原因は不具合ではなく「NTLMv1を使ったシングルサインオンの既定ブロック」
2026年10月13日（日本時間14日）に配信されたWindows 11の月例更新「KB5127648」を入れたあと、会社や学校のWi-Fi・有線LANにつながらなくなったという報告が相次いでいます。
現時点で分かっていることは次のとおりです。
- 原因は、KB5127648で「BlockNtlmv1SSO」の既定値が監査（Audit）から強制（Enforce）に切り替わったことです。
- 今回の接続障害は、Microsoftが予定していたセキュリティ強化に伴う認証方式の変更が主な原因と考えられます。従来のSSO認証が利用できなくなるケースがあり、単純な更新プログラムの実装バグとは異なります。
- 影響を受けるのは、PEAP-MSCHAPv2などMS-CHAPv2系の認証で「Windowsのユーザーアカウントを自動的に使う（SSO）」設定にしている企業・学校のネットワークです。Wi-Fi・有線LAN・VPNのいずれでも起こり得ます
- 自宅のWi-Fiのようにパスワード（事前共有キー）で接続するネットワークは対象外です。家庭のPCでは基本的に心配いりません
- 一時的な回避策は、ユーザー名とパスワードを手動入力して接続するか、管理者がレジストリ「BlockNtlmv1SSO」を0（監査）に戻す方法です
企業のIT担当者は、更新のアンインストールよりも、レジストリでの一時回避と証明書認証（EAP-TLS）への移行を検討するのが現実的です。
KB5127648の基本情報
| 項目 | 内容 |
|---|---|
| 配信日 | 2026年10月13日（米国時間）／日本では10月14日 |
| 対象 | Windows 11 26H2・25H2・24H2 |
| ビルド番号 | 26300.9711（26H2）、26200.9711（25H2）、26100.9711（24H2） |
| 種類 | 月例のセキュリティ更新（累積更新） |
| 主な注意点 | MS-CHAPv2系のSSOがブロックされる、24H2 Home/Proの最終更新 |
KB5127648は毎月第2火曜日に配信される定例のセキュリティ更新です。今月は実際に悪用が確認された脆弱性への対策も含まれると報じられており、基本的には早めの適用が推奨されます。
なお、Windows 11 24H2のHome/Pro版にとっては、この更新が最後のセキュリティ更新です。24H2を使い続けている場合は、25H2または26H2への更新を計画しましょう。
Wi-Fi・有線LANにつながらない不具合の症状
報告されている主な症状は次のとおりです。
- 会社のWi-Fi（WPA2-Enterprise）に接続しようとすると、認証が完了せず接続できない
- 有線LANが「接続済み、認証されていません」のような状態になり、ネットワークが使えない
- RADIUSサーバー（NPSなど）側にログが残らず、原因が分かりにくい
- ユーザー名とパスワードを手動で入力すると接続できる
一部の環境では、認証処理がPC側で停止し、RADIUSサーバーに認証要求が届かないケースも報告されています。そのため、ネットワーク機器やRADIUSサーバーを調べても異常が見つからないケースがあります。
PC側では、イベントビューアーの「Microsoft-Windows-NTLM/Operational」ログにイベントID 4025（NTLMv1由来のSSOがブロックされた）が記録されます。これが出ていれば、今回の変更が原因と判断できます。
原因：BlockNtlmv1SSOの既定値が「強制」に変わった
Microsoftは2025年8月の時点で、古い認証方式であるNTLMv1を段階的に廃止する計画を公表していました。今回のKB5127648は、その計画の「2026年10月」の段階にあたります。
| 時期 | 内容 |
|---|---|
| 2025年8月下旬 | Windows 11 24H2以降で、NTLMv1由来のSSOの利用状況を監査（イベントID 4024を記録） |
| 2025年11月 | Windows Server 2025向けにも展開開始 |
| 2026年10月13日 | 月例更新で既定値が「強制」に変更。レジストリ値が未設定のPCではブロックされる |
ポイントは次の3つです。
