从 2026 年 10 月的安全更新开始，Windows 11 与 Windows Server 的 NTLMv1 策略从“只记录、不拦截”切换为“默认强制限制”。微软在消息中心确认，Windows 11 26H2、25H2、24H2 以及 Windows Server 2025 在 BlockNtlmv1SSO 注册表值未显式配置时，将直接采用 Enforce 模式。对仍在使用老式 NAS、网络打印机或旧域控的企业来说，这不是一次例行的补丁安装，而是一次可能表现为“共享突然打不开”的兼容性事件。

变化到底改了什么

NTLMv1 是一种沿用多年的挑战应答认证协议，安全强度早已不满足现代企业环境要求。微软此前以审计模式推进淘汰：系统会记录仍在使用 NTLMv1 的登录，但不会阻断。此次调整把默认值从 0（Audit）改为 1（Enforce），并对用于单点登录的 NTLMv1 派生凭据施加限制。

Beginning with the October 2026 security update, Windows 11, versions 26H2, 25H2, and 24H2, along with Windows Server 2025, enforce restrictions on generating NTLMv1-derived credentials for Single Sign-On by default.

微软同时提示，未启用 Credential Guard 的设备更容易受到影响。部分场景下，用户只会看到访问被拒绝、凭据提示反复弹出，或者文件服务器映射失败，而不会收到明确的“协议被禁用”提示，因此排查时容易误判为网络故障。

哪些设备最容易中招

• 只支持 NTLMv1 的老旧 NAS、打印服务器与扫描仪；
• 仍保留 NTLMv1 兼容设置的历史域环境或第三方应用；
• 通过 SMB 共享访问旧文件服务器的办公终端；
• 未启用 Credential Guard、且依赖 NTLM 单点登录的 Windows 设备。

如果环境中确实存在上述设备，升级后可能出现共享目录无法挂载、打印任务提交失败、应用反复要求认证等现象。

企业应该怎么应对

第一，先在测试环境打开审计日志，统计仍在使用 NTLMv1 的主机与应用，不要直接在全员范围内部署十月更新。

第二，优先把认证方式迁移到 Kerberos 或 NTLMv2；对无法升级的旧设备，评估隔离到独立网络段，而不是长期放宽全局策略。

第三，需要临时兼容时，通过组策略或注册表明确设置 BlockNtlmv1SSO，并记录例外范围与到期时间。把“默认强制”改回审计只能作为过渡手段，不能当作长期方案。

影响

这次调整是微软淘汰 NTLM 路线图上的关键一步，安全收益明确：削弱中继攻击与弱哈希凭据的利用空间。但代价是，长期被忽略的“影子 IT”设备会集中暴露。对运维团队来说，十月更新之后的头两周，最好把文件共享与打印服务的故障率单独纳入监控。

来源：Microsoft Support《Manage changes to NTLMv1 and prevent network issues in Windows 11 and Windows Server 2025》、Microsoft Learn Windows 消息中心