Windows 11 Güncellemesi (KB5127648) Kurumsal Wi-Fi Bağlantılarını Etkiliyor. Sorunun Nedeni ve Çözüm Yolları

Microsoft’un Ekim 2026’da yayımladığı KB5127648 güvenlik güncellemesi, bazı kurumsal ağlarda Wi-Fi bağlantı sorunlarına neden olabiliyor. Özellikle 802.1X kimlik doğrulama altyapısında PEAP-MSCHAPv2 protokolünü kullanan kurumlar, güncelleme sonrasında bilgisayarların kablosuz ağa otomatik olarak bağlanamaması gibi problemlerle karşılaşabiliyor.

Bu durum ilk bakışta kablosuz ağ altyapısından veya RADIUS sunucusundan kaynaklanan bir arıza gibi görünse de sorunun temelinde Windows 11’in kimlik doğrulama süreçlerine getirdiği yeni güvenlik kısıtlamaları bulunuyor.

Peki, Microsoft bu değişikliği neden yaptı, hangi sistemler etkileniyor ve kurumların nasıl bir yol izlemesi gerekiyor?

Windows 11’de Ne Değişti?

Microsoft, Windows işletim sistemlerinin güvenliğini artırmak amacıyla eski kimlik doğrulama yöntemlerinin kullanımını aşamalı olarak sınırlandırıyor.

Bu kapsamda yayımlanan KB5127648 güncellemesiyle birlikte, NTLMv1 tabanlı Single Sign-On (SSO) kimlik doğrulama işlemlerine yönelik güvenlik kısıtlamaları uygulanmaya başlandı.

Daha önce Windows, kullanıcıların mevcut oturum bilgilerini kullanarak kurumsal ağlara otomatik olarak bağlanmasına izin verebiliyordu. Özellikle PEAP-MSCHAPv2 kullanılan ortamlarda bu yöntem, kullanıcıların her bağlantıda yeniden parola girmesine gerek kalmadan ağa erişmesini sağlıyordu.

Ancak yeni güvenlik düzenlemesiyle Windows, NTLMv1’den türetilen kimlik bilgilerinin kullanıldığı belirli otomatik kimlik doğrulama işlemlerini engelleyebiliyor.

Burada önemli olan nokta, Microsoft’un PEAP-MSCHAPv2 protokolünü tamamen devre dışı bırakmamış olmasıdır. Sorun, bu protokolün bazı otomatik oturum açma senaryolarında kullanılan eski kimlik doğrulama mekanizmalarından kaynaklanıyor.

Hangi Sistemler Etkileniyor?

Bu değişiklik özellikle Active Directory altyapısı bulunan ve kullanıcı veya bilgisayar kimlik doğrulamasını PEAP-MSCHAPv2 üzerinden gerçekleştiren kurumları ilgilendiriyor.

Aşağıdaki yapılandırmalara sahip cihazlarda bağlantı problemleri yaşanabiliyor:

• Makine kimlik doğrulaması kullanan bilgisayarlar: Kullanıcı oturum açmadan önce bilgisayar hesabıyla kurumsal ağa bağlanan sistemler.
• Otomatik oturum açma kullanan cihazlar: Windows oturum bilgilerinin kablosuz ağ bağlantısında otomatik olarak kullanılmasını sağlayan yapılandırmalar.
• Credential Guard özelliği kapalı sistemler: Yeni NTLMv1 SSO kısıtlamasının uygulanabildiği Windows 11 cihazları.

Bununla birlikte kullanıcı adı ve parolasını manuel olarak girerek bağlantı kuran kullanıcılar, bu özel güvenlik kısıtlamasından doğrudan etkilenmeyebilir.

Sorunun yalnızca kablosuz ağlarla sınırlı olmadığını da belirtmek gerekir. Benzer kimlik doğrulama yöntemlerini kullanan kablolu 802.1X bağlantıları ve bazı VPN altyapıları da bu değişiklikten etkilenebilir.

Sorun Nasıl Ortaya Çıkıyor?

Güncelleme sonrasında en sık karşılaşılan durum, daha önce sorunsuz şekilde kurumsal Wi-Fi ağına bağlanan bilgisayarların bağlantı kuramamaya başlamasıdır.

Sorun genellikle güncellemenin yüklenmesinden ve bilgisayarın yeniden başlatılmasından sonra fark ediliyor.

Bu nedenle kurum genelindeki bütün bilgisayarların aynı anda etkilenmesi gerekmiyor. Cihazlar güncellemeyi aldıkça veya yeniden başlatıldıkça bağlantı problemleri kademeli olarak ortaya çıkabiliyor.

Teknik incelemelerde ise dikkat çekici bir durumla karşılaşılabiliyor: RADIUS veya NAC sunucularında belirgin bir kimlik doğrulama hatası görülmeyebilir.

Bunun nedeni, bazı senaryolarda Windows istemcisinin kimlik doğrulama işlemini tamamlayamadan süreci sonlandırmasıdır. PEAP üzerinden güvenli TLS bağlantısı kurulsa bile istemci, MSCHAPv2 doğrulama aşamasında gerekli yanıtı oluşturamayabilir.

Bu noktada sorunun kaynağını tespit etmek için yalnızca ağ cihazlarının değil, Windows istemcisinin olay günlüklerinin de incelenmesi gerekir.

Sorun Nasıl Tespit Edilebilir?

Bağlantı problemi yaşayan bilgisayarlarda ilk olarak Windows güncelleme geçmişi kontrol edilmeli ve ilgili güvenlik güncellemesinin yüklü olup olmadığı doğrulanmalıdır.

