Windows 11: NTLMv1-bescherming - mogelijke Wi-Fi- en VPN-problemen

Met de beveiligingsupdates van oktober 2026 heeft Microsoft een wijziging aangebracht in de Windows-authenticatie die in bepaalde bedrijfsomgevingen tot problemen met wifi-, ethernet- en VPN-verbindingen kan leiden. Windows blokkeert sindsdien standaard bepaalde NTLMv1-afgeleide inloggegevens die worden gebruikt voor automatische aanmelding via Single Sign-On (SSO).

Dit betekent echter niet dat na de oktoberupdate plotseling bij alle Windows 11 – Microsoft Windows Windows 11-gebruikers de wifi uitvalt. Alleen bepaalde authenticatieconfiguraties zijn getroffen, met name diegene die MS-CHAPv2 gebruiken in combinatie met NTLMv1-afgeleide inloggegevens.

Voor particuliere gebruikers met een gewoon thuisnetwerk is er daarom meestal geen actie nodig. Bedrijven en IT-beheerders moeten daarentegen controleren of hun netwerktoegangen nog gebaseerd zijn op de getroffen procedures. Microsoft biedt hiervoor monitoringmogelijkheden en een tijdelijke compatibiliteitsoptie.

Wat heeft Microsoft gewijzigd met de oktoberupdate 2026?

Met de beveiligingsupdates van 13 oktober 2026 heeft Microsoft het standaardgedrag van de Windows-instelling BlockNtlmv1SSO gewijzigd. De instelling bepaalt of Windows het gebruik van bepaalde NTLMv1-afgeleide inloggegevens voor Single Sign-On alleen bewaakt of blokkeert.

Vóór de wijziging bevond Windows zich standaard in de bewakingsmodus. Pogingen om dergelijke inloggegevens te gebruiken werden geregistreerd, maar konden nog steeds succesvol zijn. Na de installatie van de oktoberbeveiligingsupdate schakelt Windows standaard over naar de afdwingingsmodus, tenzij de betreffende registerwaarde expliciet is geconfigureerd.

In de afdwingingsmodus blokkeert Windows de generatie van de getroffen inloggegevens voor Single Sign-On. Dit kan bepaalde wifi-, ethernet- en VPN-verbindingen beïnvloeden als deze MS-CHAPv2-gebaseerde authenticatie gebruiken.

De wijziging geldt echter alleen onder twee voorwaarden:

• Credential Guard is op het apparaat gedeactiveerd.
• De registerwaarde BlockNtlmv1SSO is niet expliciet ingesteld.

Als de waarde al vóór de update was geconfigureerd, blijft deze instelling van kracht. De update maakt de registerwaarde niet automatisch aan of wijzigt deze niet. Het wijzigt alleen het interne standaardgedrag als de waarde niet aanwezig is.

Voor Windows 11 – Microsoft Windows Windows 11 is de wijziging onderdeel van de beveiligingsupdate KB5127648. Het treft de versies 24H2, 25H2 en 26H2. Voor Windows Server 2025 is de bijbehorende update KB5126646. De gedetailleerde technische beschrijving en de configuratiemogelijkheden documenteert Microsoft in KB5066470".

Wat is NTLM en NTLMv1?

NTLM staat voor NT LAN Manager en verwijst naar een oudere familie van authenticatiemethoden uit de Windows-omgeving. Het wordt gebruikt om gebruikers te authenticeren tegenover netwerkdiensten en andere systemen. In moderne Windows-netwerken wordt vaak Kerberos gebruikt. NTLM wordt echter nog steeds gebruikt in bepaalde situaties omwille van achterwaartse compatibiliteit.

Binnen de NTLM-familie zijn er verschillende versies. NTLMv1 is de oudere variant en wordt als onveilig beschouwd vanwege zijn cryptografische zwakheden. NTLMv2 is de verder ontwikkelde versie met verbeterde beveiligingsmechanismen. De twee methoden mogen daarom niet gelijkgesteld worden.

Microsoft heeft het eigenlijke NTLMv1-protocol al verwijderd uit Windows 11, versie 24H2, en Windows Server 2025. Dit betekent echter niet dat alle NTLM-methoden tegelijkertijd zijn uitgeschakeld. Het betekent ook niet dat alle authenticatiestromen met oudere cryptografische componenten automatisch verdwenen zijn.

Precies hier zet de huidige wijziging aan: Microsoft wil niet alleen het gebruik van het eigenlijke NTLMv1-protocol voorkomen, maar ook bepaalde NTLMv1-afgeleide inloggegevens blokkeren die nog in andere authenticatiemethoden kunnen worden gebruikt.

