セキュリティ
レガシープロトコルは廃止へ。既定での強制適用により、移行の進み具合が浮き彫りに
2026年10月のWindowsセキュリティ更新プログラムにより、非推奨となって久しいNTLMv1のセキュリティを使い続けている一部の利用者で、ネットワークが機能しなくなる可能性があります。
一見小さな変更に見えますが、レガシー技術から完全には移行できていない管理者や企業にとっては、大きな影響を及ぼしかねません。
2026年10月の更新前、WindowsはシングルサインオンにおけるNTLMv1由来の資格情報を許可し、警告イベントを生成していました。更新後は、NTLMv1由来の資格情報を使用する要求がブロックされます。
鍵となるのは、レジストリ値BlockNtlmSSOです。この値が未設定の場合、Windowsは監査モード（0）ではなく、強制モード（1）を使用するようになります。その結果、要求がブロックされ、Wi-Fi、Ethernet、VPNの認証、ひいては接続に影響が出る可能性があります。
この更新プログラムはBlockNtlmSSOの値を設定しません。管理者がこの値を0に設定すれば、NTLMv1由来のシングルサインオン資格情報を一時的に許可できます。ただしMicrosoftは、「監査モードを使用すると、強制モードによる保護が弱まります。範囲を限定した一時的なセキュリティ上の例外としてのみ検討すべきです」と注意を促しています。
明確にしておくと、これはバグではなく、仕様どおりの動作です。NTLMが非推奨機能の一覧に加えられたのは2024年のことで、MicrosoftはNTLMv1の使用状況を記録する監査ログを2025年8月下旬に追加しました。このWindows大手は、レガシー技術を廃止したい意向を隠していません。2023年にも、「私たちの最終目標は、NTLMを一切使わずに済むようにすることです」と述べていました。
問題はNTLMの寿命の長さです。NTLMは1993年にWindows NT 3.1で登場しました。現在の基準では安全性にやや難があるものの、企業環境からの排除は難航しています。Microsoftはこれを Windows 11 24H2とWindows Server 2025から削除しましたが、一部は今も残っています。特に、ドメイン参加環境でMS-CHAPv2ベースの接続（PEAP-MSCHAPv2やEAP-MSCHAPv2など）を使う場合に見られます。
2025年に監査モードが導入されたのは、この技術がどこでまだ使われているかを管理者が把握できるようにするためでした。
そして2026年の今、Microsoftは次の段階に進みました。Credential Guardが有効でなく、かつBlockNtlmSSOが監査モード（0）に設定されていない場合、Microsoftが「NTLMv1の無効化を完了させる」ための作業を進めるなか、NTLMv1由来の資格情報の使用はブロックされます。
BlockNtlmSSOによる回避策（値を監査モードに設定する方法）がいつまで有効なのかは示されていません。おそらく次のWindowsメジャーリリースまでと見られます。Microsoftは9月に、「市場に出ている各バージョンのWindowsクライアントおよびWindows Serverは、引き続きNTLMをサポートします」と述べました。一方で、「私たちの長期的な目標は、NTLMをまったく必要としないWindowsプラットフォームです」とも明言しています。
まだメッセージが伝わっていなかったとしても、既定で強制適用に踏み切ったことで、見逃しようがなくなりました。この技術はオペレーティングシステム内にまだ存在するものの、廃止に向かっており、将来のWindowsリリースで削除されます。
したがって、2026年10月のWindowsセキュリティ更新後にネットワークで問題が生じた場合、移行計画が管理者の想定ほど進んでいない、あるいは完了していないことを示している可能性があります。®