- レジストリ「BlockNtlmv1SSO」を明示的に設定していないPCで、既定の動作が「ブロック」になりました。更新プログラムがレジストリ値を新たに作るわけではありません
- MS-CHAPv2は内部でNTLMv1由来の資格情報を使うため、Windowsのサインイン情報を流用して自動接続する設定（SSO）が使えなくなります
- 手動で資格情報を入力する場合は、この経路を通らないため引き続き接続できます
Microsoftは10月14日に関連ドキュメントを更新し、「MS-CHAPv2ベースの認証を使うWi-Fi、イーサネット、VPN接続に影響する可能性がある」ことを明記しました。
影響を受ける環境・受けない環境
| 環境 | 影響 |
|---|---|
| PEAP-MSCHAPv2／EAP-MSCHAPv2でSSO接続している社内Wi-Fi・有線LAN・VPN | 影響あり |
| 同じ方式でもユーザー名とパスワードを手動入力して接続 | 影響なし |
| 証明書を使うEAP-TLS | 影響なしと報告 |
| 自宅のWi-Fi（WPA2/WPA3-Personal、パスワード接続） | 影響なし |
| Credential Guardが有効なPC | 今回の既定値変更は適用されない（ただし同方式のSSOはもともと利用不可） |
つまり、影響を受けるのは主にActive Directoryに参加した企業・学校・自治体などのPCです。個人のPCで「ネットにつながらない」場合は、別の原因を疑ったほうがよいでしょう。
対処法
利用者ができること：資格情報を手動で入力する
すぐに接続したい場合は、次の手順を試してください。
- 設定の「ネットワークとインターネット」から、該当するWi-Fiの「削除（ネットワークを忘れる）」を選ぶ
- もう一度同じWi-Fiに接続する
- 「Windowsのユーザーアカウントを使う」ではなく、「ドメイン名\ユーザー名」とパスワードを手動で入力する
組織のポリシーで接続設定が配布されている場合は、利用者側で変更できないことがあります。その場合はIT部門に連絡しましょう。
管理者向け：レジストリで一時的に「監査」に戻す
組織全体で影響が出ている場合、Microsoftは一時的な例外としてBlockNtlmv1SSOを0に設定する方法を案内しています。
- キー：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 - 値の名前：
BlockNtlmv1SSO（REG_DWORD） - 0＝監査（許可してイベント4024を記録）、1＝強制（ブロックしてイベント4025を記録）
コマンドで設定する場合は、管理者権限で次を実行します。
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /fMicrosoftのドキュメントでは、この値の変更に再起動は不要とされています。グループポリシーの基本設定（レジストリ項目）やIntuneのスクリプトで配布する方法が、コミュニティで報告されています。
ただし、この設定は廃止予定の弱い認証経路を再び許可するものです。Microsoftも「保護が弱まる一時的な措置」と位置付けているため、期限を決めて運用しましょう。また、すでにネットワークから切断されたPCには配布できないため、有線接続や手動認証などの代替手段も用意しておく必要があります。
恒久対策：証明書ベースの認証（EAP-TLS）へ移行する
根本的な解決策は、MS-CHAPv2に依存しない認証方式への移行です。証明書を使うEAP-TLSは今回の影響を受けないと報告されています。Microsoftは、要件を満たす環境ではCredential Guardの導入も強く推奨しています。
更新プログラムのアンインストールはおすすめしない
KB5127648をアンインストールすれば元に戻りますが、今月のセキュリティ修正もすべて失われます。さらに、一時停止しなければ再びインストールされます。上記のレジストリによる回避策で対応するほうが安全です。
そのほかの既知の不具合
Wi-Fi・有線LANの問題以外に、9月の更新から続いている既知の問題が2つあります。いずれも主に企業環境や一部の機器に限られます。
| 不具合 | 症状 | 回避策・状況 |
|---|---|---|
