Windows 11: Protección NTLMv1

Con las actualizaciones de seguridad de octubre de 2026, Microsoft ha realizado un cambio en la autenticación de Windows que puede causar problemas con las conexiones WLAN, Ethernet y VPN en ciertos entornos empresariales. Desde entonces, Windows bloquea por defecto ciertas credenciales derivadas de NTLMv1 que se utilizan para el inicio de sesión automático a través de Single Sign-On (SSO).

Sin embargo, esto no significa que el WLAN falle repentinamente en todos los usuarios de " Windows 11 – Microsoft Windows Windows 11Solo se ven afectadas ciertas configuraciones de autenticación, en particular aquellas que utilizan MS-CHAPv2 en combinación con credenciales derivadas de NTLMv1.

Por lo tanto, los usuarios privados con una red WLAN doméstica normal normalmente no necesitan tomar medidas. Las empresas y los administradores de TI, por otro lado, deben verificar si sus accesos de red todavía se basan en los métodos afectados. Microsoft proporciona opciones de supervisión y una opción de compatibilidad temporal para ello.

¿Qué ha cambiado Microsoft con la actualización de octubre de 2026?

Con las actualizaciones de seguridad del 13 de octubre de 2026, Microsoft ha cambiado el comportamiento predeterminado de la configuración de Windows " BlockNtlmv1SSO ". La configuración controla si Windows solo supervisa o bloquea el uso de ciertas credenciales derivadas de NTLMv1 para Single Sign-On.

Antes del cambio, Windows estaba en modo de supervisión por defecto. Los intentos de utilizar credenciales correspondientes se registraban, pero aún podían tener éxito. Después de instalar la actualización de seguridad de octubre, Windows cambia por defecto al modo de aplicación, a menos que el valor del registro correspondiente se haya configurado explícitamente.

En el modo de aplicación, Windows bloquea la generación de las credenciales afectadas para Single Sign-On. Esto puede afectar a ciertas conexiones WLAN, Ethernet y VPN si utilizan autenticación basada en MS-CHAPv2.

Sin embargo, el cambio solo se aplica bajo dos condiciones:

Credential Guard está desactivado en el dispositivo.
El valor del registro " BlockNtlmv1SSO " no se ha establecido explícitamente.

Si el valor ya se configuró antes de la actualización, esta configuración sigue siendo válida. La actualización no crea ni modifica el valor del registro automáticamente. Solo cambia el comportamiento predeterminado interno si el valor no está presente.

Para Windows 11 – Microsoft Windows Windows 11 el cambio es parte de la actualización de seguridad " KB5127648". Afecta a las versiones 24H2, 25H2 y 26H2. Para Windows Server 2025, la actualización correspondiente es " KB5126646". Microsoft documenta la descripción técnica detallada y las opciones de configuración en " KB5066470.

¿Qué son NTLM y NTLMv1?

NTLM significa NT LAN Manager y se refiere a una familia anterior de métodos de autenticación del entorno de Windows. Se utiliza para autenticar a los usuarios frente a servicios de red y otros sistemas. En las redes modernas de Windows, a menudo se utiliza Kerberos. Sin embargo, NTLM todavía se utiliza en ciertas situaciones por razones de compatibilidad con versiones anteriores.

Dentro de la familia NTLM existen diferentes versiones. NTLMv1 es la variante más antigua y se considera insegura debido a sus debilidades criptográficas. NTLMv2 es la versión mejorada con mecanismos de seguridad mejorados. Por lo tanto, los dos métodos no deben equipararse.

Microsoft ya ha eliminado el protocolo NTLMv1 real de Windows 11, versión 24H2, y Windows Server 2025. Sin embargo, esto no significa que todos los métodos NTLM se hayan desactivado al mismo tiempo. Tampoco significa que todos los flujos de autenticación con componentes criptográficos más antiguos hayan desaparecido automáticamente.

Aquí es exactamente donde entra el cambio actual: Microsoft no solo quiere evitar el uso del protocolo NTLMv1 real, sino también bloquear ciertas credenciales derivadas de NTLMv1 que aún pueden usarse en otros métodos de autenticación.

¿Qué versiones de Windows se ven afectadas?

