A atualização de segurança do Windows de outubro de 2026, publicada a 13 de outubro, muda uma predefinição que pode deixar alguns utilizadores sem rede. Nos computadores com Windows 11 (versões 24H2, 25H2 e 26H2) e com Windows Server 2025 em que o Credential Guard está desativado, o sistema passa a bloquear por omissão as credenciais derivadas do NTLMv1 usadas para início de sessão único (SSO). Na prática, as ligações Wi-Fi, Ethernet e VPN que dependem de autenticação MS-CHAPv2 podem deixar de entrar automaticamente. A Microsoft diz que não se trata de uma falha: é uma alteração planeada, anunciada em agosto de 2025, que faz parte do abandono progressivo do protocolo NTLM.
Resposta rápida: Desde a atualização de 13 de outubro de 2026, o Windows 11 24H2/25H2/26H2 e o Windows Server 2025 sem Credential Guard bloqueiam o SSO com credenciais derivadas do NTLMv1, quando o valor de registo BlockNtlmv1SSO não foi configurado. Isto pode cortar o acesso automático a redes Wi-Fi, Ethernet 802.1X e VPN que usam MS-CHAPv2. Os administradores devem procurar o evento 4025 no registo NTLM e migrar para autenticação baseada em certificados. Pôr temporariamente o valor a 0 repõe o modo de auditoria, mas a Microsoft considera essa opção uma exceção de curta duração.
O que mudou com a atualização de outubro
O comportamento é controlado por um valor de registo chamado BlockNtlmv1SSO, que a Microsoft documenta no artigo de suporte KB5066470. Este valor tem dois modos. Com o valor 0 (modo de auditoria), os pedidos para gerar credenciais derivadas do NTLMv1 são permitidos e ficam apenas registados como aviso. Com o valor 1 (modo de imposição), esses pedidos são bloqueados e o sistema regista um erro.
Até agora, quando o valor não existia, o Windows usava a auditoria. Com a atualização de outubro, a predefinição interna passa a ser a imposição. Um pormenor pode enganar quem verifica as máquinas à pressa: a atualização não cria nem altera o valor no registo. A chave continua sem existir e, mesmo assim, o comportamento do sistema mudou. A alteração chega nas atualizações cumulativas KB5127648, para o Windows 11, e KB5126646, para o Windows Server 2025.
O caso pode parecer estranho, porque a Microsoft já tinha retirado o protocolo NTLMv1 do Windows 11 24H2 e do Windows Server 2025. No entanto, ainda há componentes que usam a criptografia do NTLMv1. O exemplo mais comum é o MS-CHAPv2, o método de palavra-passe usado no PEAP-MSCHAPv2 e no EAP-MSCHAPv2. Quando uma ligação de rede está configurada para usar automaticamente as credenciais da sessão do Windows, o sistema tem de gerar uma credencial derivada do NTLMv1. É exatamente esse caminho que agora fica bloqueado.
Quem pode ser afetado
Segundo o aviso publicado no centro de mensagens do Windows, o impacto só ocorre quando se verificam estas condições ao mesmo tempo:
- o dispositivo tem Windows 11 24H2, 25H2 ou 26H2, ou Windows Server 2025, com a atualização de outubro instalada;
- o Credential Guard está desativado;
- o valor
BlockNtlmv1SSOnunca foi configurado pelo administrador; - a rede Wi-Fi, a rede com fios 802.1X ou a VPN autentica-se com MS-CHAPv2 e usa as credenciais do Windows para iniciar sessão automaticamente.
Os dispositivos com Credential Guard ativo já bloqueavam este tipo de SSO e não são abrangidos pela nova predefinição. Ou seja, a mudança não desliga todo o tráfego NTLM e não faz falhar todas as ligações de rede. Afeta apenas um caminho específico de geração de credenciais. A Microsoft refere ainda que, no modo de imposição, introduzir as credenciais à mão continua a funcionar. Isso ajuda no diagnóstico, mas não resolve o problema de fundo.
Antes e depois da atualização
| Aspeto | Antes da atualização de outubro de 2026 | Depois da atualização de outubro de 2026 |
|---|---|---|
| Predefinição interna (valor ausente) | Auditoria (0) | Imposição (1) |
| Pedido de SSO com credenciais derivadas do NTLMv1 | Permitido e registado | Bloqueado |
Evento no registo Microsoft-Windows-NTLM/Operational | Aviso 4024 | Erro 4025 |
| Valor no registo do Windows | Não existe | Continua a não existir (a atualização não o cria) |
| Efeito para o utilizador | Ligação automática funciona | Ligação automática pode falhar ou pedir credenciais |
Como confirmar se o problema é este
Não há aqui uma vulnerabilidade com identificador CVE nem pontuação CVSS. Os sinais a procurar são eventos do próprio Windows, no registo Applications and Services Logs > Microsoft > Windows > NTLM > Operational. Segundo a Microsoft, estes eventos indicam o servidor de destino, o utilizador, o processo cliente e o mecanismo envolvido, o que ajuda a localizar a origem da dependência.
| ID do evento | Tipo | Significado |
|---|---|---|
4024 | Aviso (modo de auditoria) | Foi detetada e permitida uma tentativa de usar credenciais derivadas do NTLMv1 para SSO |
4025 | Erro (modo de imposição) | A mesma tentativa foi bloqueada pela política |
Se, depois da atualização, um posto de trabalho deixar de entrar sozinho na rede empresarial e aparecer o evento 4025, é muito provável que a causa seja esta. Nesse caso, vale a pena confirmar a versão do sistema operativo, o estado do Credential Guard e se o valor de registo foi definido.
