Windows 11 pode interromper autenticação 802.1X após mudança de segurança da Microsoft
Uma alteração de segurança do Windows 11 passou a impedir a conexão automática de alguns computadores a redes corporativas. O problema pode afetar Wi-Fi, Ethernet e VPNs que usam autenticação PEAP com MS-CHAPv2, inclusive em ambientes gerenciados pelo Cisco Identity Services Engine (ISE).
A causa não é, necessariamente, uma falha no servidor RADIUS ou no Cisco ISE. A mudança está no próprio Windows: o sistema deixou de permitir por padrão o uso de determinadas credenciais antigas derivadas de NTLMv1 para autenticação única, conhecida como SSO.
A alteração foi distribuída em 13 de outubro de 2026, como parte da atualização cumulativa KB5127648 para Windows 11 nas versões 24H2, 25H2 e 26H2. O comportamento afeta dispositivos com o Credential Guard desativado e nos quais a configuração `BlockNtlmv1SSO` não foi definida explicitamente.
O que mudou no Windows
Antes da atualização, quando a configuração não tinha um valor especificado, o Windows funcionava em modo de auditoria. O sistema ainda permitia o uso das credenciais derivadas de NTLMv1, mas registrava avisos sobre essa prática.
Com a KB5127648, o padrão passou a ser o modo de imposição. Na prática, o Windows bloqueia a geração dessas credenciais para o SSO. A mudança faz parte do esforço da Microsoft para retirar mecanismos de autenticação considerados ultrapassados e reduzir riscos relacionados à exposição de credenciais.
A interrupção aparece em organizações que dependem de uma combinação específica: PEAP, MS-CHAPv2 e reutilização automática das credenciais de entrada do Windows. Embora essa arquitetura ainda seja comum, ela se apoia em mecanismos legados que a atualização passou a restringir.
Como funciona a autenticação 802.1X
O padrão 802.1X controla quais dispositivos podem acessar uma rede cabeada ou sem fio. O computador solicita acesso, enquanto o switch ou ponto de acesso encaminha a tentativa de autenticação a um servidor RADIUS. Esse servidor, que pode estar integrado ao Cisco ISE, verifica as credenciais e aplica as regras de acesso definidas pela organização.
Em implantações com PEAP, a comunicação entre o cliente e o servidor ocorre dentro de um túnel protegido por TLS. Dentro dele, o MS-CHAPv2 pode validar as credenciais do usuário ou do computador. Para evitar que a pessoa digite a senha novamente, muitas empresas configuram o Windows para reaproveitar automaticamente os dados associados à sessão do domínio.
É nessa etapa que surge a incompatibilidade. Se o Windows não consegue produzir as credenciais necessárias ao SSO, o processo de autenticação pode ser interrompido antes de terminar. Dependendo do ambiente, a solicitação pode nem chegar ao servidor RADIUS. Em outros casos, o sistema de controle de acesso apenas registra que o cliente deixou de responder.
Sintomas e diagnóstico
Administradores podem encontrar eventos como o 12014, relacionado ao tempo limite de espera do estado OneX Held, além de mensagens genéricas sobre falhas internas de autenticação. Esses registros não apontam necessariamente para um defeito no equipamento de rede.
Por isso, verificar apenas os logs do Cisco ISE pode não ser suficiente. Se a tentativa de conexão não alcança o RADIUS, a causa deve ser investigada também no cliente Windows, incluindo as configurações de 802.1X, os eventos do sistema e a política aplicada ao dispositivo.
O problema não afeta todas as redes 802.1X. A ocorrência depende da combinação entre versão do Windows, configuração de segurança, método de autenticação e uso de credenciais legadas. Relatos de funcionamento após a remoção da atualização e de falha após sua reinstalação ajudam a identificar a relação, mas não significam que todos os computadores apresentarão o mesmo comportamento.
A situação também foi observada em ambientes com soluções de controle de acesso e servidores RADIUS de diferentes fornecedores. Isso reforça que o ponto central é a mudança no cliente Windows e sua dependência de credenciais antigas, e não uma falha exclusiva do Cisco ISE.
O que as equipes de TI podem fazer
O primeiro passo é identificar quais dispositivos e redes usam PEAP com MS-CHAPv2 e SSO baseado nas credenciais do Windows. A equipe deve cruzar a versão instalada do sistema com os registros de autenticação e verificar se a configuração `BlockNtlmv1SSO` está definida explicitamente ou se o equipamento está sujeito ao novo padrão.
Também é recomendável testar a conexão em um grupo pequeno de computadores antes de ampliar qualquer alteração. A validação deve abranger Wi-Fi e rede cabeada, diferentes perfis de usuário, dispositivos gerenciados e acesso a recursos que dependem da autenticação de rede. Assim, é possível confirmar o alcance do impacto sem interromper o serviço para toda a organização.
A solução estratégica é planejar a migração para EAP-TLS. Nesse método, a autenticação usa certificados digitais, em vez de depender de uma senha validada por MS-CHAPv2. A transição exige preparar a emissão e a renovação de certificados, configurar o servidor RADIUS e distribuir os perfis corretos aos computadores, mas reduz a dependência de mecanismos antigos e torna o acesso mais robusto.
Enquanto a migração não for concluída, a equipe pode avaliar medidas temporárias de compatibilidade, sempre considerando as políticas de segurança internas. Reverter uma atualização ou alterar uma configuração de proteção pode restabelecer o acesso em determinados cenários, mas também prolongar a dependência de um método que a Microsoft está restringindo. Qualquer exceção deve ser documentada, limitada aos dispositivos necessários e acompanhada de um prazo para revisão.
Por fim, é importante tratar o episódio como um alerta de planejamento. Uma atualização de segurança pode tornar visíveis dependências técnicas que permaneceram ocultas durante anos. Inventariar os métodos de autenticação, testar mudanças em etapas e manter uma alternativa de acesso para equipes de suporte ajuda a evitar que a proteção dos computadores acabe impedindo a conexão à rede corporativa.