Argo's New Dreams

TL;DR: Con l’aggiornamento di sicurezza Windows del 13 ottobre 2026, Windows 11 24H2/25H2/26H2 e Windows Server 2025 senza Credential Guard bloccano per default le credenziali SSO derivate da NTLMv1: Wi-Fi, Ethernet e VPN in MS-CHAPv2 possono smettere di collegarsi da sole. Poi tre scadenze: proprietà -Migration di Exchange dal 15/11/2026, app Copilot Studio fuori da Teams a febbraio 2027, voicemail Teams via email rinnovata da marzo 2027.

Domenica mattina, caffè, e la solita pila di email “Major update from Message center”. Fra l’11 e il 25 ottobre 2026 me ne sono arrivate sei: cinque avvisi singoli e un digest settimanale. Quattro meritano attenzione, e una in particolare è già attiva sui PC che hanno installato il Patch Tuesday di ottobre.

Nella mia esperienza, i problemi più fastidiosi non sono le grandi migrazioni annunciate con mesi di anticipo, ma i piccoli cambi di default: nessuno tocca il registro, nessuno cambia una policy, e lunedì mattina il Wi-Fi aziendale chiede la password a metà ufficio. Ho iniziato il mestiere quando le reti wireless erano una novità e l’autenticazione era un atto di fede: rivedere MS-CHAPv2 in prima pagina nel 2026 mi fa sorridere, ma solo un po’.

Che cosa è arrivato nel Message Center fra l’11 e il 25 ottobre 2026?

Fra l’11 e il 25 ottobre 2026 il Message Center ha inviato cinque avvisi di rilievo per gli amministratori Microsoft 365 e Windows: NTLMv1 (MC1508562), proprietà Exchange Online -Migration (MC1511071), ritiro dell’app Copilot Studio in Teams (MC1511056), nuova consegna email delle voicemail Teams (MC1511072) e fusi orari canadesi (MC1510951), più un digest settimanale.

Il Message Center è la bacheca del Microsoft 365 admin center dove Microsoft annuncia cambi, ritiri e azioni richieste; ogni avviso ha un identificativo “MC” e, quando serve, una data “act by” entro cui agire. Ecco il quadro in ordine di urgenza:

Avviso	Servizio	Data chiave	Urgenza
MC1508562 – NTLMv1 hardening	Windows 11 24H2/25H2/26H2, Windows Server 2025	Security update del 13/10/2026 (già attivo)	Alta: è già in produzione
MC1511071 – proprietà -Migration	Exchange Online PowerShell	15/11/2026 (non restituite), 15/12/2026 (non configurabili)	Alta per chi ha script di migrazione
MC1510951 – fusi orari Canada	Windows / Windows Server, Outlook	01/11/2026	Bassa in Italia, alta per chi ha sedi in Canada
MC1511056 – Copilot Studio in Teams	Copilot Studio, Teams	Gennaio 2027 stop modifiche, febbraio 2027 rimozione	Media
MC1511072 – voicemail Teams via email	Teams Calling, Exchange Online	Rollout stimato da inizio marzo a fine giugno 2027	Media, ma da preparare

Perché dopo l’aggiornamento di ottobre 2026 il Wi-Fi o la VPN possono non collegarsi più in automatico?

Dopo l’aggiornamento di sicurezza Windows del 13 ottobre 2026, se il valore di registro BlockNtlmv1SSO non è impostato e Credential Guard è disattivato, Windows 11 24H2/25H2/26H2 e Windows Server 2025 passano da Audit mode (0) a Enforce mode (1): le richieste di credenziali SSO derivate da NTLMv1 vengono bloccate, e le connessioni MS-CHAPv2 possono fallire.

Due definizioni. NTLMv1 è un vecchio protocollo di autenticazione Microsoft, nato con Windows NT 3.1 nel 1993 secondo The Register. MS-CHAPv2 è il metodo di autenticazione usato da molte reti Wi-Fi aziendali, porte Ethernet 802.1X e VPN nelle varianti PEAP-MSCHAPv2 ed EAP-MSCHAPv2. Microsoft ha già rimosso il protocollo NTLMv1 da Windows 11 24H2 e Windows Server 2025, ma nella KB5066470 spiega che “remnants of NTLMv1 cryptography are still present in some scenarios”, proprio nelle connessioni MS-CHAPv2 in ambiente di dominio.