Microsoft ha introducido gradualmente la supervisión y la aplicación de las credenciales derivadas de NTLMv1. La función técnica se proporcionó inicialmente con actualizaciones a partir de agosto de 2025. En octubre de 2026, Microsoft cambió el comportamiento predeterminado en las versiones de Windows designadas para ello.

Sistema operativo	Clasificación
Windows 11 24H2	Función de supervisión desde 2025. El comportamiento predeterminado se cambió a aplicación con la actualización de seguridad KB5127648 de octubre de 2026.
Windows 11 25H2	El cambio en el comportamiento predeterminado es parte de KB5127648 de octubre de 2026.
Windows 11 26H2	El cambio en el comportamiento predeterminado es parte de KB5127648 de octubre de 2026.
Windows 11 26H1	Se enumera como versión compatible en KB5066470. Sin embargo, KB5127648 no es la actualización correspondiente para esta versión. La asignación concreta de la actualización debe verificarse por separado según la documentación de actualización respectiva.
Servidor Windows 2025	La supervisión se introdujo en 2025. El comportamiento predeterminado modificado es parte de la actualización de seguridad KB5126646 de octubre de 2026.
Windows Server 2019 y 2022	Con la actualización de octubre, se agregaron eventos de supervisión NTLM ampliados. Esto no debe equipararse al bloqueo del lado del cliente por parte de BlockNtlmv1SSO.

Para Windows 11 24H2, 25H2 y 26H2, Microsoft especifica las siguientes compilaciones del sistema operativo para la actualización KB5127648:

Windows 11 24H2: Build 26100.9711
Windows 11 25H2: Build 26200.9711
Windows 11 26H2: Build 26300.9711

Para Windows Server 2025, Microsoft lanza la actualización KB5126646 con la compilación del sistema operativo 26100.33650.

La asignación de actualizaciones es importante porque no todas las versiones de Windows reciben el mismo cambio con el mismo número de KB. El soporte técnico de una configuración en KB5066470 no es automáticamente una prueba de que una actualización acumulativa específica se aplique a cada versión enumerada.

¿Por qué pueden verse afectadas las conexiones WLAN, LAN y VPN?

Los posibles problemas de conexión no se deben a la señal de radio WLAN ni a un adaptador de red defectuoso de repente. El punto crítico es la autenticación: Windows ya no puede proporcionar automáticamente las credenciales de inicio de sesión único derivadas de NTLMv1 en ciertas configuraciones.

Esto afecta especialmente a entornos en los que se utiliza MS-CHAPv2 para iniciar sesión en una red. Microsoft menciona conexiones WLAN, Ethernet y VPN. Sin embargo, no todas las conexiones de este tipo se ven afectadas. Lo decisivo es si el flujo de autenticación respectivo depende de las credenciales SSO bloqueadas.

WLAN y 802.1X

En las redes empresariales, WLAN a menudo no solo se protege mediante una contraseña compartida. En su lugar, los usuarios o dispositivos pueden autenticarse a través de 802.1X. Se utilizan varios métodos EAP.

Las posibles configuraciones incluyen PEAP-MSCHAPv2 y EAP-MSCHAPv2. En ciertos entornos unidos a un dominio, estos métodos pueden recurrir a credenciales derivadas de NTLMv1 para el inicio de sesión único.

Si se bloquea el aprovisionamiento automático de estas credenciales, el inicio de sesión WLAN puede fallar o requerir la entrada manual de las credenciales. La red de radio real y el adaptador WLAN no tienen por qué ser la causa del problema.

LAN por cable

Las conexiones de red por cable también pueden verse afectadas si utilizan una autenticación basada en 802.1X o MS-CHAPv2. Esto afecta principalmente a las redes empresariales gestionadas centralmente.

Por el contrario, una conexión Ethernet normal a un router privado no se ve afectada automáticamente. Aquí también, la autenticación utilizada es decisiva y no solo el tipo de conexión de red.

Conexiones VPN

En las conexiones VPN, MS-CHAPv2 también se puede utilizar para la autenticación. Si el inicio de sesión recurre a credenciales SSO derivadas de NTLMv1, Windows puede bloquear el inicio de sesión automático.

