A Microsoft corrigiu finalmente a falha que, desde as atualizações de segurança de setembro de 2026, deixava ligações Always On VPN do Windows 11 presas no estado «A ligar» ou sem conseguir ligar. A correção está na atualização opcional de pré-visualização KB5127936, publicada a 28 de outubro para o Windows 11 25H2 e 26H2. Antes disso, a empresa tinha dado o problema como resolvido nas atualizações cumulativas de 13 de outubro, mas acabou por admitir que isso não era verdade e voltou a classificar o problema como apenas «mitigado».
Resposta rápida: As atualizações de setembro de 2026 do Windows 11 avariaram as ligações Always On VPN configuradas com seleção automática de protocolo (IKEv2/SSTP). A correção definitiva chegou na pré-visualização opcional KB5127936 (25H2 e 26H2) e deverá ser incluída nas atualizações cumulativas de novembro. Até lá, quem não instalar a pré-visualização pode fixar o perfil VPN num único protocolo, só SSTP ou só IKEv2.
O que estava a falhar
O Always On VPN é a solução de acesso remoto da Microsoft que substituiu a antiga tecnologia DirectAccess. Funciona em segundo plano e cria automaticamente um túnel seguro para a rede da organização sempre que o equipamento se liga à internet. Suporta dispositivos associados a um domínio, não associados e associados ao Microsoft Entra ID, em Windows 10, Windows 11 e Windows Server. É muito usado em organizações com teletrabalho, onde os utilizadores precisam de chegar a aplicações internas sem terem de abrir manualmente um cliente VPN.
A falha só aparecia num cenário concreto: perfis configurados para mudar para outro protocolo de túnel quando a primeira tentativa de ligação falha, como na seleção automática entre IKEv2 e SSTP. Nesses casos, segundo a Microsoft, a ligação podia ficar indefinidamente no estado «A ligar», repetir tentativas sem sucesso ou devolver a mensagem de erro The specified port is already in use. Perfis já fixados num único protocolo não estavam na configuração afetada.
Versões e atualizações envolvidas
Não se trata de uma vulnerabilidade de segurança, pelo que não existe identificador CVE nem pontuação CVSS. É uma regressão funcional introduzida pelas próprias atualizações de segurança. De acordo com a informação que a Microsoft deu aos administradores, as versões e pacotes envolvidos são os seguintes:
| Versão do Windows 11 | Atualização que introduziu o problema | Situação da correção |
|---|---|---|
| 24H2 | KB5124008 | Sem pré-visualizações não relacionadas com segurança desde outubro; correção esperada numa futura atualização cumulativa |
| 25H2 | KB5124008 | Corrigido na pré-visualização KB5127936 (compilação 26200.9818) |
| 26H2 | Atualizações de setembro de 2026 | Corrigido na pré-visualização KB5127936 (compilação 26300.9818) |
| 26H1 (apenas Arm) | KB5124012 | Correção na pré-visualização própria por confirmar |
Há um pormenor importante para quem gere parques com a versão 24H2. Na página oficial da KB5127936, a Microsoft esclarece que, a partir da versão de outubro de 2026, as pré-visualizações não relacionadas com segurança passam a estar disponíveis apenas para o Windows 11 25H2 e 26H2. Além disso, a atualização de segurança de outubro foi a última para as edições Home e Pro da 24H2, que chegaram ao fim do suporte. Equipamentos com essas edições e Always On VPN devem ser atualizados para uma versão suportada.
Cronologia: uma correção anunciada antes do tempo
O caso ficou marcado por um passo em falso na comunicação. A 13 de outubro, nas atualizações do Patch Tuesday, a Microsoft deu a falha como corrigida nos pacotes cumulativos KB5127648 (24H2, 25H2 e 26H2) e KB5127646 (26H1). Uma semana depois, retirou a referência das notas de versão e corrigiu a entrada no painel de estado do Windows (Windows release health), identificada como WI1482218. Segundo noticiou The Register, a empresa explicou aos administradores que o aviso tinha passado «por engano» para o estado de resolvido e que voltava a estar como mitigado.
| Data | Acontecimento |
|---|---|
| Setembro de 2026 | As atualizações de segurança do Windows 11 introduzem a falha no Always On VPN |
| Final de setembro | A Microsoft avisa os administradores e publica a medida de contorno (estado: mitigado) |
| 13 de outubro | Patch Tuesday: KB5127648 e KB5127646 são apresentadas, por engano, como contendo a correção |
| 20 de outubro | A Microsoft retira a correção das notas de versão e repõe o estado «mitigado» |
| 28 de outubro | A pré-visualização opcional KB5127936 inclui a correção efetiva para 25H2 e 26H2 |
| Novembro de 2026 | Correção esperada nas atualizações cumulativas obrigatórias do Patch Tuesday |
Nas notas da KB5127936, a Microsoft refere que a atualização resolve o problema do Always On VPN surgido após a instalação da atualização de segurança de setembro, nos cenários com seleção automática de protocolo ou alternância de protocolo.
