Sự cố mạng sau bản cập nhật Windows tháng 10/2026: NTLM có thể là nguyên nhân

Bản cập nhật bảo mật Windows tháng 10/2026 có thể khiến một số hệ thống mạng ngừng hoạt động, và thủ phạm nhiều khả năng là NTLMv1 — giao thức xác thực đã tồn tại hơn ba thập kỷ nhưng chưa bao giờ thực sự biến mất khỏi các môi trường doanh nghiệp.

Một thay đổi tưởng chừng rất nhỏ trong bản cập nhật này lại có thể gây ra hậu quả lớn đối với các quản trị viên và tổ chức chưa hoàn tất quá trình di chuyển khỏi công nghệ cũ. Cụ thể, nếu khóa đăng ký BlockNtlmSSO chưa được thiết lập, Windows sẽ tự động chuyển từ chế độ Audit (0) sang chế độ Enforce (1), qua đó chặn các yêu cầu sử dụng thông tin xác thực bắt nguồn từ NTLMv1.

Minh họa bản cập nhật bảo mật Windows và giao thức NTLM

Chuyện gì đang xảy ra với bản cập nhật tháng 10/2026?

Trước bản cập nhật tháng 10/2026, Windows vẫn cho phép sử dụng thông tin xác thực bắt nguồn từ NTLMv1 để đăng nhập một lần (Single Sign-On), đồng thời tạo ra các sự kiện cảnh báo để quản trị viên biết hệ thống nào còn phụ thuộc vào giao thức này.

Sau khi cập nhật, mọi yêu cầu sử dụng thông tin xác thực NTLMv1 sẽ bị chặn hoàn toàn. Hệ quả trực tiếp là các kết nối Wi-Fi, Ethernet và VPN có thể bị ảnh hưởng, khiến người dùng không thể truy cập tài nguyên mạng dù tài khoản và mật khẩu vẫn hoàn toàn hợp lệ.

Điều đáng lưu ý là bản cập nhật không tự động thiết lập giá trị của BlockNtlmSSO. Quản trị viên có thể đặt giá trị này về 0 để tạm thời cho phép thông tin xác thực Single Sign-On bắt nguồn từ NTLMv1. Tuy nhiên, Microsoft cảnh báo rõ ràng:

"Việc sử dụng chế độ Audit làm giảm mức bảo vệ mà chế độ Enforce mang lại, và chỉ nên được coi là một ngoại lệ bảo mật tạm thời, có phạm vi giới hạn."

Đây là thiết kế, không phải lỗi

Cần nhấn mạnh rằng đây không phải là một lỗi mà là hành vi được thiết kế có chủ đích. Microsoft đã đưa NTLM vào danh sách các công nghệ bị khai tử từ năm 2024, đồng thời bổ sung nhật ký kiểm toán cho việc sử dụng NTLMv1 vào cuối tháng 8/2025.

Gã khổng lồ phần mềm không hề giấu diếm tham vọng loại bỏ công nghệ cũ này. Ngay từ năm 2023, hãng đã tuyên bố:

"Mục tiêu cuối cùng của chúng tôi là loại bỏ hoàn toàn nhu cầu sử dụng NTLM."

Vấn đề nằm ở tuổi thọ đáng kinh ngạc của NTLM. Giao thức này ra đời từ năm 1993 cùng Windows NT 3.1, và việc loại bỏ nó khỏi môi trường doanh nghiệp tỏ ra vô cùng nan giải, dù theo tiêu chuẩn hiện đại nó đã khá mất an toàn. Microsoft từng gỡ NTLM khỏi Windows 11 24H2 và Windows Server 2025, nhưng vẫn còn sót lại một số thành phần — đáng chú ý là khi sử dụng các kết nối dựa trên MS-CHAPv2, bao gồm PEAP-MSCHAPv2 và EAP-MSCHAPv2 trong môi trường đã tham gia miền (domain-joined).

Chính vì vậy, chế độ Audit được giới thiệu vào năm 2025 như một công cụ giúp quản trị viên phát hiện những nơi giao thức này vẫn còn được sử dụng.

Những điểm cần lưu ý cho quản trị viên

• Kiểm tra ngay xem khóa BlockNtlmSSO có được thiết lập trên hệ thống hay không.
• Nếu bật Credential Guard, hệ thống có thể tránh được việc chặn xác thực NTLMv1.
• Việc đặt BlockNtlmSSO về chế độ Audit (0) chỉ là giải pháp tạm thời, và theo dự đoán sẽ hết hiệu lực khi phiên bản Windows lớn tiếp theo ra mắt.
• Rà soát các kết nối VPN, Wi-Fi doanh nghiệp dùng PEAP-MSCHAPv2 hoặc EAP-MSCHAPv2 để chuyển sang phương thức xác thực hiện đại hơn.

Đến nay là năm 2026, Microsoft đã thực hiện bước tiếp theo trong lộ trình của mình. Nếu Credential Guard không được bật và BlockNtlmSSO không ở chế độ Audit (0), việc sử dụng thông tin xác thực bắt nguồn từ NTLMv1 sẽ bị chặn, như một phần trong nỗ lực "hoàn tất việc vô hiệu hóa NTLMv1".

Ý nghĩa với doanh nghiệp Việt Nam

Với nhiều tổ chức, doanh nghiệp tại Việt Nam vẫn đang vận hành hệ thống Windows Server và các thiết bị mạng phụ thuộc vào xác thực cũ, đây là lời cảnh tỉnh đáng chú ý. Các hệ thống Wi-Fi nội bộ dùng RADIUS, VPN cho nhân viên làm việc từ xa, hay máy in và thiết bị IoT kết nối qua xác thực miền đều có thể là "điểm mù" khiến việc di chuyển bị trì hoãn.

Microsoft khẳng định các phiên bản Windows dành cho máy khách và máy chủ đang lưu hành trên thị trường vẫn tiếp tục hỗ trợ NTLM. Tuy nhiên, hãng cũng nêu rõ: "Mục tiêu dài hạn của chúng tôi là một nền tảng Windows không cần đến NTLM."

Như vậy, nếu thông điệp trước đây chưa đủ rõ ràng, thì việc chuyển sang chế độ Enforce mặc định khiến nó không thể bị bỏ qua. Công nghệ này vẫn tồn tại trong hệ điều hành, nhưng đang trên đà bị loại bỏ và sẽ biến mất hoàn toàn trong một phiên bản Windows trong tương lai.

Nếu bạn gặp sự cố kết nối mạng sau bản cập nhật Windows tháng 10/2026, rất có thể đó là dấu hiệu cho thấy kế hoạch di chuyển khỏi NTLM của tổ chức chưa tiến xa — hoặc chưa hoàn thiện — như các quản trị viên vẫn tưởng.