| リモートデスクトップ接続の失敗 | 「管理者保護（Administrator protection）」を有効にしたPCに、管理者以外のユーザーが接続できない（エラー0xC000000D） | 管理者がポリシーで管理者保護を一時的に無効化。修正は今後の更新で提供予定 |
| USBオーディオ機器が使えない | 一部のUSB Audio Class 1.0機器で、デバイスマネージャーにコード10が出て音が出ない | 機器が対応していれば2チャンネルモードに切り替える。8チャンネル・3Dオーディオの問題は9月14日のKB5129195で修正済み |
9月の不具合の経緯については「Windows 11で不具合発生？9月アップデートの影響とKB5129195による復旧状況を解説」もあわせてご覧ください。
KB5127648で修正・追加された主な内容
不具合だけでなく、利用者にうれしい変更も含まれています（一部は段階的に展開されるため、すぐに表示されない場合があります）。
- Copilotキーの割り当て変更：設定の「Bluetoothとデバイス」→「キーボード」から、Copilotキーを右Ctrlキーまたはアプリケーション（コンテキストメニュー）キーとして使えるようになりました。右Ctrl＋Winのショートカットは動作しない場合があるため、その場合は左Ctrlを使います
- エクスプローラーのプレビュー：インターネットからダウンロードしたPDFなどを、ブロック解除せずにプレビューできるようになりました
- 絵文字17.0に対応：Windowsキー＋ピリオドで開く絵文字パネルに新しい絵文字が追加されました
- アプリを常に最大化で開く設定：アクセシビリティの設定に追加されました
- 不具合修正：一部ゲームでのマウス入力のカクつき、Always On VPNの接続問題、AC-3（ドルビーデジタル）音声でのアプリ停止などが修正されました
更新すべきか：利用環境別の判断
| 利用環境 | おすすめの対応 |
|---|---|
| 自宅の個人PC | そのまま更新して問題ありません。24H2のHome/Proなら、続けて25H2・26H2への更新も検討 |
| 会社・学校のPC（利用者） | つながらない場合は手動で資格情報を入力し、IT部門に連絡 |
| 企業のIT管理者 | イベントID 4024/4025でMS-CHAPv2の利用状況を確認し、必要ならBlockNtlmv1SSO=0で一時回避。並行してEAP-TLSへの移行を計画 |
| USBオーディオ機器・リモートデスクトップを業務で使う環境 | 一部の端末で先に検証してから展開 |
24H2のサポート終了と移行方法については「Windows 11 26H2が配信開始。24H2は10月13日でサポート終了、新機能・不具合・更新方法を解説」で詳しく解説しています。
まとめ
KB5127648のあとに会社や学校のネットワークへつながらなくなった場合、その多くはNTLMv1を使ったSSOが既定でブロックされるようになったことが原因です。Microsoftが予告していたセキュリティ強化のため、今後の更新で元に戻る可能性は低いと考えられます。
利用者は手動で資格情報を入力すれば接続でき、管理者はレジストリで一時的に回避できます。ただし本質的な対策は、MS-CHAPv2から証明書認証への移行です。自宅のPCであれば今回の問題はほぼ関係ないため、セキュリティのためにも早めに更新しておきましょう。
参考情報
- Microsoft サポート：KB5127648（2026年10月13日のセキュリティ更新）
- Microsoft サポート：Windows 11およびWindows Server 2025でのNTLMv1の変更の管理（英語）
- Microsoft Tech Community：Retiring NTLM: Frequently asked questions（英語）
- Microsoft Q&A：KB5127648 breaks WPA2-Enterprise (802.1X PEAP) Wi-Fi authentication on Windows 11（英語）
- Keytos：KB5127648 Breaks PEAP Wi-Fi and 802.1X Authentication（英語）
- Windows Report：Windows 11 KB5127648 Includes Two Known Issues（英語）
- Windows Latest：Windows 11 KB5127648の新機能（英語）
