Windows、10月の更新で社内Wi-Fi・VPNに影響も IT部門が対応すべき直近の“期限”を整理：ITニュースピックアップ

Windowsの更新プログラムを適用すると、社内ネットワークに接続できなくなる――。そうした影響が出る恐れのある変更を、Microsoftが明らかにした。影響を受ける環境と、IT部門が期限までに済ませるべき対応とは。

[ITmedia]

　Microsoftは2026年11月3日（現地時間）、IT管理者向けのブログ「Windows IT Pro Blog」で、同年10月に提供した「Windows」関連の更新や変更をまとめた記事を公開した。新機能の追加とともに、IT部門が計画を立てて対応する必要のあるセキュリティ強化策や、製品の更新プログラムの提供期限を取り上げている。

　IT部門の対応が必要な主な変更は、認証、証明書、製品のライフサイクルの3分野にわたる。中には、更新プログラムの適用後に、社内のWi-Fiや有線LAN、VPNへ接続できなくなる恐れのある変更もある。

　では、どのような環境が影響を受けるのか。IT部門は何に、いつまでに対応すればよいのか。

IT部門が備えるべき変更と期限は？

　Microsoftがブログ記事で対応を促している主な変更は、認証のセキュリティ強化、証明書に関する2件の変更、3製品の更新プログラムの提供終了だ。

　Microsoftは2026年10月13日に公開したセキュリティ更新プログラムから、旧来の認証プロトコル「NTLMv1」に由来する資格情報をシングルサインオン（SSO）に使うことを、既定でブロックするようにした。対象はWindows 11（バージョン26H2、25H2、24H2）と「Windows Server 2025」の端末のうち、資格情報を保護する機能「Credential Guard」を無効にしているものだ。

　この変更は、認証プロトコル「MS-CHAPv2」を使ってWi-Fiや有線LAN、VPNに接続する環境に影響する可能性がある。ブロックされるのはシングルサインオンによる接続で、資格情報を手動で入力すれば接続できる。Microsoftは、影響を受ける構成を特定し、証明書を使う認証方式に移行するよう呼び掛けている。すぐに移行できない場合は、レジストリ値「BlockNtlmv1SSO」を「0」（監査モード）に設定すれば一時的に従来の動作に戻せる。ただしMicrosoftは、この設定を限定的で一時的な例外にとどめるよう求めている。

　証明書に関する1件目の変更は、認証局（CA）のeMudhraへの対応だ。Microsoftのセキュリティ対応組織MSRC（Microsoft Security Response Center）によると、eMudhraの「emSign G3」階層にある中間CAの鍵8件が、復元できるほど脆弱（ぜいじゃく）な方法で生成されていた。Microsoftは影響を受けるCAをブロックし、関連する7件の証明書をWindowsとWebブラウザ「Microsoft Edge」の信頼リストから削除した。

　Microsoftは、Windowsの証明書信頼リストとEdgeのコンポーネントについて、自動更新を止めないよう求めている。ネットワークから切り離された端末の確認や、削除された証明書に依存する証明書の置き換えも求めている。

　2件目は、更新プログラムの配信サービス「Windows Update」の証明書の期限切れだ。端末がWindows Updateとの間で信頼できる接続を確立するために使う証明書は、2027年5月17日と6月19日に有効期限を迎える。代わりの証明書は多くの端末に毎月の更新プログラムを通じて届くが、一部の端末ではIT部門の追加の対応が必要になる場合がある。期限までに新しい証明書を導入できなかった端末は、Windows Updateから更新プログラムを一切受け取れなくなる。Microsoftは、サポート対象外の端末や更新が遅れている端末を期限までに見直すよう求めている。

　製品のライフサイクルでは、次の3製品が更新プログラムの提供期限を迎える。

1. Windows 11 バージョン23H2：　EnterpriseエディションとEducationエディションの更新プログラムの提供が2026年11月10日に終了する
2. Windows Server 2016：　2027年1月12日にサポートが終了し、以降はセキュリティ更新プログラムが提供されなくなる。対象のエディションでは拡張セキュリティ更新プログラム（ESU）を利用できる
3. Windows 10 Enterprise LTSC 2021：　2027年1月12日に更新プログラムの提供が終了する。Microsoftは「Windows 11 Enterprise LTSC 2024」への移行を推奨している。対象の端末ではESUを利用できる

　この他、エンドポイント管理サービス「Microsoft Intune」は2027年1月15日に、Windows端末をMDM（モバイルデバイス管理）のみで登録する際のCNAMEレコードによる自動検出のサポートを終了する。Windows Serverのリモートデスクトップ機能「RD Web Access」は、Edgeや「Google Chrome」での表示にXML変換技術「XSLT」を使っている。Microsoftは、WebブラウザがXSLTを無効にする変更に備え、RD Web Accessを使う組織に回避策を確認するよう求めている。