Windows10月更新でWi-Fi・VPNが切れる場合 NTLMv1廃止が原因

2026年10月のWindows更新を当てたあと、一部の環境で、Wi-FiやVPNの自動ログオンが失敗する場合があります。原因は、古い認証方式「NTLMv1」の廃止に向けた、計画された変更です。パッチの不具合ではありません。この記事は、MicrosoftのWindows message centerとサポート記事(KB5066470)をもとにまとめます。

何が変わったのか

2026年10月13日のリリースで、SSO(自動ログオン)向けの「NTLMv1由来の資格情報」の生成が、既定でブロック(強制=Enforce)に変わりました。

• これまで: 設定が未指定のとき、既定は「監査(許可しつつ記録)」
• 2026年10月から: 設定が未指定のとき、既定は「強制(ブロック)」

更新プログラム自体が、レジストリの値を作ったり変えたりするわけではありません。「設定が未指定のときのふるまい」だけが変わります。これはNTLMの廃止に向けた計画的な変更で、Microsoftは「本更新の既知の不具合ではない」と明記しています。2025年8月から監査が始まっていました。

影響する構成

NTLMv1プロトコルそのものは、24H2やServer 2025で既に削除されていましたが、MS-CHAPv2など一部で、NTLMv1由来の暗号が残っていました。今回、それがブロックされた形です。なお、PEAP-MSCHAPv2はRADIUS/NPSの構成で使われることが多いですが、Microsoftの公式情報はRADIUS/NPSを名指ししていません。この記事も、そこは断定しません。

影響する会社・しない会社

• 影響する: 社内のWi-FiやVPNで、PEAP-MSCHAPv2などの古い認証を使い、自動ログオンさせている会社です。
• 影響する: Credential Guardを有効にしていない端末が多い会社です。
• 影響しない(可能性が高い): Wi-Fi/VPNを証明書ベースの認証(EAP-TLSなど)で運用している会社。Credential Guardを有効にしている端末。
• 影響しない: 手動で資格情報を入力して接続している場合。

情シスが今日やること

• 依存を棚卸しする。イベントログ「Microsoft-Windows-NTLM/Operational」を確認します。イベント4024(警告)は、NTLMv1由来の資格情報を使っている=依存あり、イベント4025(エラー)は、強制でブロックされた、という意味です。
• 影響端末を把握する。Credential Guardが無効で、対象OSの端末を洗い出し、どのWi-Fi/VPNが古い認証を使っているかを確かめます。
• 緊急避難は範囲を限定する。すぐ直す必要があるときだけ、レジストリの BlockNtlmv1SSO を 0(監査)にして一時的に許可します(再起動不要)。保護が下がるため、範囲を限定し、解消後は 1 に戻します。
• 証明書ベースへ移行する。恒久的には、MS-CHAPv2への依存をやめ、Wi-Fi/VPNを証明書ベースの認証へ移行します。あわせて、要件を満たす端末ではCredential Guardの展開が推奨されています。