La actualización de seguridad de octubre de 2026 de Windows 11 está provocando fallos de inicio de sesión en algunas VPN, redes wifi y redes por cable. El parche, KB5127648, activa por defecto un bloqueo de NTLMv1, y todo lo que todavía se autentica con MS-CHAPv2 puede dejar de funcionar.
Si usas la VPN de tu empresa o la wifi de la oficina en Windows 11 y no consigues conectarte desde el martes, puede que sea por esto. Si usas una app VPN de consumo como NordVPN o Proton VPN, lo más probable es que no te afecte. Te lo explicamos.
Qué ha pasado
Microsoft publicó KB5127648 el 13 de octubre, dentro de su Patch Tuesday mensual. Afecta a Windows 11 en las versiones 24H2, 25H2 y 26H2. Una actualización equivalente, KB5126646, salió para Windows Server 2025.
En dos días, administradores de sistemas avisaban de que los portátiles ya no se conectaban a redes wifi WPA2-Enterprise. Pureinfotech contó el 15 de octubre que los PC afectados empiezan la autenticación 802.1X/PEAP pero nunca la terminan, mientras que las redes domésticas WPA2-Personal siguen funcionando. Un hilo en Microsoft Q&A reúne casos parecidos.
El 16 de octubre, Windows Report publicó que Microsoft había confirmado que las actualizaciones pueden provocar fallos de autenticación en algunas conexiones wifi, Ethernet y VPN, en concreto en redes que dependen de MS-CHAPv2.
Por qué falla: NTLMv1 pasa de auditoría a bloqueo
La causa es un endurecimiento de la seguridad. Windows lleva tiempo preparando la retirada de NTLMv1, un protocolo de autenticación antiguo y débil. Hasta ahora, el ajuste correspondiente, BlockNtlmv1SSO, funcionaba en modo Auditoría: los inicios de sesión antiguos seguían pasando y Windows solo dejaba un aviso en el registro.
Con KB5127648, en los equipos con Credential Guard desactivado y sin el ajuste configurado de forma explícita, Windows aplica ya el bloqueo. MS-CHAPv2, que muchas VPN y redes antiguas usan para comprobar usuario y contraseña, depende de credenciales derivadas de NTLMv1. Bloqueas una cosa y la otra falla.
Así que no es exactamente un fallo. Es Microsoft cerrando una puerta vieja por la que todavía pasaban algunas redes.
MS-CHAPv2 vivía de prestado desde hace años
A los administradores no debería pillarles por sorpresa. MS-CHAPv2 es antiguo y sus debilidades son conocidas. Ya en agosto de 2012, Microsoft publicó el aviso de seguridad 2743314 después de que apareciera código capaz de recuperar credenciales a partir de un intercambio MS-CHAPv2 interceptado en VPN PPTP. El consejo de Microsoft entonces: encapsular MS-CHAPv2 dentro de PEAP o pasar a un túnel más fuerte como L2TP, IKEv2 o SSTP.
Muchas organizaciones eligieron lo primero, PEAP-MSCHAPv2, y ahí se quedaron. Es justo la configuración que falla ahora, porque PEAP sigue apoyándose en las mismas credenciales derivadas de NTLMv1. Catorce años después, Microsoft por fin obliga a hacer limpieza.
Para un usuario doméstico, la lección es más simple: si una VPN todavía te ofrece PPTP, no lo uses. Nuestro artículo de protocolos VPN explicados indica cuáles son seguros en 2026.
A quién afecta
Los fallos afectan a conexiones que se autentican con MS-CHAPv2. En la práctica:
- wifi corporativa con 802.1X y PEAP-MSCHAPv2 (habitual en oficinas, universidades y hospitales)
- 802.1X por cable en algunas redes Ethernet de empresa
- VPN corporativas configuradas con el cliente VPN integrado de Windows usando usuario y contraseña por MS-CHAPv2, a menudo en perfiles L2TP, PPTP o SSTP
- despliegues VPN gestionados que usan PEAP-MSCHAPv2 para autenticar a los usuarios
La wifi de casa con una contraseña normal (WPA2 o WPA3 Personal) no se ve afectada, según los casos conocidos hasta ahora.
¿Afecta a NordVPN, Proton VPN y otras apps VPN?
Es muy poco probable. Las apps VPN de consumo instalan su propio cliente y se conectan con protocolos modernos, sobre todo WireGuard, OpenVPN e IKEv2 con autenticación por certificado. No pasan por el circuito MS-CHAPv2 de Windows.
Ninguno de los casos que hemos leído menciona una app VPN de consumo rota por esta actualización. TechRadar recogía el 15 de octubre que un usuario de Reddit decía incluso que su conexión de Surfshark iba más rápida y estable tras instalarla. Es una anécdota, no una prueba, pero cuadra con la explicación técnica.