Por lo tanto, una interrupción de la VPN después de una actualización de Windows no es automáticamente una prueba de un problema de NTLMv1. El protocolo VPN, el servidor de autenticación, los certificados, el acceso a la red y otras configuraciones también deben tenerse en cuenta en la resolución de problemas.

¿Qué es MS-CHAPv2 y qué papel juega?

MS-CHAPv2 significa Microsoft Challenge Handshake Authentication Protocol Version 2. Es un método de autenticación en el que un sistema responde a un desafío del servidor con una respuesta calculada criptográficamente.

MS-CHAPv2 no es lo mismo que NTLMv1. Son mecanismos de autenticación diferentes. Sin embargo, existe una conexión relevante para la seguridad entre ambos métodos.

Microsoft explica que MS-CHAPv2 utiliza el hash MD4 de la contraseña del usuario para responder a un desafío durante la autenticación. La respuesta resultante es criptográficamente equivalente a NTLMv1. Esto puede crear una superficie de ataque comparable, aunque el protocolo NTLMv1 real ya se haya eliminado del dispositivo.

Esto explica por qué Microsoft también bloquea el uso de las credenciales correspondientes. El cambio de seguridad no afecta a MS-CHAPv2 como término ni a cualquier uso imaginable del procedimiento de forma generalizada, sino al uso de credenciales derivadas de NTLMv1 para flujos de SSO específicos.

La publicación de Microsoft „Bracing for BlockNtlmv1SSO“ del 23 de octubre de 2026 explica esta conexión criptográfica y describe las posibles implicaciones para entornos VPN, WLAN, NPS y RADIUS.

¿Me afecta como usuario privado?

Quien Windows 11 – Microsoft Windows Windows 11 si se utiliza en casa con un router WLAN normal y se conecta con la contraseña de WLAN, normalmente no se ve afectado por este cambio concreto. Los problemas descritos presuponen una configuración de autenticación especial.

La situación puede ser diferente en el caso de dispositivos gestionados que se conectan, por ejemplo, a una red corporativa, a una WLAN gestionada centralmente o a una VPN configurada de forma adecuada.

Credential Guard también juega un papel importante. Se trata de una función de seguridad de Windows que protege ciertas credenciales mediante funciones de virtualización. Microsoft explica explícitamente que el cambio descrito aquí en BlockNtlmv1SSO solo se aplica a dispositivos en los que Credential Guard está desactivado. Si Credential Guard está activado, este cambio concreto no surtirá efecto.

Sin embargo, esto no significa que Credential Guard y la nueva medida de protección NTLMv1 sean idénticos. Microsoft señala explícitamente que Credential Guard ofrece una protección más completa y recomienda su activación en plataformas compatibles si se cumplen los requisitos técnicos.

¿Por qué el inicio de sesión manual puede seguir funcionando?

El cambio afecta a la generación de ciertas credenciales derivadas de NTLMv1 para el inicio de sesión único. SSO permite que Windows utilice credenciales existentes automáticamente para otros servicios o conexiones de red.

Si esta vía de inicio de sesión automático se bloquea, la introducción manual de las credenciales puede seguir funcionando. Esto no es una contradicción: en el inicio de sesión manual, las credenciales se solicitan directamente, mientras que el flujo de SSO afectado depende de la provisión automática de las credenciales.

Microsoft confirma explícitamente que la introducción manual de credenciales sigue siendo posible incluso en el modo de aplicación forzada. Si una conexión concreta se puede establecer con éxito, depende además de la configuración de autenticación específica.

¿Cómo pueden los administradores determinar si los sistemas se ven afectados?

Las empresas deben investigar principalmente las configuraciones de autenticación existentes. Son especialmente relevantes los accesos WLAN, Ethernet y VPN que utilizan MS-CHAPv2 o métodos basados en él.

Microsoft proporciona para ello registros de supervisión y eventos. En los clientes Windows afectados, los eventos se registran en el registro Microsoft-Windows-NTLM/Operational

ID de evento	Significado
4024	Modo de supervisión: Se registra un intento de usar credenciales derivadas de NTLMv1 para el inicio de sesión único. La solicitud aún puede ser exitosa.
4025	Modo de aplicación: Se bloqueó un intento de usar credenciales derivadas de NTLMv1 para el inicio de sesión único debido a una política.

