons de compatibilité descendante.

Il existe différentes versions au sein de la famille NTLM. NTLMv1 est la variante la plus ancienne et est considérée comme non sécurisée en raison de ses faiblesses cryptographiques. NTLMv2 est la version améliorée avec des mécanismes de sécurité renforcés. Les deux protocoles ne doivent donc pas être confondus.

Microsoft a déjà supprimé le protocole NTLMv1 proprement dit de Windows 11, version 24H2, et de Windows Server 2025. Cependant, cela ne signifie pas que toutes les méthodes NTLM ont été désactivées simultanément. Cela ne signifie pas non plus que tous les flux d'authentification utilisant d'anciens composants cryptographiques ont automatiquement disparu.

C'est précisément là qu'intervient la modification actuelle : Microsoft ne veut pas seulement empêcher l'utilisation du protocole NTLMv1 proprement dit, mais aussi bloquer certaines informations d'identification dérivées de NTLMv1 qui peuvent encore être utilisées dans d'autres protocoles d'authentification.

Quelles versions de Windows sont concernées ?

Microsoft a introduit progressivement la surveillance et l'application des informations d'identification dérivées de NTLMv1. La fonctionnalité technique a d'abord été fournie avec les mises à jour à partir d'août 2025. En octobre 2026, Microsoft a modifié le comportement par défaut sur les versions de Windows prévues à cet effet.

Système opérateur	Classification
Windows 11 24H2	Fonction de surveillance depuis 2025. Le comportement par défaut a été converti en application avec la mise à jour de sécurité KB5127648 d'octobre 2026.
Windows 11 25H2	La modification du comportement par défaut fait partie de KB5127648 d'octobre 2026.
Windows 11 26H2	La modification du comportement par défaut fait partie de KB5127648 d'octobre 2026.
Windows 11 26H1	Listé dans KB5066470 comme version prise en charge. Cependant, KB5127648 n'est pas la mise à jour correspondante pour cette version. L'attribution concrète de la mise à jour doit être vérifiée séparément à l'aide de la documentation de mise à jour respective.
Windows Serveur 2025	La surveillance a été introduite dès 2025. Le comportement par défaut modifié fait partie de la mise à jour de sécurité KB5126646 d'octobre 2026.
Windows Server 2019 et 2022	Avec la mise à jour d'octobre, des événements de surveillance NTLM étendus ont été ajoutés. Ceci ne doit pas être assimilé au blocage côté client par BlockNtlmv1SSO.

Pour Windows 11 24H2, 25H2 et 26H2, Microsoft mentionne les builds de système d'exploitation suivants pour la mise à jour KB5127648 :

Windows 11 24H2 : Build 26100.9711
Windows 11 25H2 : Build 26200.9711
Windows 11 26H2 : Build 26300.9711

Pour Windows Server 2025, Microsoft déploie la mise à jour KB5126646 avec le build du système d'exploitation 26100.33650.

La cartographie des mises à jour est importante car toutes les versions de Windows ne reçoivent pas la même modification sous le même numéro KB. Le support technique d'un paramètre dans KB5066470 ne prouve pas automatiquement qu'une mise à jour cumulative spécifique s'applique à chaque version répertoriée.

Pourquoi les connexions Wi-Fi, LAN et VPN peuvent-elles être affectées ?

Les problèmes de connexion potentiels ne proviennent pas du signal Wi-Fi ou d'un adaptateur réseau soudainement défectueux. Le point critique est l'authentification : dans certaines configurations, Windows ne peut plus fournir automatiquement les informations d'identification dérivées de NTLMv1 nécessaires pour l'authentification unique (SSO).

Cela concerne en particulier les environnements où MS-CHAPv2 est utilisé pour la connexion à un réseau. Microsoft mentionne les connexions Wi-Fi, Ethernet et VPN. Cependant, toutes les connexions de ce type ne sont pas affectées. Il est décisif de savoir si le flux d'authentification respectif dépend des informations d'identification SSO bloquées.

Wi-Fi et 802.1X

Dans les réseaux d'entreprise, le Wi-Fi n'est souvent pas sécurisé uniquement par un mot de passe partagé. Au lieu de cela, les utilisateurs ou les appareils peuvent s'authentifier via 802.1X. Différentes méthodes EAP sont utilisées à cette fin.

Parmi les configurations possibles figurent PEAP-MSCHAPv2 et EAP-MSCHAPv2. Dans certains environnements joints à un domaine, ces méthodes peuvent s'appuyer sur des informations d'identification dérivées de NTLMv1 pour l'authentification unique.