Welke Windows-versies zijn getroffen?

Microsoft heeft de monitoring en handhaving van NTLMv1-afgeleide inloggegevens gefaseerd ingevoerd. De technische functie werd aanvankelijk geleverd met updates vanaf augustus 2025. In oktober 2026 heeft Microsoft het standaardgedrag op de daarvoor bestemde Windows-versies gewijzigd.

Voor Windows 11 24H2, 25H2 en 26H2 noemt Microsoft bij update KB5127648 de volgende besturingssysteembuilds:

• Windows 11 24H2: Build 26100.9711
• Windows 11 25H2: Build 26200.9711
• Windows 11 26H2: Build 26300.9711

Voor Windows Server 2025 introduceert Microsoft update KB5126646 met OS build 26100.33650.

De update-toewijzing is belangrijk omdat niet elke Windows-versie dezelfde wijziging ontvangt met hetzelfde KB-nummer. De technische ondersteuning van een instelling in KB5066470 is niet automatisch het bewijs dat een specifieke cumulatieve update van toepassing is op elke vermelde versie.

Waarom kunnen Wi-Fi-, LAN- en VPN-verbindingen worden beïnvloed?

De mogelijke verbindingsproblemen worden niet veroorzaakt door het Wi-Fi-signaal of een plotseling defecte netwerkadapter. Het kritieke punt is de authenticatie: Windows kan in bepaalde configuraties de benodigde NTLMv1-afgeleide inloggegevens niet meer automatisch leveren voor Single Sign-On.

Dit treft met name omgevingen waarin MS-CHAPv2 wordt gebruikt voor het aanmelden bij een netwerk. Microsoft noemt hierbij Wi-Fi-, Ethernet- en VPN-verbindingen. Echter, niet elke verbinding van dit type wordt beïnvloed. Cruciaal is of het betreffende authenticatieproces afhankelijk is van de geblokkeerde SSO-inloggegevens.

Wi-Fi en 802.1X

In bedrijfsnetwerken wordt Wi-Fi vaak niet alleen beveiligd met een gedeeld wachtwoord. In plaats daarvan kunnen gebruikers of apparaten zich authenticeren via 802.1X. Hierbij worden verschillende EAP-methoden gebruikt.

Tot de mogelijke configuraties behoren PEAP-MSCHAPv2 en EAP-MSCHAPv2. In bepaalde domeingebonden omgevingen kunnen deze methoden terugvallen op NTLMv1-afgeleide inloggegevens voor Single Sign-On.

Als de automatische levering van deze inloggegevens wordt geblokkeerd, kan het aanmelden via Wi-Fi mislukken of kan een handmatige invoer van de inloggegevens nodig zijn. Het eigen draadloze netwerk en de Wi-Fi-adapter hoeven hierbij niet de oorzaak van het probleem te zijn.

Bekabelde LAN-verbindingen

Ook bekabelde netwerkverbindingen kunnen worden beïnvloed als ze een overeenkomstige 802.1X- of MS-CHAPv2-gebaseerde authenticatie gebruiken. Dit treft vooral centraal beheerde bedrijfsnetwerken.

Een normale Ethernet-aansluiting op een privérouter is daarentegen niet automatisch beïnvloed. Cruciaal is ook hier de gebruikte authenticatie en niet alleen het type netwerkverbinding.

VPN-verbindingen

Bij VPN-verbindingen kan MS-CHAPv2 ook worden gebruikt voor authenticatie. Als het aanmelden hierbij terugvalt op NTLMv1-afgeleide SSO-inloggegevens, kan Windows de automatische aanmelding blokkeren.

Een VPN-uitval na een Windows-update is daarom niet automatisch een bewijs van een NTLMv1-probleem. Ook het VPN-protocol, de authenticatieserver, certificaten, netwerktoegang en andere configuraties moeten bij het oplossen van problemen worden meegenomen.

Wat is MS-CHAPv2 en welke rol speelt het?

MS-CHAPv2 staat voor Microsoft Challenge Handshake Authentication Protocol Version 2. Het is een authenticatiemethode waarbij een systeem reageert op een uitdaging van de server met een cryptografisch berekend antwoord.

MS-CHAPv2 is niet hetzelfde als NTLMv1. Het zijn verschillende authenticatiemechanismen. Er is echter een beveiligingsgerelateerde verbinding tussen beide methoden.

Microsoft legt uit dat MS-CHAPv2 bij authenticatie de MD4-hash van het gebruikerswachtwoord gebruikt om te reageren op een challenge. Het resulterende antwoord is cryptografisch equivalent aan NTLMv1. Hierdoor kan er een vergelijkbaar aanvalsoppervlak bestaan, hoewel het eigenlijke NTLMv1-protocol al van het apparaat is verwijderd.