Como mitigar: passos para administradores
Como a KB5127936 é uma pré-visualização opcional, sem correções de segurança, muitas organizações preferem não a instalar em produção. Para esses casos, a Microsoft mantém a medida de contorno já divulgada no aviso inicial, noticiado pelo BleepingComputer: deixar de usar a seleção automática e fixar o perfil num único protocolo.
- Identificar perfis afetados: rever os perfis Always On VPN, por exemplo o parâmetro
NativeProtocolTypenoProfileXML, e localizar os que usam seleção automática ou alternância IKEv2/SSTP. - Fixar um único protocolo: escolher só SSTP ou só IKEv2, consoante o ambiente, a política de segurança e os requisitos de implementação.
- Validar a conectividade de rede: o SSTP usa normalmente TCP 443 e o IKEv2 usa UDP 500 e 4500. Convém confirmar que as firewalls permitem o protocolo escolhido.
- Testar a pré-visualização num grupo-piloto: quem precisa da correção já pode instalar a
KB5127936em equipamentos de teste, a partir do Windows Update (atualizações opcionais) ou do Microsoft Update Catalog. - Planear o Patch Tuesday de novembro: repor a configuração original só depois de confirmar que a correção está instalada e funciona no seu ambiente.
Também há quem tenha optado por desinstalar a atualização de setembro. A medida devolve a ligação VPN, mas deixa os equipamentos sem as correções de segurança desse mês. Por isso, fixar o protocolo é, em regra, a opção menos arriscada.
A mesma atualização corrige o Ambiente de Trabalho Remoto
A KB5127936 resolve ainda outro problema de conectividade. Utilizadores sem privilégios de administrador não conseguiam ligar-se a dispositivos por Ambiente de Trabalho Remoto (Remote Desktop) quando a funcionalidade de segurança «Administrator protection» estava ativa. Esta falha surgiu depois da pré-visualização não relacionada com segurança de setembro de 2026, ou de atualizações posteriores. Setembro e outubro foram meses difíceis para quem gere Windows: a Microsoft já tinha publicado atualizações de emergência para falhas nos Serviços de Ambiente de Trabalho Remoto, no Hyper-V e em áudio USB, também atribuídas às atualizações de setembro.
Porque é que isto importa em Portugal
Para muitas PME e organizações portuguesas com teletrabalho ou equipas no terreno, a VPN é a porta de acesso aos sistemas internos. Quando falha, há pressão para atalhos inseguros: desligar controlos, expor serviços diretamente à internet ou adiar atualizações de segurança indefinidamente. O episódio mostra porque é que a gestão de atualizações deve incluir grupos-piloto, testes de regressão nos serviços críticos e acompanhamento regular do painel de estado do fabricante, sem confiar cegamente na etiqueta de «resolvido».
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), a gestão de vulnerabilidades e de atualizações, a continuidade das operações e a segurança dos acessos remotos fazem parte das medidas de gestão de riscos exigidas. Documentar decisões como fixar um protocolo VPN ou adiar uma pré-visualização é uma boa prática de conformidade. Quando os acessos remotos dão entrada em sistemas com dados pessoais, o RGPD exige também medidas técnicas que garantam a disponibilidade e a resiliência dos sistemas. O CNCS e o CERT.PT recomendam acompanhar os avisos dos fabricantes e manter processos de atualização controlados.
Perguntas frequentes
Que atualização corrige o problema do Always On VPN?
A pré-visualização opcional KB5127936, publicada a 28 de outubro de 2026 para o Windows 11 25H2 e 26H2. A correção deverá chegar a todos com as atualizações cumulativas de novembro.
A atualização de outubro (KB5127648) não resolvia a falha?
Não. A Microsoft deu o problema como resolvido a 13 de outubro, mas admitiu depois que o estado tinha sido alterado por engano, retirou a correção das notas de versão e voltou a classificá-lo como mitigado.
Como contornar a falha sem instalar a pré-visualização?
Altere o perfil Always On VPN da seleção automática de protocolo para um único protocolo, só SSTP ou só IKEv2, consoante o seu ambiente, e confirme que as firewalls permitem o protocolo escolhido.
As VPN comerciais de consumo também são afetadas?
A falha documentada pela Microsoft diz respeito ao Always On VPN, uma solução empresarial, nos perfis com alternância automática entre IKEv2 e SSTP. Não abrange todas as falhas de VPN no Windows 11.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft, pelo BleepingComputer e por The Register.