微软计划2027年5月起拒绝未签名NTLM连接
微软宣布通过Windows更新逐步加强NTLM身份验证安全机制，第一阶段自2026年11月10日起要求Windows客户端默认提供NTLM消息签名，第二阶段计划2027年5月启动，Windows Server将默认拒绝未签名连接，以降低中继攻击风险。
驱动中国11月12日消息，微软官方宣布，即日起通过 Windows 更新逐步加强 NTLM 身份验证安全机制，要求 Windows 客户端默认在所有连接中提供 NTLM 消息签名，以降低中间人攻击和 NTLM 中继攻击风险。微软表示，此次调整分两个阶段进行，第二阶段将于2027年5月启动，届时 Windows Server 将默认强制要求客户端使用 NTLM 签名，未提供签名的客户端将被拒绝连接。
根据微软发布的 KB5135557 支持文档，此次安全改进旨在修复编号为 CVE-2026-118737 的安全漏洞，也是微软针对 NTLM 消息签名机制推出的第一阶段改进。NTLM 是 Windows 系统长期使用的一种网络身份验证协议。
微软指出，NTLM 存在两种签名模式：一种是真正的加密消息签名，可以建立会话密钥并提供密码学保护；另一种是传统的 ALWAYS_SIGN 占位机制，虽然会生成16字节数据，但并不具备真正的加密保护。微软此前发现，部分应用程序没有请求完整性检查等安全上下文要求，导致系统可能采用缺乏实际加密保护的传统签名模式。
此次更新将进一步确保经过身份验证的 NTLM 会话建立加密会话密钥，并协商真正的消息签名，从而降低攻击者利用 NTLM 中继攻击冒充合法用户的风险。
微软公布的实施时间表显示，第一阶段从2026年11月10日开始，Windows 客户端默认在所有非匿名连接中提供 NTLM 签名，而服务器暂时同时接受使用签名和未使用签名的客户端。系统还会通过审计事件识别尚未启用真正签名的客户端。
第二阶段计划于2027年5月启动，届时 Windows Server 将默认要求 NTLM 连接使用消息签名。未提供签名的客户端将被安全配置下的服务器拒绝连接。
微软同时提供审计方法，管理员可以通过 Windows 事件查看器中的 Microsoft-Windows-NTLM / Operational 日志检查连接状态。其中，事件 ID 4022 用于记录客户端侧信息，事件 ID 4023 用于记录服务器侧信息。