Si los equipos con Windows 11 dejaron de conectarse a tu Wi‑Fi corporativa después de los parches de mediados de octubre, o los usuarios de repente empezaron a ver solicitudes de credenciales que antes nunca veían, no eres el único. Después de la actualización de seguridad de Windows del 13 de octubre de 2026, muchos dispositivos unidos a dominio que usan PEAP-MSCHAPv2 con su inicio de sesión de Windows ya no pueden iniciar sesión automáticamente en la Wi‑Fi, en redes cableadas 802.1X o en VPN.
Este es un refuerzo de seguridad planificado por Microsoft. Microsoft anunció el cambio en agosto de 2025 como parte de su esfuerzo por retirar NTLM, y la actualización de octubre lo activó de forma predeterminada en los dispositivos que no se habían configurado de ninguna de las dos maneras.
Esta guía explica qué cambió, qué dispositivos se ven afectados, cómo confirmar que la actualización es la causa y cómo volver a conectar a los usuarios hoy mismo. También cubre la solución que se mantiene a largo plazo: pasar la autenticación de red de contraseñas a certificados con EAP-TLS.
Qué cambió la actualización de Windows de octubre de 2026
Microsoft eliminó el protocolo NTLMv1 de Windows 11 versión 24H2 y Windows Server 2025. Parte de la criptografía de NTLMv1 aún permanece en ciertos escenarios, especialmente: MS-CHAPv2, el método interno detrás de PEAP-MSCHAPv2 y EAP-MSCHAPv2, cuando se ejecuta en un entorno unido a un dominio.
Un valor del registro llamado BlockNtlmv1SSO controla si Windows permite que esas credenciales derivadas de NTLMv1 se utilicen para el inicio de sesión único. Un valor de 0 (modo de auditoría) permite la solicitud y registra una advertencia. Un valor de 1 (modo de aplicación) la bloquea y registra un error.
A partir de la actualización de seguridad del 13 de octubre de 2026, Windows trata la ausencia de un valor BlockNtlmv1SSO como modo de cumplimiento. La actualización no crea ni cambia el valor del registro. Cambia lo que hace Windows cuando el valor no está ahí, por eso tantas flotas se vieron sorprendidas aunque no cambió nada en Group Policy o Intune.
Solo está bloqueada la ruta de inicio de sesión único. Los usuarios que escriben su nombre de usuario y contraseña en el aviso aún pueden conectarse.
La implementación se produjo por fases. Los eventos de auditoría empezaron a aparecer en Windows 11 24H2 y versiones posteriores a finales de agosto de 2025, la implementación llegó a Windows Server 2025 en noviembre de 2025, y Enforce pasó a ser la opción predeterminada en octubre de 2026. Microsoft añadió una nota sobre el cambio en las notas de la versión KB5127648 el 15 de octubre, dos días después de que se publicara la actualización, por lo que los administradores que revisaron las notas el día del lanzamiento no la encontraron allí.
Versión de Windows | Actualización del 13 de octubre de 2026 | Compilación del sistema operativo |
Windows 11, versión 26H2 | KB5127648 | 26300.9711 |
Windows 11, versión 25H2 | KB5127648 | 26200.9711 |
Windows 11, versión 24H2 | KB5127648 | 26100.9711 |
Windows 11, versión 26H1 | KB5127646 | 28000.3231 |
Windows Server 2025 recibió el mismo cambio en KB5126646, publicada el mismo día.
A quién afecta (y a quién no)
Un dispositivo se ve afectado cuando se cumplen estas cuatro condiciones:
Ejecuta Windows 11 versión 24H2 o posterior, o Windows Server 2025, con la actualización de octubre de 2026 instalada.
Credential Guard no se está ejecutando.
No se ha establecido el valor de registro BlockNtlmv1SSO.
Su perfil de Wi-Fi, cableado o VPN usa MS-CHAPv2 con inicio de sesión único de inicio de sesión de Windows, como suelen hacerlo los perfiles PEAP-MSCHAPv2 y EAP-MSCHAPv2.
Los dispositivos con Credential Guard activado ya se encontraban en esta situación antes de octubre. Credential Guard bloquea por sí solo el inicio de sesión único de MS-CHAPv2, y está activado de forma predeterminada desde Windows 11 versión 22H2 en los dispositivos aptos con licencias Enterprise y Education, así como en algunas licencias Pro. El valor del registro no hace nada en esos dispositivos. En cualquier caso, el inicio de sesión único de PEAP en dispositivos Windows gestionados está llegando a su fin.
