แพตช์ Windows 11 KB5127648 ทำ Wi-Fi องค์กรมีปัญหา พร้อมวิธีแก้ไข!

Microsoft ออกอัปเดต Windows 11 ประจำรอบ Patch Tuesday เดือนตุลาคม 2026 หมายเลข KB5127648 ซึ่งแก้ปัญหา Group Policy ทำงานล้มเหลวในฟีเจอร์ใหม่ Administrator Protection ที่สร้างความลำบากให้ผู้ดูแลระบบไอทีมาตั้งแต่เดือนสิงหาคม แต่หลังติดตั้งอัปเดตดังกล่าว ผู้ดูแลระบบพบปัญหาใหม่ที่กระทบการยืนยันตัวตน โดยคอมพิวเตอร์บางเครื่องไม่สามารถเชื่อมต่อ Wi-Fi ขององค์กรที่ใช้ WPA2-Enterprise ผ่าน 802.1X และ PEAP ได้ตามปกติ

ปัญหานี้เกิดกับอุปกรณ์ที่ใช้ชิปเซ็ต Wi-Fi จากหลายผู้ผลิต รวมถึง Intel และ Qualcomm ขณะที่เครือข่ายแบบ WPA2-Personal ยังใช้งานได้ตามปกติ ผู้ใช้และผู้ดูแลระบบพบวิธีแก้ชั่วคราวผ่าน Windows Registry ที่ช่วยให้กลับมาเชื่อมต่อได้โดยไม่ต้องถอนอัปเดต แต่วิธีนี้ยังไม่ใช่แนวทางแก้ไขอย่างเป็นทางการจาก Microsoft

หลังติดตั้งอัปเดต KB5127648 ระบบจะเริ่มกระบวนการยืนยันตัวตนเพื่อเชื่อมต่อ Wi-Fi แต่ไม่สามารถดำเนินการจนเสร็จสมบูรณ์ ส่งผลให้ไม่สามารถเข้าถึงเครือข่ายขององค์กรได้

ผู้ดูแลระบบไอทีจำนวนมากรายงานปัญหานี้ผ่านฟอรัมของ Microsoft โดยพบในอุปกรณ์ที่ใช้ฮาร์ดแวร์จากหลายผู้ผลิต จึงมีแนวโน้มว่าปัญหาเกิดจากตัวระบบปฏิบัติการเอง มากกว่าความผิดปกติของชิปเซ็ต Wi-Fi จากผู้ผลิตรายใดรายหนึ่ง

นอกจากนี้ ผู้ดูแลระบบยังพบว่า เมื่อถอนการติดตั้ง KB5127648 และรีสตาร์ตคอมพิวเตอร์ การเชื่อมต่อ Wi-Fi กลับมาใช้งานได้อีกครั้ง ซึ่งเป็นหลักฐานหนักแน่นว่าอัปเดตนี้เป็นตัวกระตุ้นให้เกิดปัญหา

WPA2-Enterprise และ PEAP ส่งผลต่อองค์กรอย่างไร?

WPA2-Enterprise เป็นระบบรักษาความปลอดภัยของ Wi-Fi ที่นิยมใช้ในองค์กรและเครือข่ายที่มีการบริหารจัดการจากส่วนกลาง โดยทำงานร่วมกับมาตรฐาน 802.1X เพื่อยืนยันตัวตนของผู้ใช้หรืออุปกรณ์ก่อนอนุญาตให้เข้าถึงเครือข่าย ส่วน PEAP (Protected Extensible Authentication Protocol) เป็นหนึ่งในวิธียืนยันตัวตนที่ใช้ในสภาพแวดล้อมเหล่านี้

หากคอมพิวเตอร์ไม่สามารถยืนยันตัวตนได้ พนักงานอาจไม่สามารถเข้าถึงเครือข่ายภายในและทรัพยากรที่จำเป็นต่อการทำงานได้ องค์กรที่ใช้ WPA2-Enterprise ร่วมกับ 802.1X และ PEAP จึงควรตรวจสอบผลกระทบก่อนติดตั้งอัปเดตในวงกว้าง

วิธีแก้ไขชั่วคราวด้วย Windows Registry

ผู้ใช้และผู้ดูแลระบบหลายรายยืนยันว่า การกำหนดค่า Registry ชื่อ BlockNtlmv1SSO เป็น 0 ช่วยแก้ปัญหาได้ โดยยังคงติดตั้งอัปเดต KB5127648 ไว้ได้ วิธีนี้เป็นแนวทางที่พบจากฝั่งผู้ใช้ ไม่ใช่การแก้ไขอย่างเป็นทางการจาก Microsoft และควรประเมินความเสี่ยงด้านความปลอดภัยก่อนนำไปใช้

1. เปิด Registry Editor ด้วยสิทธิ์ Administrator

2. ไปที่ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

3. หากยังไม่มีค่า BlockNtlmv1SSO ให้สร้างค่าใหม่ชนิด DWORD (32-bit) ชื่อ BlockNtlmv1SSO

