KB5127648: firemná Wi-Fi môže zlyhať

Ak po aktualizácii KB5127648 prestala fungovať firemná Wi-Fi, nemusí byť chybný ovládač ani bezdrôtový adaptér. Aktualizácia môže ovplyvniť prihlásenie cez MS-CHAPv2. Najprv overte 802.1X profil, spôsob autentifikácie a záznamy RADIUS servera. Ďalšie nasadenie pozastavte, kým problém nezopakujete na jednom kontrolovanom zariadení s nezávislým prístupom.

Čo sa 13. októbra 2026 zmenilo

Microsoft 13. októbra 2026 vydal bezpečnostnú aktualizáciu KB5127648 pre Windows 11 vo verziách 24H2, 25H2 a 26H2. Aktualizácia sprísňuje predvolené zaobchádzanie s prihlasovacími údajmi odvodenými z NTLMv1.

Ak je Credential Guard vypnutý a hodnota registra BlockNtlmv1SSO nie je nastavená, systém sa po aktualizácii presunie z režimu Audit (0) do režimu Enforce (1). Windows potom zablokuje vytváranie týchto údajov pre jednotné prihlásenie.

Microsoft pri KB5127648 upozorňuje, že zmena môže zasiahnuť Wi-Fi, Ethernet aj VPN používajúce autentifikáciu založenú na MS-CHAPv2. Microsoft to uvádza ako zmenu správania v časti o autentifikácii, nie v zozname známych problémov aktualizácie, a podrobnosti odkazuje na KB5066470. Neznamená to, že aktualizácia pokazí každú podnikovú sieť. Rozhoduje konkrétna konfigurácia klienta a autentifikačnej infraštruktúry.

TechRadar 15. októbra 2026 opísal používateľské hlásenia, podľa ktorých sa po inštalácii KB5127648 nedokončilo prihlásenie do sietí WPA2-Enterprise s 802.1X a PEAP. Jeden z citovaných príspevkov z fóra Microsoft Learn uvádza, že sa overenie začne, ale nedokončí, a že sa problém opakuje na hardvéri viacerých výrobcov s rôznymi Wi-Fi čipmi. Ide o dôležitú stopu, nie o dôkaz, že rovnakú príčinu má každý výpadok. Presný rozsah dotknutých konfigurácií nebol k 18. októbru 2026 známy.

Kedy to neskúšať sám a čo urobíme my

Zásah najprv odovzdajte správcovi siete alebo IT firme, ak platí niektorá z týchto situácií:

• Nemáte nezávislý administrátorský prístup. Po zmene profilu alebo odinštalovaní aktualizácie sa môžete odrezať od zariadenia, ktoré potrebujete na nápravu.
• Wi-Fi, káblová sieť aj VPN používajú rovnaký 802.1X profil alebo RADIUS. Zdanlivo náhradné pripojenie potom môže zlyhať rovnakým spôsobom.
• Uvažujete o plošnej zmene registra alebo opätovnom povolení staršieho mechanizmu. Neoverený zásah môže oslabiť ochranu na všetkých firemných počítačoch bez toho, aby odstránil skutočnú príčinu.

Pri správe firemnej Wi-Fi, RADIUS a VPN postupujeme v troch krokoch:

1. Zmapujeme autentifikačnú cestu. Overíme profil notebooku, prístupový bod, RADIUS alebo NPS server a pravidlá distribuované cez skupinovú politiku či Microsoft Intune.
2. Zopakujeme problém na kontrolovanom zariadení. Porovnáme správanie pred aktualizáciou a po nej a spojíme klientské udalosti so serverovými záznamami podľa času.
3. Pripravíme nápravu a plán nasadenia. Oddelíme dočasné prevádzkové opatrenie od dlhodobej zmeny autentifikácie a určíme, na ktorých zariadeniach možno aktualizáciu bezpečne rozšíriť.

Cieľom nie je iba obnoviť pripojenie, ale aby sieť fungovala bez trvalého návratu k NTLMv1.

Prečo to nemusí byť ovládač Wi-Fi

Pri chybe ovládača býva problém medzi Windowsom a samotným adaptérom. Adaptér môže chýbať v Správcovi zariadení, systém nemusí zobrazovať dostupné siete alebo sa notebook nepripojí ani k bežnému hotspotu.

Pri probléme súvisiacom s autentifikáciou môže notebook firemné SSID vidieť a začať pripájanie, no overenie používateľa alebo počítača sa nedokončí.

Čo vidíte	Čo preveriť ako prvé
Wi-Fi adaptér alebo prepínač Wi-Fi vo Windowse chýba	Ovládač, zariadenie a hardvér
Notebook vidí firemné SSID a pripojí sa k hotspotu, ale nie k podnikovej sieti	802.1X profil, PEAP/MS-CHAPv2 a RADIUS
Po aktualizácii zlyhá aj VPN alebo Ethernet s rovnakým účtom	Spoločnú autentifikačnú metódu
Rovnaká sieť nefunguje ani zariadeniam bez KB5127648	Prístupové body, sieťovú infraštruktúru a RADIUS

Tabuľka neurčuje príčinu na diaľku, pomáha však zabrániť zbytočnej preinštalácii ovládačov. Pri výpadku viacerých častí siete použite aj krížový checklist nefunkčnej firemnej siete.

Ako zistíte, či firma používa PEAP/MS-CHAPv2

Typickým signálom podnikovej siete je zabezpečenie WPA2-Enterprise alebo WPA3-Enterprise, prihlasovanie firemným účtom a centrálne overenie cez RADIUS, napríklad Microsoft Network Policy Server. Samotný názov siete ani ikona Wi-Fi však vnútornú autentifikačnú metódu nepotvrdia.

