La mise à jour de sécurité d’octobre 2026 de Windows 11 provoque des échecs de connexion sur certains VPN, réseaux Wi-Fi et réseaux filaires. Le correctif, KB5127648, active par défaut un blocage de NTLMv1, et tout ce qui s’authentifie encore en MS-CHAPv2 peut cesser de fonctionner.

Si vous utilisez un VPN d’entreprise ou le Wi-Fi du bureau sous Windows 11, c’est peut-être pour ça que vous n’arrivez plus à vous connecter depuis mardi. Si vous utilisez une appli VPN grand public comme NordVPN ou Proton VPN, vous êtes très probablement tranquille. Explications.

Ce qui s’est passé

Microsoft a publié KB5127648 le 13 octobre, dans le cadre de son Patch Tuesday mensuel. Elle concerne Windows 11 en versions 24H2, 25H2 et 26H2. Une mise à jour équivalente, KB5126646, est sortie pour Windows Server 2025.

En deux jours, des administrateurs réseau signalaient que des portables n’arrivaient plus à rejoindre les réseaux Wi-Fi WPA2-Entreprise. Pureinfotech rapportait le 15 octobre que les PC touchés lancent l’authentification 802.1X/PEAP sans jamais la terminer, alors que les réseaux domestiques WPA2-Personnel continuent de fonctionner. Un fil sur Microsoft Q&A rassemble des témoignages similaires.

Le 16 octobre, Windows Report écrivait que Microsoft avait confirmé que ces mises à jour peuvent provoquer des échecs d’authentification sur certaines connexions Wi-Fi, Ethernet et VPN, précisément sur les réseaux qui reposent sur MS-CHAPv2.

Pourquoi ça casse : NTLMv1 passe du mode audit au blocage

La cause est un durcissement de sécurité. Windows prépare depuis un moment l’abandon de NTLMv1, un vieux protocole d’authentification peu sûr. Jusqu’ici, le paramètre concerné, BlockNtlmv1SSO, fonctionnait en mode Audit : les connexions anciennes passaient encore et Windows se contentait de consigner un avertissement.

Avec KB5127648, sur les appareils où Credential Guard est désactivé et où le paramètre n’a pas été défini explicitement, Windows applique désormais le blocage. MS-CHAPv2, que beaucoup d’anciens VPN et réseaux utilisent pour vérifier identifiant et mot de passe, dépend d’identifiants dérivés de NTLMv1. On bloque l’un, l’autre échoue.

Ce n’est donc pas vraiment un bug. C’est Microsoft qui ferme une vieille porte, et certains réseaux passaient encore par là.

MS-CHAPv2 vivait en sursis depuis des années

Rien de tout ça ne devrait surprendre les administrateurs. MS-CHAPv2 est ancien et ses faiblesses sont connues. Dès août 2012, Microsoft publiait l’avis de sécurité 2743314 après la diffusion d’un code capable de récupérer des identifiants à partir d’un échange MS-CHAPv2 intercepté sur un VPN PPTP. Le conseil de Microsoft à l’époque : encapsuler MS-CHAPv2 dans PEAP, ou passer à un tunnel plus solide comme L2TP, IKEv2 ou SSTP.

Beaucoup d’organisations ont choisi la première option, PEAP-MSCHAPv2, et en sont restées là. C’est exactement la configuration qui échoue aujourd’hui, car PEAP s’appuie toujours sur les mêmes identifiants dérivés de NTLMv1. Quatorze ans plus tard, Microsoft impose enfin le ménage.

Pour un particulier, la leçon est plus simple : si un VPN vous propose encore PPTP, ne l’utilisez pas. Notre article sur les protocoles VPN indique lesquels sont sûrs en 2026.

Qui est touché

Les échecs concernent les connexions qui s’authentifient en MS-CHAPv2. En pratique :

  • le Wi-Fi d’entreprise en 802.1X avec PEAP-MSCHAPv2 (courant dans les bureaux, universités et hôpitaux)
  • le 802.1X filaire sur certains réseaux Ethernet d’entreprise
  • les VPN d’entreprise configurés via le client VPN intégré de Windows avec identifiant et mot de passe en MS-CHAPv2, souvent sur des profils L2TP, PPTP ou SSTP
  • les déploiements VPN gérés qui utilisent PEAP-MSCHAPv2 pour authentifier les utilisateurs

Le Wi-Fi domestique avec un simple mot de passe (WPA2 ou WPA3 Personnel) n’est pas touché, d’après les signalements actuels.

NordVPN, Proton VPN et les autres applis sont-ils concernés ?

Très peu probable. Les applis VPN grand public installent leur propre client et se connectent avec des protocoles modernes, surtout WireGuard, OpenVPN et IKEv2 avec authentification par certificat. Elles ne passent pas par la chaîne MS-CHAPv2 de Windows.

Aucun des signalements que nous avons lus ne cite une appli VPN grand public cassée par cette mise à jour. TechRadar notait le 15 octobre qu’un utilisateur de Reddit trouvait même sa connexion Surfshark plus rapide et plus stable après l’installation. Ce n’est qu’une anecdote, pas un test, mais elle colle au tableau technique.

Si votre VPN grand public a cessé de fonctionner après la mise à jour, cherchez d’abord ailleurs : carte réseau réinitialisée, règle de pare-feu, appli à mettre à jour. Notre article VPN qui se déconnecte : les solutions couvre les causes habituelles. Si vous avez configuré un VPN à la main dans les paramètres de Windows avec identifiant et mot de passe (plutôt que via l’appli du fournisseur), c’est le seul cas à vérifier, et passer à l’appli officielle est la solution la plus simple. Notre guide pour configurer un VPN sur Windows 11 montre les deux méthodes.

