El parche de octubre de Windows puede cortar el Wi-Fi y la VPN de la oficina: qué cambió
Si en tu empresa la PC dejó de conectarse sola al Wi-Fi de la oficina, a la red por cable o a la VPN después de las actualizaciones de esta semana, puede que no sea el router. La actualización de seguridad de Windows del 13 de octubre de 2026 cambió una regla de autenticación: en Windows 11 24H2, 25H2 y 26H2 y en Windows Server 2025, en equipos sin Credential Guard y si un administrador no la configuró de antemano, Windows ahora bloquea por defecto que se usen credenciales derivadas de NTLMv1 para la entrada automática (lo que Microsoft llama Single Sign-On, SSO). Y Microsoft avisa que eso puede afectar conexiones Wi-Fi, Ethernet y VPN que se autentican con MS-CHAPv2.
El detalle que hace a esta noticia: el cambio no figuraba en las notas de la actualización cuando salió. Microsoft lo agregó a las notas de KB5127648 (Windows 11) y de KB5126646 (Windows Server 2025) recién el 15 de octubre, según el registro de cambios de esas páginas; un día antes había actualizado su artículo de soporte sobre NTLMv1, el KB5066470, para remarcar el impacto en Wi-Fi, Ethernet y VPN. La letra chica llegó después que el paquete. Le toca sobre todo a pymes y empresas con redes que piden el usuario y la contraseña de Windows para conectarse, y en especial a las que usan Windows 11 Pro, por un motivo que explicamos más abajo.
Qué hacer hoy: el alivio inmediato es gratis. Según Microsoft, escribir el usuario y la contraseña a mano sigue funcionando; lo que se bloquea es solo la entrada automática. Si administrás los equipos, el registro de eventos te dice si es esto, y para una conexión crítica hay una excepción temporal (los pasos, abajo) mientras migrás a autenticación con certificados. No desinstales el parche de octubre: trae el arreglo de una vulnerabilidad que ya se usaba en ataques (lo contamos en el Patch Tuesday de octubre). Si en tu casa te conectás al Wi-Fi con la clave del router, esto no va con vos (lectura nuestra: esa clave compartida no usa MS-CHAPv2).
Qué cambió exactamente
Microsoft venía preparando este paso desde 2025, y lo explica en el KB5066470. Las actualizaciones de agosto de 2025 sumaron una clave de registro, BlockNtlmv1SSO, con dos valores: 0 (auditoría), que registra el uso de estas credenciales pero lo deja pasar, y 1 (bloqueo), que lo impide. Mientras la clave no existiera, Windows se comportaba como en auditoría.
Desde la actualización del 13 de octubre de 2026, si la clave no existe, Windows se comporta como en bloqueo. La actualización no crea ni modifica la clave: cambia lo que pasa cuando falta. Microsoft da como ejemplos de lo que usa estas credenciales las redes Wi-Fi, Ethernet y VPN con autenticación MS-CHAPv2, incluidas PEAP-MSCHAPv2 y EAP-MSCHAPv2, una configuración común en redes de oficina que piden usuario y contraseña (lectura nuestra). Según las notas de la actualización, el cambio aplica solo en equipos con Credential Guard desactivado y sin la clave configurada.
Por qué le pega más a Windows 11 Pro
La condición de Credential Guard es la clave para saber si te toca. Credential Guard es una función de seguridad que aísla las credenciales del sistema, y desde Windows 11 22H2 viene activada por defecto en los equipos que cumplen los requisitos de licencia y de hardware. Pero según la tabla de ediciones de Microsoft, Windows Pro no la soporta: está en Enterprise y Education. O sea que en una PC con Windows 11 Pro —la edición típica de una pyme— Credential Guard normalmente está apagado, y el bloqueo nuevo aplica si nadie configuró la clave. Microsoft aclara una excepción: algunos equipos Pro que antes tuvieron Credential Guard activo, por ejemplo porque tenían Enterprise, pueden conservarlo.
En los equipos Enterprise o Education con Credential Guard funcionando, en cambio, esto no es nuevo: la documentación de Credential Guard ya explicaba que, con la función activa, la entrada automática con NTLMv1 y MS-CHAP queda bloqueada, y que las redes 802.1X inalámbricas o cableadas y las VPN que dependen de esos protocolos obligan a escribir la contraseña en cada sesión. Lo de octubre extiende un bloqueo parecido a los equipos que no tienen Credential Guard.