La cronologia, secondo MC1508562 e KB5066470:

• fine agosto 2025: introdotta la chiave BlockNtlmv1SSO e l’Audit mode su Windows 11 24H2 e successivi;
• novembre 2025: rollout su Windows Server 2025;
• 13 ottobre 2026: il default interno, se la chiave non è configurata, diventa Enforce mode.

L’effetto pratico descritto da Microsoft è sottile: l’inserimento manuale delle credenziali può continuare a funzionare, ma le credenziali non possono essere salvate per gli accessi successivi. Tradotto: la connessione automatica sparisce e gli utenti iniziano a chiamare l’help desk. Microsoft sottolinea anche che si tratta di “a planned change in Windows”, non di un bug dell’aggiornamento.

Come capisco se i miei dispositivi sono coinvolti dal blocco NTLMv1?

Un dispositivo è coinvolto se esegue Windows 11 24H2, 25H2 o 26H2 oppure Windows Server 2025, ha Credential Guard disattivato, non ha il valore BlockNtlmv1SSO configurato e usa MS-CHAPv2 per un accesso SSO a Wi-Fi, Ethernet o VPN. I dispositivi con Credential Guard attivo bloccavano già questo comportamento e non cambiano.

Un dettaglio che può confondere: l’aggiornamento non crea né modifica la chiave di registro. Chi apre il registro dopo la patch e non trova nulla potrebbe pensare che non sia cambiato niente; invece è cambiato il comportamento predefinito quando la chiave manca. La procedura descritta da Microsoft:

1. Controllare il valore in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0, nome BlockNtlmv1SSO, tipo REG_DWORD (0 = Audit, 1 = Enforce).
2. Consultare il registro eventi Microsoft-Windows-NTLM/Operational: l’Event ID 4024 (warning) segnala una richiesta auditata e consentita; l’Event ID 4025 (errore) una richiesta bloccata.
3. Soluzione consigliata da Microsoft: migrare le connessioni da PEAP-MSCHAPv2/EAP-MSCHAPv2 ad autenticazione basata su certificati, come PEAP-TLS o EAP-TLS.
4. Opzione temporanea: impostare BlockNtlmv1SSO a 0 per tornare in Audit mode.

Sull’opzione temporanea Microsoft è netta: “Using Audit mode reduces the protection provided by Enforce mode and should only be considered as a scoped, temporary security exception.” E la direzione non lascia dubbi. Secondo The Register, nel 2023 Microsoft scriveva: “Our end goal is eliminating the need to use NTLM at all.”; a settembre 2026 ha ribadito: “Our long-term objective is a Windows platform that doesn’t need NTLM at all.”

Il mio parere: rimettere la chiave a 0 su tutto il parco macchine è come togliere la batteria al rilevatore di fumo perché suona. Va bene per una notte, su un perimetro definito, con una data di scadenza scritta da qualche parte.

Quali script Exchange Online smettono di funzionare dal 15 novembre 2026?

Dal 15 novembre 2026 alcune proprietà non saranno più restituite negli scenari Get-Mailbox -Migration e New-Mailbox -Migration di Exchange Online PowerShell; dal 15 dicembre 2026 non potranno più essere configurate tramite New-Mailbox -Migration. Sono a rischio script, applicazioni e strumenti di terze parti che leggono o impostano quelle proprietà.

MC1511071 è etichettato “Act by Nov 15, 2026” e rientra negli sforzi di “Exchange Online management and directory modernization”. Le azioni indicate da Microsoft prima del 15 novembre 2026:

• censire script, applicazioni e integrazioni che usano Get-Mailbox -Migration, New-Mailbox -Migration o Set-Mailbox -Migration;
• confrontarli con l’elenco delle proprietà pubblicato su Microsoft Learn nella pagina “Changes to Get-Mailbox and New-Mailbox specifically with the Migration parameter” [VERIFY: elenco completo delle proprietà deprecate e URL della pagina – fonte: Microsoft Learn, “Changes to Get-Mailbox and New-Mailbox specifically with the Migration parameter”];
• aggiornare e testare i flussi;
• se una proprietà è indispensabile, aprire un caso al supporto Microsoft indicando proprietà, cmdlet, scenario e impatto atteso.

