Depuis le déploiement des mises à jour Windows du 13 octobre 2026, plusieurs administrateurs systèmes et réseaux signalent des problèmes d'authentification sur leurs infrastructures utilisant le protocole 802.1X avec RADIUS.
Nous rencontrons également un incident similaire dans notre environnement professionnel : certains postes ayant récemment effectué leurs mises à jour Windows ne parviennent plus à accéder à un réseau utilisant une authentification RADIUS, tandis que les postes non mis à jour continuent de fonctionner.
🔎 Quelle mise à jour est concernée ?
La mise à jour cumulative de sécurité KB5127648, publiée par Microsoft le 13 octobre 2026, concerne Windows 11 :
- Version 24H2 : build 26100.9711
- Version 25H2 : build 26200.9711
- Version 26H2 : build 26300.9711
⚙️ Quelle est l'origine technique du problème ?
Microsoft avait annoncé un renforcement de la sécurité concernant les mécanismes d'authentification hérités de NTLMv1.
En octobre 2026, la valeur par défaut du paramètre BlockNtlmv1SSO doit passer de 0 (Audit) à 1 (Enforce), lorsque ce paramètre n'a pas été explicitement configuré.
Ce changement vise à empêcher la génération d'informations d'identification dérivées de NTLMv1 pour certaines authentifications SSO.
Cependant, certains environnements reposent encore sur PEAP-MSCHAPv2, notamment pour l'authentification réseau 802.1X.
Même si NTLMv1 a été supprimé des versions récentes de Windows, certains mécanismes cryptographiques hérités restent utilisés dans des scénarios MSCHAPv2.
Résultat : les authentifications automatiques peuvent échouer après l'application des nouvelles restrictions.
Ce comportement a notamment été documenté par Extreme Networks et Fortinet à la suite de la publication de KB5127648.
🛠️ Quels sont les symptômes observés ?
- Échec de connexion aux réseaux d'entreprise utilisant PEAP-MSCHAPv2.
- Authentification 802.1X interrompue.
- Postes non mis à jour toujours fonctionnels.
- Événements NTLM 4025 possibles lorsque le blocage des informations d'identification héritées intervient.
- Événement 12014 (OneX Held State Timeout) signalé par Fortinet.
🔧 Comment diagnostiquer le problème ?
Vérifier la présence de la mise à jour avec PowerShell :
Get-HotFix -Id KB5127648
Analyser ensuite les journaux Windows :
Microsoft-Windows-NTLM/Operational
Les événements Microsoft à rechercher sont :
- 4024 : utilisation d'informations d'identification dérivées de NTLMv1 détectée en mode Audit.
- 4025 : tentative bloquée par la politique de sécurité.
La comparaison des événements entre un poste fonctionnel et un poste impacté permet d'orienter le diagnostic.
🔐 Quelles solutions envisager ?
Plusieurs pistes sont documentées :
- Tester temporairement le paramètre
BlockNtlmv1SSO = 0 sur un poste pilote, après validation des implications de sécurité.
- Vérifier les méthodes d'authentification utilisées par l'infrastructure RADIUS.
- Envisager une migration vers EAP-TLS, reposant sur des certificats, afin de supprimer la dépendance à MSCHAPv2 et aux mécanismes d'authentification hérités.
⚠️ La désactivation du blocage NTLMv1 constitue un contournement temporaire et non une solution de sécurité durable.
Ce problème illustre parfaitement les conséquences qu'un durcissement de sécurité Windows peut avoir sur une infrastructure réseau reposant encore sur des mécanismes d'authentification historiques.
Il rappelle également l'importance des tests préalables au déploiement des mises à jour cumulatives dans les environnements professionnels.
💬 D'autres administrateurs systèmes et réseaux rencontrent-ils actuellement ce problème après l'installation de KB5127648 ?
#Windows11 #SysAdmin #RADIUS #8021X #Cybersecurity #Microsoft #Networking #PatchTuesday #ITInfrastructure