El Visor de eventos se puede abrir desde el menú Inicio. Los administradores encontrarán el registro correspondiente en "Registros de aplicaciones y servicios" en la sección Microsoft-Windows-NTLM/Operational.

Los eventos contienen información sobre el servidor de destino, el usuario, el proceso y el mecanismo de autenticación utilizado, entre otros. Esto permite rastrear qué aplicación o conexión está solicitando las credenciales afectadas.

Supervisión adicional en controladores de dominio

Para empresas con Windows Server 2019 o Windows Server 2022, existe una forma adicional de detectar posibles dependencias de MS-CHAPv2. Con las actualizaciones de octubre de 2026, se han retroportado eventos de supervisión NTLM extendidos a estas versiones de servidor.

La ID de evento es particularmente relevante 4033, que puede ocurrir en un controlador de dominio cuando un servidor VPN retransmite una respuesta de desafío para verificar las credenciales. Los datos del evento permiten determinar si se trata de una operación MS-CHAPv2 correspondiente.

Esta supervisión en el controlador de dominio debe distinguirse del bloqueo del lado del cliente por parte de BlockNtlmv1SSO . Los eventos extendidos ayudan a los administradores a identificar las dependencias existentes. No significan que Windows Server 2019 o 2022 obtengan automáticamente el mismo bloqueo del cliente.

Microsoft recomienda recopilar y evaluar centralmente los registros de eventos NTLM de los controladores de dominio. En entornos más grandes, se puede utilizar un sistema SIEM para este propósito, por ejemplo.

Lista de verificación para administradores de TI

Verificar qué versiones de clientes y servidores Windows se utilizan en el entorno.
Determinar si se han instalado las actualizaciones de seguridad de octubre relevantes.
Comprobar si Credential Guard está activado en los clientes afectados.
El valor del registro BlockNtlmv1SSO y revisar su configuración.
Investigar los eventos 4024 y 4025 en el protocolo NTLM de los clientes.
En los controladores de dominio con Windows Server 2019 o 2022, revisar adicionalmente los eventos de auditoría extendidos, en particular el ID de evento 4033.
Investigar las configuraciones de WLAN, Ethernet y VPN en busca de dependencias de MS-CHAPv2.
Documentar las aplicaciones afectadas, los servidores de autenticación y los accesos a la red.
Planificar y probar la transición a un método de autenticación alternativo adecuado.

Los IDs de evento, la configuración del Registro y la información de implementación se describen en la documentación de Microsoft KB5066470 . La supervisión complementaria en Server 2019 y 2022 se explica en la publicación de Microsoft „Bracing for BlockNtlmv1SSO“.

¿Qué solución transitoria ofrece Microsoft?

Si una empresa detecta una dependencia crítica de MS-CHAPv2 y no puede cambiar la autenticación de inmediato, Microsoft ofrece una opción de compatibilidad temporal. Para ello, se puede establecer el valor del registro "", BlockNtlmv1SSO en 0 ser establecido.

El valor activa el modo de auditoría. Windows sigue registrando el uso de las credenciales afectadas, pero no las bloquea. Esto permite que las solicitudes SSO correspondientes se vuelvan a ejecutar correctamente de forma temporal.

La ruta de registro relevante es:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

Dentro de esta clave de registro, el valor DWORD (32 bits) BlockNtlmv1SSO creado o se ha modificado un valor existente.

Valor	Comportamiento
0	Modo de supervisión: Las solicitudes se registran, pero se permiten.
Sí (incluye actualización de controladores, limpieza profunda)	Modo de cumplimiento: las solicitudes afectadas se bloquean.

Se requieren privilegios de administrador para realizar el cambio. Según Microsoft, después de cambiar el valor, no es necesario reiniciar el dispositivo. La configuración entra en vigor inmediatamente.

Importante: El valor 0 no es una solución de seguridad permanente. Permite que las credenciales afectadas se vuelvan a utilizar, reduciendo así la protección del modo de cumplimiento. Las empresas solo deben usar esta configuración con una dependencia crítica demostrada, de forma limitada en el tiempo y con una excepción documentada.