Si la fourniture automatique de ces informations d'identification est bloquée, la connexion Wi-Fi peut échouer ou une saisie manuelle des identifiants peut être nécessaire. Le réseau sans fil lui-même et l'adaptateur Wi-Fi ne sont pas nécessairement la cause du problème.

LAN filaire

Les connexions réseau filaires peuvent également être affectées si elles utilisent une authentification basée sur 802.1X ou MS-CHAPv2. Cela concerne principalement les réseaux d'entreprise gérés de manière centralisée.

Une connexion Ethernet normale à un routeur privé n'est en revanche pas automatiquement affectée. Ici aussi, c'est l'authentification utilisée qui est décisive, et non le type de connexion réseau seul.

Connexions VPN

Dans les connexions VPN, MS-CHAPv2 peut également être utilisé pour l'authentification. Si la connexion s'appuie sur des informations d'identification SSO dérivées de NTLMv1, Windows peut bloquer la connexion automatique.

Une panne de VPN après une mise à jour de Windows n'est donc pas automatiquement une preuve d'un problème NTLMv1. Le protocole VPN, le serveur d'authentification, les certificats, l'accès réseau et d'autres configurations doivent également être pris en compte lors du dépannage.

Qu'est-ce que MS-CHAPv2 et quel rôle joue-t-il ?

MS-CHAPv2 signifie Microsoft Challenge Handshake Authentication Protocol Version 2. Il s'agit d'une méthode d'authentification dans laquelle un système répond à un défi du serveur par une réponse calculée de manière cryptographique.

MS-CHAPv2 n'est pas la même chose que NTLMv1. Il s'agit de mécanismes d'authentification différents. Cependant, il existe un lien pertinent pour la sécurité entre les deux méthodes.

Microsoft explique que MS-CHAPv2 utilise le hachage MD4 du mot de passe de l'utilisateur pour répondre à un défi lors de l'authentification. La réponse qui en résulte est cryptographiquement équivalente à NTLMv1. Cela peut créer une surface d'attaque comparable, même si le protocole NTLMv1 lui-même a déjà été supprimé de l'appareil.

Cela explique pourquoi Microsoft bloque également l'utilisation des informations d'identification correspondantes. La modification de sécurité ne concerne pas MS-CHAPv2 en tant que terme ou toute utilisation imaginable de la procédure de manière générale, mais l'utilisation des informations d'identification dérivées de NTLMv1 pour certains flux SSO.

Le billet de Microsoft „Bracing for BlockNtlmv1SSO“ du 23 octobre 2026 explique ce lien cryptographique et décrit les impacts potentiels sur les environnements VPN, WLAN, NPS et RADIUS.

Suis-je concerné en tant qu'utilisateur privé ?

Si vous utilisez Windows 11 – Microsoft Windows Windows 11 à la maison avec un routeur WLAN ordinaire et que vous vous connectez avec le mot de passe WLAN, vous n'êtes généralement pas concerné par cette modification spécifique. Les problèmes décrits nécessitent une configuration d'authentification spéciale.

La situation peut être différente pour les appareils gérés qui sont connectés, par exemple, à un réseau d'entreprise, à un WLAN géré de manière centralisée ou à un VPN configuré en conséquence.

Credential Guard joue également un rôle important. Il s'agit d'une fonction de sécurité Windows qui protège certaines informations d'identification grâce à des fonctionnalités de virtualisation. Microsoft explique explicitement que la modification décrite ici sur BlockNtlmv1SSO ne s'applique qu'aux appareils sur lesquels Credential Guard est désactivé. Si Credential Guard est activé, cette modification spécifique n'est pas appliquée.

Cela ne signifie cependant pas que Credential Guard et la nouvelle mesure de protection NTLMv1 sont identiques. Microsoft souligne explicitement que Credential Guard offre une protection plus complète et recommande son activation sur les plateformes prises en charge, à condition que les prérequis techniques soient remplis.

Pourquoi la connexion manuelle peut-elle continuer à fonctionner ?

La modification concerne la génération de certaines informations d'identification dérivées de NTLMv1 pour l'authentification unique (Single Sign-On). SSO permet à Windows d'utiliser automatiquement les informations d'identification existantes pour d'autres services ou connexions réseau.

Si cette voie de connexion automatique est bloquée, une saisie manuelle des identifiants peut continuer à fonctionner. Ce n'est pas une contradiction : lors d'une connexion manuelle, les identifiants sont demandés directement, tandis que le flux SSO concerné dépend de la fourniture automatique des informations d'identification.

Microsoft confirme explicitement que la saisie manuelle des informations d'identification reste possible, même en mode d'application forcée. La possibilité d'établir une connexion spécifique avec succès dépend en outre de la configuration d'authentification respective.

Comment les administrateurs peuvent-ils déterminer si des systèmes sont concernés ?

