Windows 11 interrompe autenticação 802.1X após mudança de segurança da Microsoft
A atualização cumulativa KB5127648, distribuída em 13 de outubro de 2026 para Windows 11 24H2, 25H2 e 26H2, pode impedir que alguns computadores se conectem automaticamente a redes corporativas. O problema afeta ambientes que usam autenticação 802.1X com PEAP-MS-CHAPv2 e aproveitam as credenciais da sessão do Windows para o logon único (SSO). As conexões atingidas podem ser Wi-Fi, Ethernet ou VPN.
A mudança não foi causada por uma falha específica no Cisco Identity Services Engine (ISE) nem indica, por si só, defeito no servidor RADIUS. O comportamento decorre de uma alteração de segurança no Windows: a geração de credenciais derivadas de NTLMv1 para SSO passou a ser bloqueada por padrão em determinadas configurações.
O que mudou no Windows
A KB5127648 alterou o padrão associado à configuração `BlockNtlmv1SSO`. Antes da atualização, quando essa opção não havia sido definida explicitamente, o Windows operava em modo de auditoria: permitia o uso das credenciais relacionadas ao NTLMv1 e podia registrar avisos. Após a instalação do pacote, o padrão passou ao modo de imposição, que impede a geração dessas credenciais para autenticação única.
A alteração pode afetar dispositivos com o Credential Guard desativado e sem uma definição explícita dessa configuração. O objetivo da Microsoft é reduzir a dependência de mecanismos antigos de autenticação, considerados inadequados para os requisitos atuais de proteção de credenciais. A interrupção acontece, porém, quando a rede corporativa ainda depende desse método legado para conectar os computadores.
Por que a conexão 802.1X falha
O padrão 802.1X controla quais dispositivos podem acessar redes cabeadas e sem fio. Nesse processo, o computador solicita a conexão, enquanto um switch ou ponto de acesso atua como intermediário. Um servidor RADIUS – que pode ser integrado ao Cisco ISE ou a outras soluções de controle de acesso – verifica as credenciais e aplica a política definida pela organização.
Em muitas redes, o PEAP cria um túnel protegido por TLS e utiliza o MS-CHAPv2 para validar o usuário ou o computador. Para simplificar a experiência, o Windows pode fornecer automaticamente credenciais associadas à sessão do domínio, sem pedir que a pessoa digite a senha outra vez. É nesse reaproveitamento automático, ligado a um mecanismo antigo, que surge a incompatibilidade.
Quando o Windows deixa de gerar as credenciais necessárias, a negociação pode não chegar ao fim. Dependendo da configuração, a solicitação pode nem alcançar o servidor RADIUS. Em outros casos, o sistema de controle de acesso apenas registra que o cliente parou de responder. Por isso, consultar somente os registros do Cisco ISE pode não revelar o ponto inicial da falha.
Entre os eventos observados por administradores está o código 12014, relacionado ao tempo limite de OneX Held State, além de erros internos de autenticação. Testes em alguns ambientes indicaram que a remoção da atualização restabeleceu a conectividade e que a reinstalação fez o problema reaparecer. Esses resultados não significam que todas as redes 802.1X ou todos os computadores com Windows 11 sejam afetados: o impacto depende da combinação entre política, método de autenticação e configuração do dispositivo.
Comportamento semelhante também foi descrito em instalações que usam FortiNAC e outros servidores RADIUS integrados ao Active Directory, assim como em ambientes atendidos por soluções da Extreme Networks. A variedade de plataformas afetadas aponta para o cliente Windows e sua dependência de credenciais legadas, e não para um problema exclusivo de um fabricante de infraestrutura.
Como as equipes de TI devem agir
O primeiro passo é delimitar o impacto. A equipe deve identificar quais computadores receberam a KB5127648, comparar o início das falhas com a data de instalação e verificar se os dispositivos afetados usam PEAP-MS-CHAPv2 com SSO. Também é importante separar os casos de falha de autenticação de problemas de cobertura Wi-Fi, configuração de certificados ou indisponibilidade do servidor RADIUS.
A análise deve combinar registros do Windows com os do servidor RADIUS e dos pontos de acesso ou switches. Essa correlação ajuda a descobrir se a tentativa chega à infraestrutura e em que etapa é interrompida. Eventos de timeout, por exemplo, são uma pista, mas não provam isoladamente que a atualização seja a causa.
Em situações de impacto amplo, uma reversão controlada da atualização pode ser considerada como medida temporária, desde que a organização avalie os riscos de segurança e acompanhe a decisão. Não é recomendável transformar a desinstalação do pacote em solução permanente: além de adiar correções importantes, isso mantém a rede dependente de um método que está sendo descontinuado.
A configuração `BlockNtlmv1SSO` também deve ser avaliada com cautela. Alterar políticas para restaurar um comportamento antigo pode reabrir a dependência de credenciais menos seguras. Antes de qualquer mudança, é essencial testar o efeito em um grupo limitado de dispositivos, documentar a exceção e definir prazo e plano para removê-la. A decisão deve considerar tanto a continuidade operacional quanto a política de segurança da organização.
Migração para EAP-TLS
A solução estrutural é planejar a substituição do PEAP-MS-CHAPv2 por métodos mais robustos, como EAP-TLS. Nesse modelo, a autenticação utiliza certificados digitais, em vez de depender de senhas transmitidas por mecanismos legados. A mudança reduz a exposição a ataques contra credenciais e se alinha melhor à estratégia de modernização da autenticação no Windows.
A migração exige preparar a emissão, a renovação e a revogação de certificados, além de garantir que os computadores recebam os certificados corretos antes de depender deles para acessar a rede. Também é necessário configurar o RADIUS para validar certificados, distribuir os perfis 802.1X e testar a conexão em diferentes tipos de dispositivo e locais.
Uma implantação gradual diminui o risco de bloquear equipes inteiras. A organização pode começar com um grupo piloto, acompanhar falhas de autenticação e ajustar políticas antes de ampliar a mudança. É prudente manter uma alternativa de acesso para suporte e recuperação, especialmente em dispositivos que dependam da rede para receber novas configurações.
A KB5127648 evidencia um problema operacional recorrente: uma alteração de segurança pode interromper serviços quando a infraestrutura ainda depende de tecnologias antigas. O caminho mais seguro é identificar essa dependência, preservar a conectividade durante a transição e avançar para uma autenticação baseada em certificados. Assim, a rede reduz a dependência de credenciais legadas sem transformar uma atualização de segurança em uma interrupção prolongada.