Cronologia da mudança
| Data | Marco |
|---|---|
| junho de 2024 | O NTLM (incluindo LANMAN, v1 e v2) entra na lista de funcionalidades descontinuadas do Windows |
| final de agosto de 2025 | A Microsoft documenta a mudança e ativa a auditoria do NTLMv1 no Windows 11 24H2 e versões seguintes |
| novembro de 2025 | Começa a distribuição das mesmas alterações para o Windows Server 2025 |
| 29 de janeiro de 2026 | A Microsoft publica o roteiro para desativar o NTLM por omissão |
| 13 de outubro de 2026 | A atualização de segurança muda a predefinição para o modo de imposição |
| 15 de outubro de 2026 | A Microsoft publica o aviso «Take action» (MC1508562) no centro de mensagens |
O que fazer agora
A recomendação principal da Microsoft é acabar com a dependência do MS-CHAPv2 e passar a autenticação de rede para métodos baseados em certificados. Para as equipas de TI, os passos práticos são:
- fazer o inventário dos perfis Wi-Fi, 802.1X com fios e VPN que usam PEAP-MSCHAPv2 ou EAP-MSCHAPv2 com as credenciais do Windows;
- recolher os eventos 4024 e 4025 para identificar postos e servidores afetados;
- avaliar a ativação do Credential Guard, que a Microsoft associa a esta proteção;
- planear a migração para autenticação por certificados nos servidores RADIUS e nos clientes;
- testar o modo de imposição num grupo-piloto antes de o generalizar.
Se for preciso repor a ligação de imediato, a Microsoft indica uma opção temporária: criar em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 o valor BlockNtlmv1SSO, do tipo REG_DWORD, com o valor 0. Na linha de comandos, isso corresponde a reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f. Poderá ser necessário reiniciar o equipamento. O fabricante avisa que esta opção reduz a proteção, deve limitar-se aos equipamentos estritamente necessários e não deve ficar em uso prolongado. Depois de eliminadas as dependências, o valor deve voltar a 1. Também não se sabe durante quanto tempo esta opção continuará disponível.
Um passo num plano maior contra o NTLM
Esta mudança faz parte de um plano mais amplo. No roteiro publicado em janeiro de 2026, a Microsoft explica que o NTLM está exposto a ataques de repetição, de intermediário (man-in-the-middle), de retransmissão (relay) e pass-the-hash, por causa da sua criptografia fraca e da falta de autenticação do servidor. O plano tem três fases. A primeira é uma auditoria reforçada, já disponível. A segunda introduz funcionalidades como o IAKerb e o Local KDC, previstas para a segunda metade de 2026, para reduzir os casos em que o sistema recorre ao NTLM. A terceira, prevista para a próxima versão principal do Windows Server, desativa o NTLM por omissão na maioria dos cenários.
O NTLM existe desde o Windows NT 3.1, de 1993, e continua a ser usado como alternativa quando o Kerberos não está disponível. Isto explica porque é tão difícil retirá-lo das redes empresariais. O bloqueio do SSO com NTLMv1 é o primeiro passo deste processo com efeitos visíveis para os utilizadores. É também um teste à preparação das organizações para a desativação, mais ampla, do NTLMv2.
Porque é que isto importa em Portugal
Muitas PME, autarquias, escolas e hospitais portugueses ainda usam redes Wi-Fi empresariais com PEAP-MSCHAPv2, porque é fácil de configurar com Active Directory e servidores RADIUS. Nestes ambientes, uma atualização instalada automaticamente pode cortar o acesso à rede logo de manhã, e o problema pode ser confundido com uma avaria do equipamento de rede.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), o episódio tem também uma dimensão de conformidade. A gestão de vulnerabilidades, o controlo de acessos e a substituição de protocolos obsoletos estão entre as medidas que se esperam destas organizações. Uma exceção ao modo de imposição sem prazo e sem justificação documentada pode ser difícil de defender numa auditoria.
Há ainda o lado da proteção de dados. Protocolos com criptografia fraca facilitam o roubo de credenciais e, a partir daí, o acesso indevido a dados pessoais. Isso pode levar a incidentes que têm de ser notificados ao abrigo do RGPD. As organizações que encontrem incidentes ou dúvidas técnicas podem recorrer às orientações e aos canais de notificação do CNCS/CERT.PT.
Perguntas frequentes
A falha de Wi-Fi ou VPN depois da atualização de outubro é um erro da Microsoft?
Não. A Microsoft diz que se trata de uma alteração de segurança planeada, documentada desde agosto de 2025, e não de um problema conhecido da atualização. A predefinição do valor BlockNtlmv1SSO passou de auditoria para imposição.
Que sistemas são afetados?
O Windows 11 nas versões 24H2, 25H2 e 26H2 e o Windows Server 2025, mas apenas quando o Credential Guard está desativado, o valor BlockNtlmv1SSO não foi configurado e a rede usa MS-CHAPv2 com início de sessão automático.
Como sei se a minha rede foi afetada por esta mudança?
Procure o evento de erro 4025 no registo Microsoft-Windows-NTLM/Operational. Este evento indica que uma tentativa de SSO com credenciais derivadas do NTLMv1 foi bloqueada. O evento 4024 corresponde ao mesmo pedido em modo de auditoria.
Posso voltar ao comportamento anterior?
Sim, de forma temporária. Basta definir o valor BlockNtlmv1SSO como 0 em HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. A Microsoft avisa que isto reduz a proteção e recomenda migrar para autenticação baseada em certificados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft no artigo de suporte KB5066470, no centro de mensagens do Windows e no Windows IT Pro Blog.