Dit verklaart waarom Microsoft het gebruik van de bijbehorende inloggegevens ook blokkeert. De beveiligingswijziging betreft niet MS-CHAPv2 als term of elk denkbaar gebruik van de methode als zodanig, maar het gebruik van de NTLMv1-afgeleide inloggegevens voor specifieke SSO-workflows.

Het Microsoft-artikel „Bracing for BlockNtlmv1SSO“ van 23 oktober 2026 legt dit cryptografische verband uit en beschrijft de mogelijke gevolgen voor VPN-, WLAN-, NPS- en RADIUS-omgevingen.

Ben ik als particuliere gebruiker getroffen?

Wie thuis met een gewone WLAN-router Windows 11 – Microsoft Windows Windows 11 gebruikt en verbinding maakt met het WLAN-wachtwoord, wordt normaal gesproken niet getroffen door deze specifieke wijziging. De beschreven problemen vereisen een speciale authenticatieconfiguratie.

Anders kan het eruitzien voor beheerde apparaten die bijvoorbeeld verbonden zijn met een bedrijfsnetwerk, een centraal beheerd WLAN of een correct geconfigureerde VPN.

Een belangrijke rol speelt bovendien Credential Guard. Dit is een Windows-beveiligingsfunctie die bepaalde inloggegevens beschermt met virtualisatiefuncties. Microsoft verklaart uitdrukkelijk dat de hier beschreven wijziging aan "nur auf Geräten greift, auf denen Credential Guard deaktiviert ist. Ist Credential Guard aktiviert, wird diese konkrete Änderung nicht wirksam." alleen van toepassing is op apparaten waarop Credential Guard is uitgeschakeld. Als Credential Guard is ingeschakeld, wordt deze specifieke wijziging niet van kracht. BlockNtlmv1SSO wordt alleen toegepast op apparaten waarop Credential Guard is uitgeschakeld. Als Credential Guard is ingeschakeld, wordt deze specifieke wijziging niet van kracht.

Dit betekent echter niet dat Credential Guard en de nieuwe NTLMv1-beschermingsmaatregel identiek zijn. Microsoft wijst er uitdrukkelijk op dat Credential Guard uitgebreidere bescherming biedt en raadt de activering ervan aan op ondersteunde platforms, mits aan de technische vereisten is voldaan.

Waarom kan de handmatige aanmelding nog steeds werken?

De wijziging heeft betrekking op de generatie van bepaalde NTLMv1-afgeleide inloggegevens voor Single Sign-On. SSO stelt Windows in staat om reeds bestaande inloggegevens automatisch te gebruiken voor verdere diensten of netwerkverbindingen.

Als deze automatische aanmeldingsmethode wordt geblokkeerd, kan het invoeren van de inloggegevens via de handmatige weg nog steeds werken. Dit is geen tegenstrijdigheid: bij handmatige aanmelding worden de inloggegevens direct opgevraagd, terwijl het betreffende SSO-proces afhankelijk is van de automatische verstrekking van de inloggegevens.

Microsoft bevestigt uitdrukkelijk dat het handmatig invoeren van inloggegevens ook in de afdwingmodus mogelijk blijft. Of een specifieke verbinding hiermee succesvol tot stand kan worden gebracht, hangt bovendien af van de betreffende authenticatieconfiguratie.

Bedrijven moeten vooral de bestaande authenticatieconfiguraties onderzoeken. Relevant zijn met name WLAN-, Ethernet- en VPN-toegangen die MS-CHAPv2 of daarop gebaseerde procedures gebruiken.

Bedrijven moeten vooral de bestaande authenticatieconfiguraties onderzoeken. Relevant zijn met name WLAN-, Ethernet- en VPN-toegangen die MS-CHAPv2 of daarop gebaseerde methoden gebruiken.

Microsoft stelt hiervoor monitoring- en gebeurtenislogboeken ter beschikking. Op de betreffende Windows-clients worden de gebeurtenissen in het logboek Microsoft-Windows-NTLM/Operational opgenomen.

Het gebeurtenislogboek kan worden geopend via het startmenu. Beheerders vinden het betreffende logboek onder "Toepassings- en servicelogboeken" in het gedeelte Microsoft-Windows-NTLM/Operational".

De gebeurtenissen bevatten onder andere informatie over de doelserver, de gebruiker, het proces en het gebruikte authenticatiemechanisme. Hierdoor kan worden achterhaald welke toepassing of verbinding de betreffende referenties aanvraagt.