Tipo de conexión | ¿Te afecta la actualización de octubre? |
PEAP-MSCHAPv2 o EAP-MSCHAPv2 con inicio de sesión único de inicio de sesión de Windows | Sí, bloqueado |
PEAP-MSCHAPv2 con credenciales introducidas en el aviso | No, sigue conectándose |
EAP-TLS (basado en certificados) | No |
WPA2-Personal o WPA3-Personal (frase de contraseña compartida) | No |
dispositivos macOS, iOS, Android, Linux y ChromeOS | No, el cambio está solo en Windows |
El bloqueo se produce en el dispositivo Windows, antes de que una respuesta de autenticación llegue siquiera al servidor RADIUS. Por eso, los registros de RADIUS a menudo no muestran nada útil durante estos fallos, y por eso ninguna configuración del lado del servidor restablece el inicio de sesión único.
Cómo confirmar que la actualización es la causa
Antes de cambiar cualquier configuración, confirma que la actualización de octubre es lo que está bloqueando la conexión. Estas comprobaciones llevan unos minutos en un dispositivo afectado:
Comprueba si la actualización está instalada. Ve a Settings > Windows Update > Historial de actualizaciones y busca KB5127648, o ejecuta winver y compara el número de compilación con la tabla de arriba.
Abre el Visor de eventos y ve a Applications and Services Logs > Microsoft > Windows > NTLM > Operational.
Busca el ID de evento 4025 (Error) en el momento en que falló la conexión. Su texto dice: "Se bloqueó un intento de usar credenciales derivadas de NTLMv1 para inicio de sesión único debido a la política."
Comprueba el perfil de red. Si usa PEAP-MSCHAPv2 con "Automatically use my Windows logon name and password" seleccionado, ya has encontrado la causa.
También merece la pena comprobar el ID de evento 4024. Es la advertencia del modo de auditoría en el mismo registro, y en los dispositivos que aún no han instalado la actualización de octubre, marca las máquinas que dejarán de funcionar cuando lo hagan. Recopilar los eventos 4024 y 4025 en toda tu flota te da un inventario de todos los dispositivos y perfiles que todavía dependen del inicio de sesión único de PEAP, que necesitarás para la migración más adelante en esta guía.
La solución temporal a corto plazo y por qué solo es temporal
Hay algunas formas de volver a conectar a los usuarios mientras planeas una solución duradera. Cada una te da tiempo y mantiene la dependencia subyacente.
Configura BlockNtlmv1SSO en 0
Configurar BlockNtlmv1SSO en 0 vuelve a poner explícitamente el dispositivo en modo de auditoría, lo que restaura el inicio de sesión único de PEAP-MSCHAPv2 mientras mantiene instalada la actualización de seguridad de octubre. No es necesario reiniciar.
Configuración | Relación calidad-precio |
Ruta del registro | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 |
Nombre del valor | BlockNtlmv1SSO |
Escriba | REG_DWORD |
Datos | 0 = Auditoría (permitido y registrado), 1 = Aplicar (bloqueado) |
A gran escala, implementa el valor mediante un elemento del registro de Preferencias de directiva de grupo o un script de corrección de Intune. Planifica una forma de acceder a los dispositivos que ya están fuera de la red, como un puerto con cable, una red de invitados o un inicio de sesión con credenciales escritas, ya que no pueden recibir la directiva hasta que vuelvan a conectarse. La configuración no tiene efecto en los dispositivos donde se está ejecutando Credential Guard.
Microsoft describe el modo Audit como algo que "solo debería considerarse una excepción de seguridad temporal y de alcance limitado", porque reduce la protección que proporciona el modo Enforce. Limítalo a los dispositivos que lo necesiten, establece una fecha de finalización y hazle seguimiento como a cualquier otro riesgo abierto.
Haz que los usuarios escriban sus credenciales
Los usuarios pueden olvidar la red guardada y volver a conectarse introduciendo su nombre de usuario y contraseña cuando se les solicite. Funciona sin ningún cambio de configuración, pero añade fricción para todos los usuarios, no ayuda a los dispositivos que necesitan acceso a la red en la pantalla de inicio de sesión y mantiene las contraseñas en la ruta de inicio de sesión de la red.
Por qué desinstalar la actualización es una mala opción
Desinstalar KB5127648 restaura la configuración predeterminada anterior, pero también elimina las correcciones de seguridad de ese mes. Las actualizaciones acumulativas posteriores incorporan el mismo cambio, por lo que el problema reaparece la próxima vez que el dispositivo se actualiza. Microsoft documenta el valor del registro como la ruta de excepción compatible.