| Tu equipo | Qué pasa desde el parche de octubre |
|---|---|
Windows 11 24H2, 25H2 o 26H2, o Server 2025, sin Credential Guard y sin la clave BlockNtlmv1SSO | Pasa a bloqueo: la entrada automática con credenciales derivadas de NTLMv1 se bloquea. Es el caso típico de Windows 11 Pro. |
| Con Credential Guard activo (Enterprise o Education) | El cambio no aplica; esa entrada automática ya estaba bloqueada por Credential Guard. |
| Con la clave en 0 | Sigue en auditoría: se registra el evento 4024 y la conexión pasa. |
| Con la clave en 1 | Bloqueo, igual que antes del parche: ya lo tenías elegido. |
| Windows 11 26H1 | Sus notas de octubre (KB5127646) no mencionan el cambio al 15 de octubre. |
| Windows 11 23H2, Windows 10, o Windows Server 2022 y anteriores | El KB5066470 no los menciona: habla de Windows 11 24H2 o posterior y de Windows Server 2025. |
Qué hacer si se te cortó la conexión
- Salí del paso escribiendo las credenciales. Si la red o la VPN te dan la opción de ingresar usuario y contraseña, hacelo: Microsoft dice que la carga manual sigue funcionando con el bloqueo activo.
- Confirmá la causa. En el Visor de eventos (
eventvwr.msc), andá a Registros de aplicaciones y servicios › Microsoft › Windows › NTLM › Operational. El evento 4025 («An attempt to use NTLMv1-derived credentials for Single Sign-On was blocked due to policy») indica que lo bloqueó esta regla. - Excepción temporal, solo si la conexión es crítica. En esta ruta del registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0creá el valorBlockNtlmv1SSOde tipo REG_DWORD con dato 0. Según Microsoft, no hace falta reiniciar. Desde una consola de administrador, el comando estándar de Windows para eso es este (la línea es nuestra, con los datos que publica Microsoft):reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f - Planificá la salida definitiva. Es la que Microsoft recomienda en su documentación de Credential Guard: pasar las conexiones Wi-Fi y VPN de MS-CHAPv2 (como PEAP-MSCHAPv2 o EAP-MSCHAPv2) a autenticación con certificados (como PEAP-TLS o EAP-TLS). Se configura en el servidor de autenticación de tu red y en los equipos; si te lo maneja un proveedor, es la pregunta para hacerle esta semana.
El costo de la excepción, que Microsoft dice sin vueltas: volver a auditoría reduce la protección y debería usarse solo como una excepción acotada y temporal mientras se resuelve la dependencia. Aplicala en los equipos que la necesitan, no en toda la flota, y anotate sacarla cuando migres.
De dónde viene esto
NTLMv1 es una versión vieja del protocolo de autenticación NTLM, y Microsoft lo viene apagando por partes. En septiembre contamos que, según la propia Microsoft, NTLMv1 ya había quedado bloqueado desde Windows 11 24H2 y Windows Server 2025. Lo de octubre cierra otra puerta: la de usar credenciales derivadas de NTLMv1 para entrar sin escribir la contraseña. Microsoft lo presenta como una mejora de seguridad, no como una falla, y su documentación de Credential Guard explica por qué: las conexiones Wi-Fi y VPN basadas en MS-CHAPv2 están expuestas a ataques similares a los de NTLMv1.
Lo que no está: al momento de escribir, el panel de estado de Windows (release health) de 24H2, 25H2 y Server 2025 no lo lista como problema conocido; Microsoft lo documentó como nota de la actualización. Tampoco anunció que vaya a revertirlo.
Preguntas que quedan
- ¿Escribiendo la contraseña a mano me puedo conectar? Sí, según el KB5066470: con el bloqueo activo, cargar las credenciales a mano sigue funcionando. Lo que deja de andar es la entrada automática con la sesión de Windows. Es un parche para salir del paso, no una solución para toda la oficina.
- ¿Microsoft lo va a corregir en un próximo parche? No lo presenta como una falla sino como un refuerzo de seguridad, y no anunció ninguna marcha atrás. La decisión de fondo queda de tu lado: excepción temporal ahora, certificados después.
- ¿Activar Credential Guard lo arregla? No: Credential Guard también bloquea esa entrada automática. Y en Windows 11 Pro normalmente no está disponible.
Fuentes
- Microsoft Support, notas de la actualización del 13 de octubre de 2026 KB5127648 (Windows 11 24H2, 25H2 y 26H2), nota «[Authentication]» agregada el 15 de octubre según su registro de cambios (en inglés).
- Microsoft Support, notas de la actualización del 13 de octubre de 2026 KB5126646 (Windows Server 2025), con la misma nota agregada el 15 de octubre (en inglés).
- Microsoft Support, KB5066470, «Manage changes to NTLMv1 and prevent network issues in Windows 11 and Windows Server 2025»: clave, modos, eventos, cronograma, excepción temporal y preguntas frecuentes, actualizado el 14 de octubre (en inglés).
- Microsoft Learn, «Credential Guard overview»: activación por defecto y ediciones compatibles (en inglés).
- Microsoft Learn, «Considerations and known issues when using Credential Guard»: Wi-Fi, VPN y redes 802.1X con MS-CHAPv2 (en inglés).