Les entreprises devraient avant tout examiner les configurations d'authentification existantes. Les accès WLAN, Ethernet et VPN qui utilisent MS-CHAPv2 ou des procédures basées sur celui-ci sont particulièrement pertinents.

Microsoft fournit des journaux de surveillance et d'événements à cet effet. Sur les clients Windows concernés, les événements sont enregistrés dans le journal Microsoft-Windows-NTLM/Operational .

ID de l'événement	Signification
4024	Mode de surveillance : une tentative d'utilisation d'informations d'identification dérivées de NTLMv1 pour l'authentification unique est enregistrée. La demande peut toujours aboutir.
4025	Mode de refus : une tentative d'utilisation d'informations d'identification dérivées de NTLMv1 pour l'authentification unique a été bloquée par une stratégie. L'action peut toujours aboutir.

L'Observateur d'événements peut être ouvert à partir du menu Démarrer. Les administrateurs trouveront le journal pertinent sous « Journaux des applications et des services » dans la section Microsoft-Windows-NTLM/Operational.

Les événements incluent des informations sur le serveur cible, l'utilisateur, le processus et le mécanisme d'authentification utilisé. Cela permet de comprendre quelle application ou connexion demande les informations d'identification affectées.

Surveillance supplémentaire sur les contrôleurs de domaine

Pour les entreprises utilisant Windows Server 2019 ou Windows Server 2022, il existe une autre façon de détecter d'éventuelles dépendances MS-CHAPv2. Avec les mises à jour d'octobre 2026, des événements de surveillance NTLM étendus ont été rétroportés vers ces versions de serveur.

L'ID d'événement est particulièrement pertinent 4033, qui peut se produire sur un contrôleur de domaine lorsqu'un serveur VPN transmet une authentification par défi-réponse pour vérifier les informations d'identification. Les données d'événement peuvent indiquer s'il s'agit d'une opération MS-CHAPv2 pertinente.

Cette surveillance sur le contrôleur de domaine doit être distinguée du blocage côté client par BlockNtlmv1SSO . Les événements avancés aident les administrateurs à identifier les dépendances existantes. Ils ne signifient pas que Windows Server 2019 ou 2022 recevra automatiquement le même blocage côté client.

Microsoft recommande de collecter et d'analyser de manière centralisée les journaux d'événements NTLM des contrôleurs de domaine. Dans les environnements plus importants, un système SIEM peut être utilisé à cette fin, par exemple.

Liste de contrôle pour les administrateurs informatiques

Vérifier quelles versions de clients et de serveurs Windows sont utilisées dans l'environnement.
Déterminer si les mises à jour de sécurité d'octobre pertinentes ont été installées.
Vérifier si Credential Guard est activé sur les clients concernés.
Vérifier la valeur du Registre BlockNtlmv1SSO et vérifier sa configuration.
Examiner les événements 4024 et 4025 dans le protocole NTLM des clients.
Sur les contrôleurs de domaine exécutant Windows Server 2019 ou 2022, vérifier également les événements d'audit avancés, en particulier l'ID d'événement 4033.
Examiner les configurations WLAN, Ethernet et VPN pour les dépendances MS-CHAPv2.
Documenter les applications concernées, les serveurs d'authentification et les accès réseau.
Planifier et tester la transition vers une méthode d'authentification alternative appropriée.

Die Ereignis-IDs, Registry-Konfiguration und Rollout-Informationen sind in der Microsoft-Dokumentation KB5066470 Microsoft décrit la surveillance complémentaire sur Server 2019 et 2022 dans l'article „Bracing for BlockNtlmv1SSO“.

Quelle solution de transition Microsoft propose-t-elle ?

Si une entreprise constate une dépendance critique vis-à-vis de MS-CHAPv2 et ne peut pas immédiatement passer à une autre méthode d'authentification, Microsoft propose une option de compatibilité temporaire. Pour ce faire, la valeur de registre BlockNtlmv1SSO sur 0 peut être définie.

La valeur active le mode de surveillance. Windows continue de journaliser l'utilisation des informations d'identification concernées, mais ne les bloque pas. Cela permet aux exigences SSO correspondantes de s'exécuter à nouveau avec succès de manière temporaire.

Le chemin d'accès au registre pertinent est le suivant :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

Dans cette clé de registre, la valeur DWORD (32 bits) BlockNtlmv1SSO est créée ou une valeur existante est ajustée.

Valeur	Comportement
0	Mode de surveillance : les requêtes sont journalisées, mais autorisées.
1	Mode d'application : les requêtes concernées sont bloquées.

Des droits d'administrateur sont requis pour la modification. Selon Microsoft, après une modification de la valeur, un redémarrage de l'appareil n'est pas nécessaire. Le paramètre prend effet immédiatement.

