16 octobre 2026
Wi-Fi et VPN : Windows coupe la connexion automatique
Depuis la mise à jour de sécurité du 13 octobre, Windows 11 24H2 et plus récent n’ouvrent plus automatiquement les connexions Wi-Fi et VPN qui utilisent l’authentification MS-CHAPv2. Vos collaborateurs doivent ressaisir leur mot de passe à chaque connexion.
La mise à jour de sécurité Windows du 13 octobre 2026 contient un changement de comportement que Microsoft a signalé le 14 octobre sous l’intitulé « Take action ». Depuis son installation, Windows 11 en versions 24H2, 25H2 et 26H2, ainsi que Windows Server 2025, refusent par défaut de réutiliser les identifiants de la session Windows pour ouvrir les connexions réseau qui reposent sur l’authentification MS-CHAPv2. Les postes Windows 10 et les serveurs antérieurs à 2025 ne sont pas concernés.
Concrètement, ce qui s’arrête
Le cas le plus courant en PME est le Wi-Fi d’entreprise où chacun se connecte avec son compte Windows, et les VPN configurés avec un identifiant et un mot de passe de domaine. Jusqu’ici, l’ouverture de session suffisait : le poste se connectait seul. Ce raccourci est désormais bloqué. La saisie manuelle du mot de passe continue de fonctionner, donc le réseau n’est pas inaccessible, mais l’automatisme disparaît, et les demandes de mot de passe répétées arrivent souvent au support avant qu’on ait fait le lien avec la mise à jour. Le blocage ne s’applique qu’aux machines où Credential Guard est désactivé, et il laisse une trace : l’événement 4025 dans le journal Microsoft-Windows-NTLM/Operational.
Ce qu’il faut vérifier
Deux questions suffisent pour savoir si vous êtes exposé : votre Wi-Fi ou votre VPN demande-t-il un identifiant de domaine plutôt qu’un certificat, et vos postes sont-ils déjà passés en Windows 11 24H2 ou plus récent ? Si les deux réponses sont oui, le sujet vous concerne. Microsoft prévoit une soupape : une valeur de registre, BlockNtlmv1SSO, remise à 0 rétablit l’ancien comportement. L’éditeur insiste pour qu’elle reste une exception limitée et temporaire, le temps de basculer les connexions vers une authentification par certificat (PEAP-TLS ou EAP-TLS), seule réponse durable.
De notre côté, ce type de changement se traite avant qu’il n’arrive sur les postes : inventaire des méthodes d’authentification Wi-Fi et VPN en place, lecture des journaux NTLM pour repérer les connexions encore concernées, puis migration vers les certificats avec une tolérance temporaire pendant la transition. Si vous ne savez pas comment votre Wi-Fi authentifie aujourd’hui vos collaborateurs, c’est la première chose à regarder.