Un’incongruenza da segnalare: nell’esempio interno allo stesso avviso si legge che Get-Mailbox -Migration non riceverà più le proprietà “beginning November 10, 2026”, mentre il resto del testo indica il 15 novembre. [VERIFY: data di inizio effettiva, 10 o 15 novembre 2026 – fonte: MC1511071 nel Message Center del tenant]. Nel dubbio, conviene testare prima del 10.

L’app Copilot Studio esce da Teams: gli agenti smettono di funzionare?

No: con MC1511056 Microsoft ritira l’app Copilot Studio dentro Microsoft Teams, non gli agenti. Da gennaio 2027 non si potranno più modificare gli agenti dall’app Teams, da febbraio 2027 l’app sarà rimossa. Creazione, modifica, pubblicazione e gestione degli agenti “classic-style” continuano nell’app web copilotstudio.microsoft.com.

La creazione di nuovi agenti nell’app Teams è già disabilitata; il rollout del ritiro è previsto da inizio gennaio a inizio febbraio 2027. Microsoft chiede agli amministratori di informare gli utenti, aggiornare documentazione, formazione e procedure di help desk, rivedere segnalibri e comunicazioni che puntano all’app Teams e indirizzare tutti su https://copilotstudio.microsoft.com/.

Qui il rischio vero è organizzativo, non tecnico. Molti dei primi bot aziendali (la FAQ HR, l’assistente IT) sono nati dentro Teams per mano di un “champion” volenteroso, ai tempi di Power Virtual Agents. È il momento giusto per fare l’inventario: chi è il proprietario di ogni agente, chi lo usa, chi lo manterrà. Lo dico spesso: un agente non si consegna, si accompagna.

Cosa cambia nelle email della segreteria telefonica di Teams?

Con MC1511072 le email delle voicemail Teams non mostreranno più il chiamante nel campo From: nome e numero passano nell’oggetto e restano nel corpo. Il mittente diventa “Microsoft Teams” con un indirizzo no-reply del dominio predefinito del tenant, o un dominio personalizzato, con SPF, DKIM e DMARC dell’organizzazione. Rollout stimato da inizio marzo a fine giugno 2027.

Oggi le voicemail da rete telefonica (PSTN) arrivano dal dominio skype.voicemail.microsoft.com; dopo il cambio useranno il dominio del tenant. Microsoft spiega l’obiettivo così: “improve security and give organizations more control over sender identity”, per contrastare spoofing e impersonificazione. Cambia anche l’oggetto: oggi “Voice mail (22 seconds)”, domani per esempio “John Smith (+19371817273) – Voicemail (00:22)”.

L’azione raccomandata è rivedere regole di flusso della posta (mail-flow rule), liste di mittenti consentiti, filtri, instradamenti e automazioni che dipendono dal mittente o dal dominio attuale. Microsoft precisa che il calendario “is subject to change” e che pubblicherà un nuovo avviso con date confermate e azioni richieste.

E gli altri avvisi del periodo?

Gli altri avvisi del periodo sono il cambio dei fusi orari canadesi (MC1510951), rilevante solo per chi ha utenti o sedi in Manitoba, Alberta o British Columbia, e il digest settimanale dell’11 ottobre 2026 con 25 avvisi del 5-11 ottobre, alcuni con scadenze utili anche alle PMI italiane.

MC1510951 – fusi orari in Canada. Gli aggiornamenti Windows del 13 ottobre 2026 introducono i nuovi fusi orari per Manitoba, Alberta e British Columbia, con entrata in vigore il 1° novembre 2026. La KB5126646 di Windows Server 2025 conferma l’ora legale permanente per British Columbia e Alberta da novembre 2026 e il nuovo fuso “Manitoba Standard Time”. Chi ha sedi o riunioni con il Canada deve aggiornare i dispositivi e controllare il calendario di Outlook.