Comment savoir si KB5127648 est en cause

Avant de toucher à quoi que ce soit, vérifiez que la mise à jour est bien la cause.

  1. Ouvrez Paramètres, puis Windows Update, puis Historique des mises à jour. Cherchez KB5127648 (ou KB5127646 sous Windows 11 26H1) dans les mises à jour qualité, installée le 13 octobre ou après.
  2. Regardez ce qui échoue. Si le Wi-Fi de la maison marche mais pas celui du bureau, ou si le VPN de l’entreprise refuse un mot de passe qu’il acceptait la semaine dernière, ça correspond.
  3. Regardez quel VPN vous utilisez. Si c’est l’appli de votre fournisseur en WireGuard ou OpenVPN, la mise à jour est peu probablement en cause. Si c’est une connexion ajoutée dans Paramètres > Réseau et Internet > VPN avec identifiant et mot de passe, c’est possible.
  4. Demandez à un collègue dont le PC n’est pas encore à jour d’essayer le même réseau. Si lui se connecte et pas vous, vous avez votre réponse.

L’ironie : la même mise à jour corrige un autre bug VPN

KB5127648 corrige aussi un vrai problème VPN. CyberInsider rapporte qu’elle règle des échecs d’Always On VPN, où les connexions en sélection automatique de protocole restaient bloquées ou échouaient, parfois avec l’erreur « Le port spécifié est déjà utilisé ». Pour certaines organisations, la mise à jour a donc réglé un problème VPN et en a créé un autre.

Le contournement proposé par Microsoft

Le contournement temporaire de Microsoft, tel que rapporté par Windows Report et Pureinfotech, consiste à remettre le paramètre NTLMv1 en mode Audit :

  1. Sauvegardez votre système ou créez un point de restauration.
  2. Ouvrez l’Éditeur du Registre en tant qu’administrateur.
  3. Allez dans HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0.
  4. Créez une valeur DWORD (32 bits) nommée BlockNtlmv1SSO, ou ouvrez-la si elle existe.
  5. Donnez-lui la valeur 0.
  6. Reconnectez-vous au réseau, et redémarrez si ça échoue encore.

Les administrateurs peuvent déployer le même réglage par stratégie de groupe.

Lisez l’avertissement avant de le faire. Microsoft prévient lui-même que revenir en mode Audit affaiblit les protections de sécurité. C’est une rustine. La vraie solution, c’est d’abandonner les méthodes d’authentification Wi-Fi, VPN et réseau basées sur NTLMv1, par exemple pour l’EAP-TLS à certificats en Wi-Fi ou l’IKEv2 avec certificats en VPN.

Certains utilisateurs disent aussi s’en sortir en oubliant le réseau Wi-Fi puis en s’y reconnectant, ou en désinstallant KB5127648. Désinstaller supprime tous les correctifs de sécurité d’octobre, y compris celui d’une faille zero-day : c’est la pire option.

Si vous êtes sous Windows 11 24H2 Famille ou Pro

Un dernier détail de ce mois : CyberInsider note que la mise à jour d’octobre est la dernière mise à jour de sécurité mensuelle pour Windows 11 24H2 Famille et Pro. Si vous êtes encore en 24H2, il faudra passer à une version plus récente pour continuer à recevoir les correctifs. Ça compte pour tout, VPN compris : un système non patché sape la protection d’un VPN. Nous avions couvert un correctif Windows similaire plus tôt dans l’année avec la faille VPN SSTP.

Que faire maintenant

Particulier avec une appli VPN : installez la mise à jour. Elle corrige une faille zero-day et a très peu de chances de toucher votre VPN. Gardez aussi votre appli VPN à jour.

VPN ou Wi-Fi du bureau en panne : prévenez votre service informatique plutôt que de modifier le registre d’un PC géré. Il applique peut-être déjà le contournement de façon centralisée.

Administrateur : appliquez le contournement BlockNtlmv1SSO là où c’est indispensable, et planifiez l’abandon de MS-CHAPv2. Microsoft ne gardera visiblement pas le mode Audit éternellement.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Choisir un VPN pour Windows 11

Pour un VPN grand public sous Windows, cherchez une appli native avec WireGuard, une politique no-logs auditée et un kill switch qui fonctionne. Dans notre base, NordVPN est en tête avec 4,63/5, 5/5 en vitesse et une politique no-logs auditée par PwC. NordVPN coûte 68,85 $ par an (environ 5,74 $ par mois). Proton VPN (4,24/5, 47,88 $ par an) est le choix vie privée. Notre sélection du meilleur VPN pour Windows 11 donne la liste complète.

Notre verdict

KB5127648 n'est pas l'apocalypse du VPN. Elle impose un blocage NTLMv1 qui casse les connexions MS-CHAPv2 sur certains VPN d'entreprise, Wi-Fi professionnels et réseaux 802.1X filaires. Les applis VPN grand public en WireGuard ou OpenVPN ont très peu de chances d'être touchées. Les particuliers doivent installer la mise à jour. Les administrateurs peuvent utiliser le contournement BlockNtlmv1SSO=0 pour l'instant, mais Microsoft prévient qu'il affaiblit la sécurité : prévoyez le passage à une authentification par certificat.