Los eventos en modo de auditoría ayudan a identificar las dependencias restantes. Una vez que se hayan migrado los flujos de autenticación afectados, el valor debería volver a ser 1 establecerse. Microsoft recomienda encarecidamente considerar el modo de supervisión solo como una excepción de seguridad temporal.

¿Por qué Microsoft recomienda la autenticación basada en certificados?

A largo plazo, las empresas deberían eliminar su dependencia de MS-CHAPv2 y cambiar a un método de autenticación alternativo adecuado. Microsoft menciona EAP-TLS como alternativa en este contexto, entre otras.

En EAP-TLS, la autenticación se realiza a través de certificados digitales. Esto elimina la dependencia de los flujos MS-CHAPv2 basados en contraseñas descritos y las credenciales de inicio de sesión derivadas de NTLMv1 asociadas.

Sin embargo, dicho cambio requiere preparativos en entornos empresariales. Estos pueden incluir una infraestructura de certificados adecuada, el aprovisionamiento y la gestión de certificados de cliente, así como ajustes en los accesos de red y los servidores de autenticación.

Por lo tanto, la migración debe realizarse primero en un entorno de prueba. A continuación, las conexiones WLAN, Ethernet y VPN afectadas pueden migrarse gradualmente. Antes de una implementación generalizada, los administradores deben comprobar si todos los dispositivos, cuentas de usuario y componentes de red utilizados admiten el nuevo método.

¿Qué deben hacer ahora los usuarios particulares y las empresas?

Usuarios privados

Instalar las actualizaciones de Windows como de costumbre.
No modificar valores del Registro de forma preventiva.
No desactivar Credential Guard u otras funciones de seguridad de forma independiente.
En caso de problemas de conexión, comprobar primero si otros dispositivos también se ven afectados y si la conexión a Internet funciona en general.
En caso de un dispositivo de trabajo administrado, ponerse en contacto con el departamento de TI en lugar de modificar los ajustes de autenticación por cuenta propia.

Pequeñas empresas

Comprobar si WLAN o VPN utilizan autenticación centralizada.
Preguntar al proveedor de servicios de red o al responsable de TI sobre una posible dependencia de MS-CHAPv2.
Documentar los problemas de conexión después de la actualización de octubre.
Considerar un regreso temporal al modo de supervisión solo después de una comprobación técnica y con una limitación de tiempo clara.
Preparar la transición a un método de autenticación alternativo adecuado.

Entornos de TI a gran escala

Evaluar centralmente los eventos 4024 y 4025 en los clientes.
Tener en cuenta los eventos de auditoría extendidos de NTLM en los controladores de dominio.
Capturar los flujos de autenticación afectados y las dependencias.
Realizar el despliegue de las actualizaciones de seguridad de forma controlada, sin posponer las actualizaciones de seguridad de forma generalizada.
Documentar y supervisar las excepciones temporales.
Planificar la transición a EAP-TLS y verificarla en un entorno de prueba.
Preparar el servicio de asistencia técnica y los usuarios para posibles solicitudes de inicio de sesión manual.

Conclusión: No hay una interrupción general de la WLAN, pero las empresas necesitan actuar

La restricción de NTLMv1 en Windows 11 es una medida de seguridad específica. Con las actualizaciones de seguridad de octubre de 2026, Windows bloqueará por defecto ciertas credenciales derivadas de NTLMv1 para el inicio de sesión único (SSO). Esto puede provocar problemas en entornos empresariales con conexiones WLAN, Ethernet y VPN si estas se basan en flujos de autenticación correspondientes basados en MS-CHAPv2.

Para las conexiones WLAN privadas habituales, normalmente no hay motivo de preocupación. Las empresas, en cambio, deberían revisar sus configuraciones de autenticación, evaluar los registros de eventos y eliminar gradualmente las dependencias existentes de MS-CHAPv2.

El regreso al modo de supervisión documentado por Microsoft puede ayudar a corto plazo, pero solo debe utilizarse como una solución de transición limitada. A largo plazo, se recomienda la transición a un método adecuado basado en certificados, como EAP-TLS.

Documentación adicional de Microsoft

Estado: 6 de noviembre de 2026

Windows 11: Protección NTLMv1 – Posibles problemas de WLAN y VPN