Aanvullende bewaking op domeincontrollers

Voor bedrijven met Windows Server 2019 of Windows Server 2022 is er een verdere mogelijkheid om mogelijke MS-CHAPv2-afhankelijkheden te detecteren. Met de oktober-updates van 2026 zijn uitgebreide NTLM-bewakingsgebeurtenissen naar deze serverversies teruggepoort.

Bijzonder relevant is daarbij de gebeurtenis-ID 4033, die op een domeincontroller kan optreden wanneer een VPN-server een challenge-response doorstuurt om de referenties te verifiëren. Aan de hand van de gebeurtenisgegevens kan worden vastgesteld of het om een dergelijke MS-CHAPv2-bewerking gaat.

Deze bewaking op de domeincontroller moet worden onderscheiden van de blokkering aan clientzijde door BlockNtlmv1SSO . De uitgebreide gebeurtenissen helpen beheerders om bestaande afhankelijkheden te herkennen. Ze betekenen niet dat Windows Server 2019 of 2022 daardoor automatisch dezelfde clientblokkering krijgt.

Microsoft raadt aan om de NTLM-gebeurtenislogboeken van de domeincontrollers centraal te verzamelen en te evalueren. In grotere omgevingen kan hiervoor bijvoorbeeld een SIEM-systeem worden ingezet.

Checklist voor IT-beheerders

1. Controleren welke Windows-client- en serverversies in de omgeving worden gebruikt.
2. Vaststellen of de relevante beveiligingsupdates van oktober zijn geïnstalleerd.
3. Controleren of Credential Guard op de betreffende clients is geactiveerd.
4. De registratiewaarde BlockNtlmv1SSO en de configuratie ervan controleren.
5. De gebeurtenissen 4024 en 4025 in het NTLM-protocol van de clients onderzoeken.
6. Op domeincontrollers met Windows Server 2019 of 2022 aanvullend de uitgebreide audit-gebeurtenissen controleren, met name gebeurtenis-ID 4033.
7. WLAN-, Ethernet- en VPN-configuraties op MS-CHAPv2-afhankelijkheden onderzoeken.
8. Betrokken applicaties, authenticatieservers en netwerktoegangen documenteren.
9. Een overstap naar een geschikte alternatieve authenticatiemethode plannen en testen.

De gebeurtenis-ID's, registerconfiguratie en rollout-informatie zijn beschreven in de Microsoft-documentatie KB5066470 . De aanvullende monitoring op Server 2019 en 2022 wordt door Microsoft toegelicht in het artikel „Bracing for BlockNtlmv1SSO“".

Welke overgangsoplossing biedt Microsoft?

Als een bedrijf een kritieke afhankelijkheid van MS-CHAPv2 vaststelt en de authenticatie niet onmiddellijk kan omstellen, biedt Microsoft een tijdelijke compatibiliteitsoptie. Hiervoor kan de registratiewaarde BlockNtlmv1SSO op 0 worden ingesteld.

De waarde activeert de monitoringsmodus. Windows logt het gebruik van de betreffende inloggegevens nog steeds, maar blokkeert ze niet. Hierdoor kunnen de bijbehorende SSO-vereisten tijdelijk weer succesvol worden uitgevoerd.

Het relevante registratiepad luidt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

Binnen deze registersleutel wordt de DWORD-waarde (32-bit) BlockNtlmv1SSO aangemaakt of een bestaande waarde aangepast.

Voor de wijziging zijn beheerdersrechten vereist. Volgens Microsoft is na een wijziging van de waarde geen herstart van het apparaat nodig. De instelling wordt onmiddellijk van kracht.

Belangrijk: De waarde 0 is geen permanente beveiligingsoplossing. Het staat het gebruik van de getroffen aanmeldingsgegevens weer toe en vermindert daarmee de bescherming van de afgedwongen modus. Bedrijven zouden deze instelling alleen moeten gebruiken bij een bewezen kritieke afhankelijkheid, tijdelijk en met gedocumenteerde uitzondering.

De gebeurtenissen in de bewakingsmodus helpen bij het identificeren van de resterende afhankelijkheden. Zodra de getroffen authenticatiestromen zijn gemigreerd, moet de waarde weer worden ingesteld op 1 De gebeurtenissen in de bewakingsmodus helpen bij het identificeren van de resterende afhankelijkheden. Zodra de getroffen authenticatiestromen zijn gemigreerd, moet de waarde weer op "," worden ingesteld. Microsoft raadt uitdrukkelijk aan de bewakingsmodus alleen als een tijdelijke beveiligingsuitzondering te beschouwen.

Waarom raadt Microsoft een op certificaten gebaseerde authenticatie aan?