Por qué MS-CHAPv2 se está retirando, en Windows y más allá
La solución alternativa del registro mantiene PEAP-MSCHAPv2 en funcionamiento, pero el protocolo que conserva tiene debilidades bien documentadas, y la presión para retirarlo viene de más de una dirección.
Las debilidades detrás del cambio
Las propias directrices de Microsoft indican que los endpoints de Wi‑Fi y VPN basados en MS-CHAPv2 están sujetos a ataques similares a los dirigidos contra NTLMv1. Los principales problemas están bien documentados:
Se basa en un hash de contraseña heredado. La respuesta MS-CHAPv2 se construye a partir de un hash MD4 de la contraseña del usuario mediante el mismo diseño de desafío-respuesta basado en DES que NTLMv1, por lo que Windows lo trata como una credencial derivada de NTLMv1.
Se vulneró públicamente en 2012. En DEF CON 20, los investigadores Moxie Marlinspike y David Hulton demostraron que un intercambio MS-CHAPv2 capturado puede reducirse a descifrar una sola clave DES de 56 bits, con una tasa de éxito del 100 % independientemente de la fortaleza de la contraseña.
Su protección depende de que cada cliente esté configurado correctamente. PEAP encapsula MS-CHAPv2 en un túnel TLS, pero solo los clientes que validan el certificado del servidor RADIUS obtienen esa protección. Un cliente que omite la validación puede ser engañado para autenticarse en un punto de acceso evil twin que captura el intercambio.
Sigue siendo una contraseña. Las contraseñas pueden ser objeto de phishing, compartirse y reutilizarse, y cada restablecimiento o caducidad puede desconectar un dispositivo de la red hasta que el usuario vuelva a iniciar sesión.
El protocolo en sí es lo siguiente
Microsoft está restringiendo MS-CHAPv2 en el lado del cliente. El organismo de estándares que mantiene RADIUS está trabajando en el lado del protocolo.
El borrador actual del grupo de trabajo RADEXT del IETF, "Deprecating Insecure Practices in RADIUS,", incluye una sección que deja oficialmente obsoleto MS-CHAP. Ese mismo borrador deja obsoleto RADIUS sobre UDP y TCP fuera de redes seguras y recomienda transportes seguros como RadSec (RADIUS sobre TLS). Sigue siendo un trabajo en curso, pero muestra hacia dónde se dirigen los estándares de seguridad de RADIUS. Para obtener contexto sobre el lado del transporte, consulta nuestra comparativa de RADIUS frente a RadSec.
Establecer BlockNtlmv1SSO en 0 no aborda ninguna de las dos tendencias. Abandonar MS-CHAPv2 aborda ambas.
La solución permanente: migrar los dispositivos Windows a EAP-TLS
Microsoft recomienda cambiar las conexiones Wi-Fi y VPN de MS-CHAPv2 a la autenticación basada en certificados, como EAP-TLS o PEAP-TLS. Para la mayoría de las organizaciones, EAP-TLS es la vía más directa.
Por qué EAP-TLS no se ve afectado
EAP-TLS autentica el dispositivo o usuario con un certificado y una clave privada. No interviene ninguna contraseña y Windows no necesita una credencial de inicio de sesión guardada, por lo que el cambio BlockNtlmv1SSO nunca se aplica. Credential Guard tampoco bloquea la autenticación basada en certificados.
El cambio también resuelve problemas que PEAP-MSCHAPv2 siempre ha tenido:
No hay ninguna contraseña que se pueda robar con phishing, descifrar sin conexión o capturar con un punto de acceso gemelo malicioso.
Un certificado de dispositivo permite que un portátil se conecte en la pantalla de inicio de sesión, antes de que alguien inicie sesión.
Los restablecimientos y las caducidades de contraseñas ya no desconectan los dispositivos del Wi-Fi.
El mismo enfoque basado en certificados funciona para Wi‑Fi, 802.1X por cable y VPN.
Cómo migrar sin tiempo de inactividad
PEAP y EAP-TLS pueden funcionar en paralelo durante la transición, para que los dispositivos puedan pasar en grupos en lugar de todos a la vez. Estos pasos funcionan con cualquier proveedor de identidad y cualquier plataforma de MDM:
Crea un inventario. Usa los eventos 4024 y 4025 para enumerar los dispositivos afectados y los perfiles de red que usan. Separa los dispositivos gestionados por la empresa de los personales y no gestionados, ya que recibirán los certificados de forma diferente.
Decide cómo se emitirán los certificados. Una autoridad de certificación local, como Active Directory Certificate Services, es una opción. Una autoridad de certificación alojada en la nube elimina la necesidad de administrar esa infraestructura por tu cuenta.