Si tu VPN de consumo dejó de funcionar tras la actualización, busca primero en otro sitio: un adaptador de red reiniciado, una regla del cortafuegos, una app que necesita actualizarse. Nuestro artículo la VPN se desconecta: soluciones repasa las causas habituales. Si configuraste una VPN a mano en los ajustes de Windows con usuario y contraseña (en lugar de usar la app del proveedor), ese es el único caso que conviene revisar, y pasarte a la app oficial es la solución más sencilla. Nuestra guía para configurar una VPN en Windows 11 muestra los dos métodos.
Cómo saber si la culpa es de KB5127648
Antes de tocar nada, confirma que la actualización es el problema.
- Abre Configuración, luego Windows Update y Historial de actualizaciones. Busca KB5127648 (o KB5127646 en Windows 11 26H1) entre las actualizaciones de calidad, instalada el 13 de octubre o después.
- Mira qué falla. Si la wifi de casa funciona pero la de la oficina no, o si la VPN de la empresa rechaza una contraseña que aceptaba la semana pasada, encaja con el patrón.
- Mira qué VPN usas. Si es la app de tu proveedor con WireGuard u OpenVPN, la actualización difícilmente es la causa. Si es una conexión añadida en Configuración > Red e Internet > VPN con usuario y contraseña, puede serlo.
- Pide a un compañero con el equipo sin actualizar que pruebe la misma red. Si él se conecta y tú no, ya tienes la respuesta.
La ironía: la misma actualización arregla otro fallo de VPN
KB5127648 también corrige un problema real de VPN. CyberInsider informa de que soluciona fallos de Always On VPN, en los que las conexiones con selección automática de protocolo se quedaban colgadas o fallaban, a veces con el error de que el puerto indicado ya estaba en uso. Para algunas organizaciones, la actualización arregló un problema de VPN y creó otro.
La solución temporal de Microsoft
La solución temporal de Microsoft, según Windows Report y Pureinfotech, consiste en devolver el ajuste de NTLMv1 al modo Auditoría:
- Haz una copia de seguridad o crea un punto de restauración.
- Abre el Editor del Registro como administrador.
- Ve a
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. - Crea un valor DWORD (32 bits) llamado
BlockNtlmv1SSO, o ábrelo si ya existe. - Ponle el valor
0. - Vuelve a conectarte a la red y reinicia si sigue fallando.
Los administradores pueden distribuir el mismo ajuste por directiva de grupo.
Lee el aviso antes de hacerlo. La propia Microsoft advierte de que volver al modo Auditoría debilita las protecciones de seguridad. Es un parche provisional. La solución de verdad es abandonar los métodos de autenticación wifi, VPN y de red basados en NTLMv1, por ejemplo pasando a EAP-TLS con certificados en la wifi o a IKEv2 con certificados en la VPN.
Algunos usuarios dicen también que se arregla olvidando la red wifi y volviendo a conectarse, o desinstalando KB5127648. Desinstalarla elimina todos los parches de seguridad de octubre, incluido el de una vulnerabilidad de día cero: es la peor opción.
Si usas Windows 11 24H2 Home o Pro
Un último detalle de este mes: CyberInsider indica que la actualización de octubre es la última actualización mensual de seguridad para Windows 11 24H2 Home y Pro. Si sigues en 24H2, tendrás que pasar a una versión más reciente para seguir recibiendo parches. Importa para todo, la VPN incluida: un sistema sin parchear socava la protección de cualquier VPN. Ya cubrimos un parche de Windows parecido este año con el fallo VPN de SSTP.
Qué hacer ahora
Usuario doméstico con app VPN: instala la actualización. Corrige una vulnerabilidad de día cero y es muy poco probable que afecte a tu VPN. Mantén también la app VPN al día.
La VPN o la wifi de la oficina no funcionan: avisa a tu departamento de informática en lugar de tocar el registro de un portátil gestionado. Puede que ya estén aplicando la solución de forma centralizada.
Administradores: aplicad la solución de BlockNtlmv1SSO donde no haya más remedio y planificad el abandono de MS-CHAPv2. Está claro que Microsoft no mantendrá el modo Auditoría para siempre.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Elegir una VPN para Windows 11
Para una VPN de consumo en Windows, busca una app nativa con WireGuard, una política sin registros auditada y un kill switch que funcione. En nuestra base de datos, NordVPN lidera con 4,63/5, 5/5 en velocidad y política sin registros auditada por PwC. NordVPN cuesta 68,85 $ al año (unos 5,74 $ al mes). Proton VPN (4,24/5, 47,88 $ al año) es la opción para la privacidad. Nuestra selección de la mejor VPN para Windows 11 tiene la lista completa.
KB5127648 no es el fin del mundo para las VPN. Impone un bloqueo de NTLMv1 que rompe los inicios de sesión MS-CHAPv2 en algunas VPN corporativas, wifi de empresa y redes 802.1X por cable. Las apps VPN de consumo con WireGuard u OpenVPN tienen muy pocas probabilidades de verse afectadas. Los usuarios domésticos deberían instalar la actualización. Los administradores pueden usar de momento la solución BlockNtlmv1SSO=0, pero Microsoft advierte de que debilita la seguridad, así que conviene planificar el paso a la autenticación con certificados.