Op de lange termijn moeten bedrijven hun afhankelijkheid van MS-CHAPv2 elimineren en overschakelen op een geschikte alternatieve authenticatiemethode. Microsoft noemt in dit verband onder andere EAP-TLS als alternatief.

Bij EAP-TLS vindt de authenticatie plaats via digitale certificaten. Hierdoor vervalt de afhankelijkheid van de beschreven op wachtwoorden gebaseerde MS-CHAPv2-processen en de daarmee samenhangende, van NTLMv1 afgeleide aanmeldingsgegevens.

Een dergelijke overschakeling brengt echter voorbereidingen met zich mee in bedrijfsomgevingen. Daartoe kunnen een geschikte certificaatinfrastructuur, de implementatie en het beheer van clientcertificaten, evenals aanpassingen aan netwerktoegangen en authenticatieservers behoren.

De migratie moet daarom eerst in een testomgeving plaatsvinden. Vervolgens kunnen de getroffen WLAN-, Ethernet- en VPN-verbindingen stapsgewijs worden omgeschakeld. Vóór een brede implementatie moeten beheerders controleren of alle gebruikte apparaten, gebruikersaccounts en netwerkcomponenten de nieuwe methode ondersteunen.

Wat moeten particulieren en bedrijven nu doen?

Private users

• Installeer Windows-updates zoals gewoonlijk.
• Wijzig geen registerwaarden uit voorzorg.
• Schakel Credential Guard of andere beveiligingsfuncties niet zelfstandig uit.
• Controleer bij verbindingsproblemen eerst of ook andere apparaten zijn getroffen en of de internetverbinding in principe werkt.
• Neem bij een beheerd werkapparaat contact op met de IT-afdeling in plaats van zelf authenticatie-instellingen te wijzigen.

Kleine bedrijven

• Controleer of WLAN of VPN gebruikmaken van centrale authenticatie.
• Vraag de netwerkdienstverlener of IT-beheerder naar een mogelijke MS-CHAPv2-afhankelijkheid.
• Documenteer verbindingsproblemen na de oktober-update.
• Overweeg een tijdelijke terugkeer naar de bewakingsmodus alleen na technische controle en met een duidelijke tijdsbeperking.
• Bereid de overstap naar een geschikte alternatieve authenticatiemethode voor.

Grotere IT-omgevingen

• Evalueer de gebeurtenissen 4024 en 4025 centraal op de clients.
• Houd rekening met de uitgebreide NTLM-auditgebeurtenissen op domeincontrollers.
• Identificeer betrokken authenticatiestromen en afhankelijkheden.
• Voer de uitrol van de beveiligingsupdates gecontroleerd uit, zonder beveiligingsupdates algemeen uit te stellen.
• Documenteer en monitor tijdelijke uitzonderingen.
• Plan de overstap naar EAP-TLS en controleer deze in een testomgeving.
• Bereid helpdesk en gebruikers voor op mogelijke handmatige aanmeldingsverzoeken.

Conclusie: Geen algemene WLAN-uitval, maar wel actie vereist voor bedrijven

De NTLMv1-verscherping in Windows 11 is een gerichte beveiligingsmaatregel. Met de beveiligingsupdates van oktober 2026 blokkeert Windows standaard bepaalde NTLMv1-afgeleide aanmeldingen voor Single Sign-On. Dit kan in bedrijfsomgevingen leiden tot problemen met WLAN-, Ethernet- en VPN-verbindingen als deze gebaseerd zijn op dergelijke MS-CHAPv2-gebaseerde authenticatiestromen.

Voor gewone privé WLAN-verbindingen is er normaal gesproken geen reden tot zorg. Bedrijven moeten daarentegen hun authenticatieconfiguraties controleren, de gebeurtenislogboeken evalueren en bestaande MS-CHAPv2-afhankelijkheden stapsgewijs elimineren.

De door Microsoft gedocumenteerde terugkeer naar de bewakingsmodus kan op korte termijn helpen, maar mag slechts als beperkte overgangsoplossing worden ingezet. Op lange termijn wordt de overstap naar een geschikte certificaatgebaseerde methode zoals EAP-TLS aanbevolen.

Verdere Microsoft-documentatie

• Windows 11: Beveiligingsupdate van 13 oktober 2026 – KB5127648
• Windows Server 2025: Beveiligingsupdate van 13 oktober 2026 – KB5126646
• KB5066470: Beheer van NTLMv1-wijzigingen en voorkoming van netwerkauthenticatieproblemen
• Microsoft TechCommunity: Bracing for BlockNtlmv1SSO

Status: 6 november 2026