Windows : contrôler les accès SSO MS-CHAPv2 après le durcissement d’octobre
Depuis les mises à jour du 13 octobre 2026, le défaut interne passe à Enforce lorsque Credential Guard est désactivé et BlockNtlmv1SSO absent. Les accès SSO Wi-Fi, Ethernet ou VPN utilisant MS-CHAPv2 doivent être contrôlés.
- Impact
- Windows 11 24H2, 25H2, 26H1, 26H2 et Windows Server 2025, avec Credential Guard désactivé et BlockNtlmv1SSO absent.
- Action
- Rapprocher les échecs SSO des événements NTLM 4025 et traiter les dépendances ; limiter toute exception Audit.
- Statut
- À tester
Un changement désormais livré
La KB5066470 confirme le changement livré le 13 octobre 2026. Lorsque Credential Guard est désactivé et BlockNtlmv1SSO absent, Windows utilise désormais Enforce (1) au lieu d’Audit (0). La mise à jour ne crée ni ne modifie cette valeur de registre. La source couvre Windows 11 24H2, 25H2, 26H1, 26H2 et Windows Server 2025. Son historique du 19 octobre ajoute explicitement 26H1 : le périmètre ne doit plus être déduit de l’ancienne formulation « 24H2 et ultérieurs ». La KB5127648 recoupe le changement pour 24H2/25H2/26H2.
Distinguer SSO et authentification générale
Le changement bloque la génération d’identifiants dérivés de NTLMv1 pour certains flux de Single Sign-On, notamment MS-CHAPv2 sur Wi-Fi, Ethernet et VPN. Il ne signifie pas une désactivation générale de NTLM. Microsoft précise que la saisie manuelle des identifiants reste possible en Enforce. Les appareils protégés par Credential Guard ne sont pas affectés par ce changement de défaut ; cela ne prouve pas que tous leurs scénarios réseau sont compatibles avec Credential Guard.
Contrôler les flux avant d’élargir
Sur les appareils concernés, examiner Microsoft-Windows-NTLM/Operational : 4024 correspond à l’audit et 4025 au blocage. Rapprocher l’heure, le processus et la cible de l’événement d’un échec utilisateur reproductible. Vérifier la version Windows et la stratégie réellement appliquée, pas seulement la présence d’une mise à jour approuvée. Rejouer les connexions Wi-Fi, filaires et VPN représentatives, notamment après ouverture de session et reprise de veille. Poursuivre l’élargissement uniquement lorsque les usages métier sont validés. Un échec SSO lié à ce durcissement et un incident Always On VPN nécessitent des diagnostics distincts.
Encadrer les exceptions
Microsoft documente Audit comme exception temporaire pour une dépendance critique qui ne peut pas être migrée immédiatement. Cette exception réduit la protection : lui attribuer un responsable, un périmètre limité et une échéance de suppression. Ne pas l’étendre à tout le parc pour contourner un incident isolé. Préparer la migration des flux concernés vers une authentification adaptée, notamment par certificat lorsque le scénario le permet. La KB précise que le réglage et les événements restent pris en charge pendant le cycle normal des versions concernées ; ne pas inventer une date de suppression de la clé. Aucun changement de stratégie ni test de poste n’a été exécuté pour cet article.