Správca má skontrolovať profil distribuovaný cez skupinovú politiku alebo Microsoft Intune a zodpovedajúcu konfiguráciu RADIUS servera. Hľadanou kombináciou je Protected EAP, teda PEAP, ako vonkajšia metóda a EAP-MSCHAP v2 ako vnútorná metóda.

Príkaz netsh wlan show profile name="NAZOV_SSID" môže potvrdiť podnikový typ zabezpečenia, ale nemusí ukázať celú vnútornú konfiguráciu.

Ako KB5127648 otestovať bez odrezania kancelárie

Testovací počítač musí používať rovnaké SSID, používateľský alebo počítačový profil, RADIUS a spôsob prihlasovania ako produkčné notebooky.

1. V Nastaveniach Windowsu overte verziu 24H2, 25H2 alebo 26H2 a v histórii aktualizácií skontrolujte stav KB5127648.
2. Vyberte jedno reprezentatívne zariadenie. Nepoužívajte jediný počítač, z ktorého správca ovláda sieť.
3. Pripravte lokálny administrátorský účet a pripojenie, ktoré nepoužíva rovnaký RADIUS ani MS-CHAPv2. Overte tiež dostupnosť kľúča na obnovenie BitLockera.
4. Pred aktualizáciou otestujte Wi-Fi, zamknutie a opätovné prihlásenie, reštart a podľa firemného prostredia aj VPN či podnikový Ethernet.
5. Nainštalujte KB5127648, reštartujte počítač a zopakujte rovnaké kroky s tým istým účtom.
6. Pri zlyhaní zapíšte presný čas. Uložte udalosti z denníka WLAN-AutoConfig/Operational a zodpovedajúce záznamy z RADIUS alebo NPS servera.
7. Ďalšie nasadenie pozastavte, kým neviete odlíšiť chybu profilu, odmietnutie zo strany RADIUS servera a problém na klientovi.

Kábel nie je nezávislým prístupom, ak je aj Ethernet chránený rovnakým 802.1X profilom. Ak káblové pripojenie zlyháva, hoci Wi-Fi funguje, pomôže samostatný postup pre prípad, keď Ethernet na notebooku nefunguje, kým Wi-Fi ide.

Čo urobiť, ak firemná Wi-Fi už nefunguje

Najprv overte, či je KB5127648 naozaj nainštalovaná a či problém vznikol až po jej nasadení. Vyskúšajte pripojenie, ktoré nepoužíva rovnaký RADIUS server, a zaznamenajte, či zlyháva iba Wi-Fi, alebo aj VPN a podnikový Ethernet. Ďalšie rozširovanie aktualizácie pozastavte a porovnajte udalosti klienta so záznamami RADIUS alebo NPS servera v rovnakom čase; inak neviete, či zlyhal klient, server alebo iná vrstva.

Nemeňte plošne register a neobnovujte NTLMv1 ako trvalé riešenie. Microsoft zmenu v KB5127648 opisuje ako sprísnenie ochrany, preto má byť prípadné dočasné opatrenie obmedzené na konkrétne zariadenia, zdokumentované a doplnené termínom odstránenia.

Plošné odinštalovanie kumulatívnej bezpečnostnej aktualizácie bez potvrdenej príčiny tiež nie je prvý krok. Všeobecný postup pri zaseknutých alebo neúspešných aktualizáciách nájdete v článku Windows Update zlyháva alebo sa dlho točí.

Dlhodobým riešením je zmapovať závislosti od PEAP/MS-CHAPv2 a preveriť modernejšiu autentifikáciu, napríklad EAP-TLS s certifikátmi. Takáto zmena však vyžaduje správu certifikátov, klientské profily a kontrolované nasadenie, nie je to núdzový prepínač na jeden večer.

Rýchla odpoveď

Ak po KB5127648 prestala fungovať firemná Wi-Fi, najprv overte, či sieť používa 802.1X s PEAP/MS-CHAPv2. Notebook môže bezdrôtový adaptér aj SSID vidieť, ale podnikové prihlásenie sa nedokončí. Skontrolujte klientské udalosti a RADIUS logy v rovnakom čase, zastavte ďalšie nasadenie a problém zopakujte na jednom zariadení s nezávislým administrátorským prístupom.

Časté otázky

Týka sa KB5127648 každej firemnej Wi-Fi?

Nie. Microsoft uvádza možné ovplyvnenie spojení používajúcich autentifikáciu založenú na MS-CHAPv2, a to len na zariadeniach s vypnutým Credential Guard a bez nastavenej hodnoty registra BlockNtlmv1SSO. Samotná prítomnosť WPA2-Enterprise ešte nepotvrdzuje, že problém spôsobila táto aktualizácia.

Ako overím, že je KB5127648 nainštalovaná?

Otvorte Nastavenia > Windows Update > História aktualizácií a vyhľadajte KB5127648. Samotné číslo verzie Windowsu nestačí.

Máme KB5127648 odinštalovať zo všetkých počítačov?

Nie bez potvrdenia príčiny. Najprv pozastavte ďalšie nasadenie, uchovajte klientské a serverové logy a vykonajte porovnávací test. Ide o kumulatívnu bezpečnostnú aktualizáciu, takže plošné odstránenie zasiahne aj bezpečnostné opravy, ktoré s Wi-Fi nesúvisia.

Aké je dlhodobé riešenie?

Zmapovať, kde sieť závisí od PEAP/MS-CHAPv2, a preveriť prechod na modernejšiu autentifikáciu, napríklad EAP-TLS s certifikátmi. Trvalé oslabenie ochrany návratom k mechanizmu odvodenému z NTLMv1 príčinu neodstraňuje.