Important: La valeur 0 n'est pas une solution de sécurité permanente. Elle permet à nouveau l'utilisation des informations d'identification concernées et réduit ainsi la protection du mode d'application. Les entreprises ne doivent utiliser ce paramètre qu'en cas de dépendance critique avérée, limitée dans le temps et avec une exception documentée.

Die Ereignisse im Überwachungsmodus helfen dabei, die verbleibenden Abhängigkeiten zu identifizieren. Sobald die betroffenen Authentifizierungsabläufe migriert wurden, sollte der Wert wieder auf 1 Microsoft

Pourquoi Microsoft recommande-t-il l'authentification basée sur des certificats ?

À long terme, les entreprises devraient réduire leur dépendance à l'égard de MS-CHAPv2 et passer à une méthode d'authentification alternative appropriée. Dans ce contexte, Microsoft mentionne EAP-TLS comme alternative, entre autres.

Avec EAP-TLS, l'authentification s'effectue via des certificats numériques. Cela élimine la dépendance vis-à-vis des processus MS-CHAPv2 basés sur des mots de passe décrits et des informations d'identification NTLMv1 dérivées associées.

Cependant, une telle transition implique des préparatifs dans les environnements d'entreprise. Ceux-ci peuvent inclure une infrastructure de certificats appropriée, le déploiement et la gestion des certificats clients, ainsi que des ajustements aux accès réseau et aux serveurs d'authentification.

La migration devrait donc d'abord avoir lieu dans un environnement de test. Ensuite, les connexions WLAN, Ethernet et VPN concernées peuvent être progressivement converties. Avant un déploiement généralisé, les administrateurs doivent vérifier si tous les appareils, comptes d'utilisateurs et composants réseau utilisés prennent en charge la nouvelle méthode.

Que doivent faire les particuliers et les entreprises maintenant ?

Utilisateurs privés

Installer les mises à jour Windows comme d'habitude.
Ne pas modifier préventivement les valeurs du Registre.
Ne pas désactiver de manière autonome Credential Guard ou d'autres fonctions de sécurité.
En cas de problèmes de connexion, vérifier d'abord si d'autres appareils sont également concernés et si la connexion Internet fonctionne de manière générale.
Pour un appareil de travail géré, contacter le service informatique au lieu de modifier soi-même les paramètres d'authentification.

Petites entreprises

Vérifier si le WLAN ou le VPN utilise une authentification centralisée.
Demander au fournisseur de services réseau ou au responsable informatique s'il existe une dépendance MS-CHAPv2.
Documenter les problèmes de connexion après la mise à jour d'octobre.
Envisager un retour temporaire en mode de surveillance uniquement après vérification technique et avec une limitation temporelle claire.
Préparer la transition vers un mécanisme d'authentification alternatif approprié.

Environnements informatiques plus importants

Évaluer de manière centralisée les événements 4024 et 4025 sur les clients.
Prendre en compte les événements d'audit NTLM étendus sur les contrôleurs de domaine.
Identifier les flux d'authentification et les dépendances concernés.
Mettre en œuvre le déploiement des mises à jour de sécurité de manière contrôlée, sans reporter les mises à jour de sécurité de manière générale.
Documenter et surveiller les exceptions temporaires.
Planifier la transition vers EAP-TLS et la vérifier dans un environnement de test.
Préparer le support technique et les utilisateurs à d'éventuelles invites de connexion manuelles.

Conclusion : Pas de panne Wi-Fi générale, mais un besoin d'action pour les entreprises

Le durcissement de NTLMv1 dans Windows 11 est une mesure de sécurité ciblée. Avec les mises à jour de sécurité d'octobre 2026, Windows bloque par défaut certaines informations d'identification dérivées de NTLMv1 pour l'authentification unique. Cela peut entraîner des problèmes dans les environnements d'entreprise avec les connexions Wi-Fi, Ethernet et VPN si celles-ci reposent sur des flux d'authentification basés sur MS-CHAPv2.

Pour les connexions Wi-Fi privées ordinaires, il n'y a généralement pas lieu de s'inquiéter. Les entreprises devraient en revanche vérifier leurs configurations d'authentification, évaluer les journaux d'événements et éliminer progressivement les dépendances MS-CHAPv2 existantes.

Le retour en mode de surveillance documenté par Microsoft peut aider à court terme, mais ne devrait être utilisé que comme solution de transition limitée. À long terme, la transition vers un mécanisme approprié basé sur des certificats tel que EAP-TLS est recommandée.

Documentation Microsoft supplémentaire

Date : 6 novembre 2026

Windows 11 : Protection NTLMv1 – Problèmes Wi-Fi et VPN possibles