4. กำหนด Value data เป็น 0

5. รีสตาร์ตคอมพิวเตอร์ แล้วทดสอบการเชื่อมต่อ Wi-Fi อีกครั้ง

สำหรับองค์กรที่มีเครื่องได้รับผลกระทบจำนวนมาก มีผู้ใช้รายงานว่าสามารถ deploy การตั้งค่านี้ผ่าน Group Policy ได้สำเร็จ ซึ่งสะดวกกว่าการแก้ทีละเครื่อง

ข้อควรระวัง: ควรสำรอง Registry ก่อนแก้ไข และทดสอบกับเครื่องจำนวนน้อยก่อนนำไปใช้ทั้งองค์กร

สาเหตุที่เป็นไปได้: การจำกัด NTLMv1

ตั้งแต่ Windows 11 เวอร์ชัน 24H2 Microsoft ทยอยเพิ่มข้อจำกัดกับข้อมูลรับรองที่อาศัยการเข้ารหัสแบบ NTLMv1 ซึ่งอาจถูกใช้ในการทำ Single Sign-On (SSO) บางกรณี รวมถึงการเชื่อมต่อ Wi-Fi, Ethernet และ VPN ที่ใช้ MS-CHAPv2 ในการยืนยันตัวตน

ตามเอกสารของ Microsoft ค่า BlockNtlmv1SSO กำหนดว่า Windows จะตรวจสอบ (audit) หรือบล็อกการสร้างข้อมูลรับรองที่อาศัย NTLMv1 สำหรับผู้ใช้ที่ล็อกอินอยู่

• ค่า 0 — Audit mode: อนุญาตให้ดำเนินการได้ตามปกติ โดย Windows จะตรวจสอบการใช้งานไว้

• ค่า 1 — Enforce mode: บล็อกการสร้างข้อมูลรับรองดังกล่าว

Microsoft เคยระบุแผนเปลี่ยนค่าเริ่มต้นเป็น Enforce mode ในเดือนตุลาคม 2026 สำหรับอุปกรณ์ที่ไม่ได้กำหนดค่านี้ไว้อย่างชัดเจน ซึ่งน่าจะอธิบายได้ว่าทำไมปัญหาเกิดขึ้นในตอนนี้ อย่างไรก็ตาม Microsoft ยังไม่ได้ยืนยันอย่างเป็นทางการว่านี่คือสาเหตุ

การตั้งค่าเป็น 0 จึงเท่ากับการอนุญาตให้ใช้พฤติกรรมการยืนยันตัวตนแบบเก่าที่ Microsoft กำลังทยอยยกเลิกต่อไป ทั้งนี้ Microsoft ระบุว่า Credential Guard ช่วยป้องกันการเข้ารหัสแบบเก่านี้อยู่แล้ว และแนะนำให้เปิดใช้บนอุปกรณ์ที่รองรับ

ผู้ดูแลระบบควรทำอย่างไร?

องค์กรที่พบปัญหาหลังติดตั้ง KB5127648 อาจพิจารณาดำเนินการดังนี้

1. ตรวจสอบว่าเครื่องที่มีปัญหาติดตั้ง KB5127648 แล้วหรือไม่

2. ทดสอบการแก้ Registry กับเครื่องจำนวนจำกัดก่อน หากได้ผลจึงพิจารณา deploy ผ่าน Group Policy

3. ประเมินความเสี่ยงจากการอนุญาตให้ใช้กลไกการยืนยันตัวตนแบบเก่า และพิจารณาเปิด Credential Guard บนอุปกรณ์ที่รองรับ

4. วางแผนย้ายระบบยืนยันตัวตน Wi-Fi ออกจากกลไกที่พึ่งพา NTLMv1 เพราะ Microsoft ตั้งใจจะยกเลิกในที่สุด

5. ติดตามประกาศจาก Microsoft เพื่อรับทราบแนวทางแก้ไขอย่างเป็นทางการ

อีกทางเลือกคือถอนการติดตั้งอัปเดตบนเครื่องที่ได้รับผลกระทบ แต่เครื่องจะสูญเสียทั้งการอุดช่องโหว่ความปลอดภัยและการแก้ปัญหา Administrator Protection ที่มากับแพตช์นี้

สรุป

อัปเดต Windows 11 KB5127648 แก้ปัญหา Administrator Protection แต่ทำให้การยืนยันตัวตน Wi-Fi แบบ WPA2-Enterprise ที่ใช้ 802.1X และ PEAP ล้มเหลวในคอมพิวเตอร์บางเครื่อง การตั้งค่า BlockNtlmv1SSO เป็น 0 ช่วยแก้ปัญหาได้ชั่วคราวโดยไม่ต้องถอนอัปเดต แต่เป็นการเปิดให้ใช้กลไกแบบเก่าต่อ ผู้ดูแลระบบจึงควรทดสอบและประเมินความเสี่ยงก่อนนำไปใช้ และติดตามการแก้ไขอย่างเป็นทางการจาก Microsoft อย่างใกล้ชิด

ที่มา neowin