Atualização do Windows deixa computadores sem acesso automático à rede: está na hora de migrar para certificados
A atualização de segurança do Windows de outubro de 2026 pode deixar portáteis e PCs empresariais sem ligação automática ao Wi-Fi, à rede por cabo ou à VPN. Em causa está um método de autenticação antigo, que usa o utilizador e a password do Windows para dar acesso à rede, e cuja ligação automática a Microsoft está a desativar por razões de segurança. A solução recomendada pela própria Microsoft é passar para autenticação por certificado digital.
O que mudou?
Muitas empresas ligam os computadores à rede com as mesmas credenciais com que os utilizadores entram no Windows. O método técnico chama-se PEAP-MSCHAPv2 e é prático: o utilizador inicia sessão e fica ligado sem fazer mais nada. Mas assenta em criptografia herdada do NTLM, uma tecnologia que a Microsoft considera insegura e que está a eliminar progressivamente.
A desativação está a acontecer em duas fases. Desde o Windows 11 22H2, nos computadores com licença Enterprise ou Education (e em alguns Pro), o Credential Guard vem ativo por defeito e já bloqueia a ligação automática com este método. Com a atualização de 13 de outubro de 2026 (KB5127648), o bloqueio passa a aplicar-se também aos restantes computadores com Windows 11 24H2, 25H2 e 26H2, e a Microsoft avisa que pode afetar ligações Wi-Fi, por cabo e VPN que usem MS-CHAPv2. No Windows Server 2025, a alteração chega com a KB5126646.
Quem é afetado e como se nota?
Estão em causa as organizações com Wi-Fi empresarial (WPA2/WPA3-Enterprise), autenticação 802.1X na rede por cabo ou VPN nativa do Windows que validem o utilizador do Windows através de um servidor NPS ou RADIUS.
Depois da atualização, os computadores deixam de se ligar sozinhos à rede da empresa. Os utilizadores passam a ter de introduzir a password sempre que se ligam ou ficam simplesmente sem acesso. Existe uma medida temporária para repor o funcionamento, mas reduz a proteção do Windows, não funciona nos equipamentos com Credential Guard e a própria Microsoft apresenta-a apenas como exceção enquanto a migração não é feita.
Adiar as atualizações também não é alternativa: a alteração vem incluída nas atualizações de segurança mensais, e deixar de as instalar abre outras portas.
A solução? Autenticação por certificado
A Microsoft recomenda substituir este método por autenticação com certificado, conhecida como EAP-TLS, tal como descreve na documentação sobre o Credential Guard. Cada computador recebe automaticamente um certificado digital que o identifica na rede, sem depender da password do utilizador.
As vantagens vão além de resolver o problema imediato. O EAP-TLS não é afetado por esta alteração. A autenticação deixa de depender da password, reduzindo o risco de as credenciais serem capturadas e quebradas a partir da rede. E a organização fica preparada para o acesso sem password, com Windows Hello ou chaves FIDO2.
A Eurotux conduz a passagem para EAP-TLS como um projeto faseado, que começa num grupo piloto e se alarga depois por sede ou por rede. Durante a migração, os dois métodos funcionam em paralelo, sendo esta fase planeada de acordo com o estado de atualização dos computadores: a transição é praticamente transparente para os utilizadores e existe sempre um plano de reversão.
O trabalho passa por criar ou ajustar a infraestrutura de certificados (Active Directory Certificate Services ou Microsoft Intune), com emissão automática para os computadores, e por reconfigurar o servidor NPS ou RADIUS para aceitar certificados. Os perfis de Wi-Fi, rede por cabo e VPN são atualizados de forma centralizada. Para os equipamentos que não suportam certificados, como impressoras, telemóveis pessoais ou dispositivos IoT, é definida uma alternativa, por exemplo uma rede isolada.
Os access points e os switches mantêm-se, normalmente sem alterações relevantes, pelo que não é preciso substituir equipamento de rede. A dimensão de cada projeto depende do número de localizações e de computadores, dos equipamentos sem suporte a certificados e da infraestrutura existente, e é avaliada caso a caso.
Se a sua organização autentica os computadores na rede com as credenciais do Windows, vale a pena avaliar já a migração, antes de os problemas chegarem aos utilizadores. A equipa da Eurotux pode analisar a sua infraestrutura e propor o plano mais adequado.
