Windows Server 2025 refuerza NTLMv1: revise VPN, Wi-Fi y MS-CHAPv2

Edición del 26 de octubre de 2026. Análisis de anuncios de Microsoft publicados anteriormente en octubre.

Endurecimiento de NTLMv1 y autenticación de red

Microsoft advirtió el 14 de octubre que las actualizaciones de octubre de 2026 restringen por defecto ciertas credenciales derivadas de NTLMv1 en Windows Server 2025 y versiones recientes de Windows 11, particularmente cuando Credential Guard no está habilitado. Algunas conexiones Wi-Fi, Ethernet o VPN con MS-CHAPv2 podrían experimentar fallos de inicio de sesión único.

Procedimiento de diagnóstico sin debilitar la seguridad

1. Catalogue servidores NPS/RADIUS, perfiles VPN, clientes inalámbricos y métodos EAP empleados.
2. Exporte el estado de las GPO relevantes con Get-GPOReport -All -ReportType HTML -Path C:\Temp\reporte-gpo.html desde un equipo autorizado con RSAT.
3. Inspeccione los registros de Network Policy and Access Services y los eventos de autenticación para identificar los equipos afectados; compare casos antes y después de parchear.
4. Revise las configuraciones de autenticación de las políticas NPS y clientes. Planifique la migración a EAP-TLS con certificados administrados cuando sea viable.
5. Pruebe el acceso VPN, Wi-Fi y Ethernet con una OU o grupo piloto antes del despliegue general.
6. Documente clientes obsoletos y excepciones con fecha de retiro; no reactive NTLMv1 indiscriminadamente.

Cómo usar GPO en la transición

Utilice GPMC para distribuir parámetros compatibles de autenticación y certificados a equipos de prueba. Compruebe resultados con gpresult /r y valide la cadena de confianza del certificado antes de una migración general.

Validaciones finales

Pruebe cambios en laboratorio, documente el estado previo y disponga de respaldo y reversión. Adapte comandos, permisos y políticas a su infraestructura.

Fuente Microsoft: Centro de mensajes de Windows.