Ardından Windows Event Viewer üzerinden WLAN-AutoConfig ve NTLM günlükleri incelenebilir.

Özellikle aşağıdaki hata kayıtları sorunun anlaşılmasında yardımcı olabilir:

WLAN-AutoConfig hata kodu:

0x80070285 – There was an internal authentication error

Bu hata, bağlantı sırasında istemci tarafında bir kimlik doğrulama problemi yaşandığını gösterebilir.

NTLM Operational – Event ID 4025:

Bu olay kaydı, NTLMv1’den türetilen SSO kimlik bilgilerinin güvenlik politikası nedeniyle engellendiğine işaret edebilir.

Her iki kaydın aynı bağlantı denemesi sırasında görülmesi, problemin yeni güvenlik kısıtlamasıyla ilişkili olabileceğini düşündürür.

Dolayısıyla RADIUS sunucusunda herhangi bir hata görülmemesi, kimlik doğrulama sürecinin sorunsuz çalıştığı anlamına gelmez. Bazı durumlarda problemin asıl kaynağı doğrudan Windows istemcisi olabilir.

Geçici Çözüm: Windows Kayıt Defteri Ayarı

Microsoft’un sunduğu geçici yöntemlerden biri, ilgili NTLMv1 SSO güvenlik politikasını Audit (Denetim) moduna almaktır.

Bunun için Windows kayıt defterinde aşağıdaki yol kullanılır:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

İlgili parametre şu şekilde yapılandırılır:

BlockNtlmv1SSO
Tür: REG_DWORD
Değer: 0

Bu ayar, yöneticinin yetkili komut istemcisinde aşağıdaki komutu çalıştırmasıyla da uygulanabilir:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Değişikliğin uygulanması için bilgisayarın yeniden başlatılması gerekmez. Ayrıca kurum genelinde ihtiyaç duyulması hâlinde GPO veya merkezi uç nokta yönetim sistemleri üzerinden dağıtım yapılabilir.

Ancak burada önemli bir güvenlik riski bulunmaktadır.

Bu işlem, Microsoft’un yeni güvenlik güncellemesiyle devreye aldığı korumayı azaltır. Bu nedenle kalıcı bir çözüm olarak kullanılmamalı, yalnızca sorunun doğrulandığı sistemlerde kontrollü ve geçici olarak değerlendirilmelidir.

Kalıcı Çözüm: EAP-TLS ile Daha Güvenli Kimlik Doğrulama

Microsoft’un eski kimlik doğrulama yöntemlerini aşamalı olarak sınırlandırması, kurumların ağ erişim güvenliğini yeniden değerlendirmesini gerektiriyor.

Bu noktada en doğru yaklaşım, parola tabanlı PEAP-MSCHAPv2 bağımlılığını azaltarak sertifika tabanlı EAP-TLS kimlik doğrulama yöntemine geçiş planlamaktır.

EAP-TLS, kullanıcı veya bilgisayar kimliğinin dijital sertifikalar üzerinden doğrulanmasını sağlar. Böylece kullanıcıların Windows oturum parolalarının otomatik olarak kullanılmasına ihtiyaç duyulmadan güvenli ağ erişimi gerçekleştirilebilir.

Bu yaklaşım, özellikle çok sayıda bilgisayarın merkezi olarak yönetildiği kurumsal ortamlarda önemli avantajlar sunar.

Sertifikalar, Active Directory ortamlarında Group Policy Auto-Enrollment aracılığıyla dağıtılabilir. Microsoft Intune kullanan kurumlarda ise SCEP veya PKCS sertifika profilleri üzerinden merkezi yönetim sağlanabilir.

EAP-TLS’e geçişin tek seferde gerçekleştirilmesi de zorunlu değildir. Mevcut PEAP-MSCHAPv2 altyapısı ile yeni sertifika tabanlı sistem, geçiş dönemi boyunca kontrollü olarak birlikte çalıştırılabilir.

Bu sayede kurumlar, kullanıcıların bağlantı sürekliliğini koruyarak daha güvenli bir kimlik doğrulama altyapısına aşamalı olarak geçebilir.

Kurumlar Nelere Dikkat Etmeli?

Bu tür güvenlik değişiklikleri, işletim sistemi güncellemelerinin kurumsal altyapılara olan etkilerinin önceden değerlendirilmesinin ne kadar önemli olduğunu bir kez daha gösteriyor.

Özellikle BT ve ağ yönetim ekiplerinin aşağıdaki konulara öncelik vermesi faydalı olacaktır:

1. Güncellemeler öncelikle pilot cihazlarda test edilmeli. Böylece olası bağlantı problemleri kurum genelini etkilemeden tespit edilebilir.
2. Mevcut kimlik doğrulama altyapısı gözden geçirilmeli. Wi-Fi, kablolu ağ ve VPN sistemlerinde PEAP-MSCHAPv2 kullanımının devam edip etmediği belirlenmelidir.
3. Windows olay günlükleri izlenmeli. Özellikle kimlik doğrulama hataları merkezi olarak takip edilerek problemlere daha hızlı müdahale edilmelidir.
4. EAP-TLS geçişi planlanmalı. Sertifika altyapısı, cihaz yönetimi ve RADIUS/NAC sistemlerinin uyumluluğu değerlendirilmelidir.
5. Destek ekipleri bilgilendirilmeli. Kullanıcılardan gelecek bağlantı sorunlarında hangi kontrollerin yapılacağı önceden belirlenmelidir.