Entrega certificados a los dispositivos gestionados. Usa el perfil de certificado SCEP de tu MDM, ya sea Microsoft Intune, Jamf, Workspace ONE, Kandji o Google Admin para Chromebooks.
Ofrece a los dispositivos no gestionados y BYOD (tráete tu dispositivo) una vía de autoservicio. Un flujo de inscripción que instala el certificado y el perfil de red permite a los usuarios incorporar sus propios dispositivos sin abrir un ticket de TI.
Configura tu servidor RADIUS para que acepte EAP-TLS junto con PEAP durante la transición.
Implementa un perfil de red EAP-TLS. Configúralo para validar el certificado del servidor RADIUS mediante la raíz de confianza y el nombre del servidor.
Haz una prueba piloto con un equipo o una ubicación. Confirma que los dispositivos se conectan en la pantalla de inicio de sesión y permanecen conectados después de un cambio de contraseña.
Implementa por fases según el departamento, la ubicación o el grupo de dispositivos.
Retira PEAP. Elimina el perfil antiguo de los dispositivos, borra cualquier excepción de BlockNtlmv1SSO y desactiva MS-CHAPv2 en el servidor RADIUS.
Los Mac, teléfonos y Chromebooks no se ven afectados por la actualización de octubre, pero si tu objetivo es retirar PEAP de la red por completo, también necesitarán certificados. Nuestra guía sobre Wi‑Fi basada en certificados para Chromebooks gestionados cubre la parte de ChromeOS.
Cómo te ayuda Foxpass a dejar PEAP-MSCHAPv2
Foxpass, de Splashtop, proporciona autenticación RADIUS alojada en la nube para Wi-Fi, VPN y redes cableadas, junto con una PKI en la nube para emitir certificados de dispositivos y usuarios. Juntos, Foxpass Cloud RADIUS y Foxpass Cloud PKI cubren cada etapa de la migración anterior sin necesidad de servidores on-premises que configurar o mantener.
Emisión de certificados sin infraestructura local: Foxpass Cloud PKI actúa como tu autoridad de certificación, y Foxpass Cloud RADIUS valida el certificado en cada intento de conexión.
Entrega de certificados a través del MDM que ya usas: Los dispositivos gestionados reciben certificados a través del endpoint SCEP de Foxpass desde Microsoft Intune, Jamf, Kandji, Addigy, Workspace ONE, Mosyle, NinjaOne y Google Admin para Chromebooks. Los equipos que gestionan endpoints Windows con Splashtop AEM también pueden entregar certificados a través de Splashtop AEM.
Acceso vinculado al proveedor de identidad que ya usas: Foxpass sincroniza usuarios y grupos de Microsoft Entra ID, Google Workspace, Okta y OneLogin, para que el acceso a la red siga el mismo directorio que todo lo demás. Abordamos con más detalle la parte de Okta y Google Workspace en la autenticación basada en certificados para Okta y Google Workspace.
Una ruta de autoservicio para BYOD (tráete tu dispositivo) y dispositivos no gestionados: El instalador de certificados BYOD de Foxpass permite a los usuarios registrar por sí mismos dispositivos Mac, Windows, iOS, Android y Chromebook.
Acceso que termina cuando alguien se va: Como un certificado puede incluir la dirección de correo electrónico del usuario o el ID del dispositivo, Foxpass puede confirmar en el momento de la conexión que el usuario o dispositivo sigue activo en tu directorio.
Una transición gradual: Foxpass Cloud RADIUS admite EAP-TLS y EAP-TTLS en paralelo, para que puedas migrar dispositivos a certificados por fases.
Tráfico RADIUS cifrado: Foxpass es compatible con RadSec, que protege el tráfico de autenticación entre tus puntos de acceso y el servidor RADIUS con TLS.
Obtén más información sobre el acceso a Wi-Fi y VPN sin contraseña con Foxpass.
Abandona PEAP definitivamente con Wi‑Fi basado en certificados
La configuración BlockNtlmv1SSO puede hacer que los usuarios de Windows 11 vuelvan a conectarse hoy mismo, pero mantiene el inicio de sesión de tu red vinculado a un protocolo del que Microsoft recomienda alejarse, y que la IETF está avanzando para desaprobar a nivel de protocolo. La autenticación basada en certificados elimina esa dependencia, para que el futuro refuerzo de seguridad de Windows no se convierta en otra oleada de tickets de Wi‑Fi.
Foxpass Cloud RADIUS y Foxpass Cloud PKI te permiten dar ese paso con el identity provider y MDM que ya utilizas. Comienza una prueba gratuita o programa una demo para ver cómo Foxpass encaja en tu entorno.