Dal digest dell’11 ottobre 2026, gli avvisi che segnerei in agenda:

• MC1490899 – fine del Targeted Release in Microsoft 365;
• MC1446796 – migrazione da Exchange Web Services (EWS);
• MC1492825 – fine supporto di Windows 11 23H2;
• MC1492958 – ritiro dei token non standard delle API file di Graph/SharePoint/OneDrive entro aprile 2027;
• MC1488841 – blocco degli allegati .msix/.msixbundle in Outlook;
• MC1477185 – storage pay-as-you-go di OneDrive;
• MC1493223 – Skills in Copilot Chat.

Implicazioni pratiche per le PMI italiane

Per una PMI italiana l’avviso da non rimandare è NTLMv1, perché è già attivo con il Patch Tuesday di ottobre. Nella mia esperienza le PMI usano spesso PEAP-MSCHAPv2 per il Wi-Fi aziendale, perché si configura in fretta su un server NPS senza dover gestire un’infrastruttura di certificati. È esattamente lo scenario colpito. Se nessuno ha attivato Credential Guard né toccato la chiave, i portatili aggiornati sono passati in Enforce mode in silenzio.

La migrazione a EAP-TLS richiede una PKI (l’infrastruttura che emette i certificati), anche cloud con Intune, e un po’ di pianificazione. È un costo vero, ma è anche il tipo di intervento che rafforza davvero la sicurezza degli accessi. L’Audit mode serve a guadagnare tempo, non a risolvere.

Gli altri tre avvisi sono più organizzativi che tecnici:

• Exchange -Migration: interessa chi ha fatto migrazioni o ha script ereditati dal consulente di turno. Una ricerca testuale negli script entro il 10 novembre costa poco.
• Copilot Studio in Teams: è l’occasione per un inventario degli agenti nati “dal basso”.
• Voicemail Teams: chi ha regole antispam o di inoltro basate su skype.voicemail.microsoft.com ha tempo fino a marzo 2027, ma conviene annotarlo ora.

L’hype qui non c’è. C’è manutenzione, che è la parte meno raccontata e più costosa dell’IT.

Perché dopo il Patch Tuesday di ottobre 2026 il Wi-Fi chiede di nuovo la password?

Probabilmente perché Windows 11 24H2/25H2/26H2 o Windows Server 2025, senza Credential Guard e senza la chiave BlockNtlmv1SSO configurata, ora bloccano le credenziali SSO derivate da NTLMv1. Le reti Wi-Fi, Ethernet o VPN in MS-CHAPv2 non si collegano più in automatico. L’evento 4025 nel log NTLM/Operational lo conferma.

Basta impostare BlockNtlmv1SSO a 0 per risolvere il problema NTLMv1?

Impostare BlockNtlmv1SSO a 0 riporta il dispositivo in Audit mode e ripristina la compatibilità, ma Microsoft la definisce un’eccezione di sicurezza temporanea e limitata, che riduce la protezione. La soluzione consigliata da Microsoft è migrare le connessioni MS-CHAPv2 ad autenticazione con certificati, come PEAP-TLS o EAP-TLS.

Gli agenti Copilot Studio pubblicati in Teams smettono di funzionare a febbraio 2027?

No. MC1511056 ritira l’app Copilot Studio dentro Teams, cioè l’ambiente di modifica, non gli agenti. Da gennaio 2027 non si potranno più modificare gli agenti dall’app Teams e da febbraio 2027 l’app sarà rimossa. Gli agenti classic si gestiscono dall’app web copilotstudio.microsoft.com.

Entro quando vanno controllati gli script Exchange che usano il parametro -Migration?

MC1511071 fissa l’act by al 15 novembre 2026: da quella data alcune proprietà non vengono più restituite da Get-Mailbox -Migration e New-Mailbox -Migration, e dal 15 dicembre 2026 non sono più configurabili. Lo stesso avviso cita anche il 10 novembre 2026 in un esempio, quindi è prudente testare prima.

Conclusioni

Quattro avvisi, un filo comune: Microsoft sta chiudendo le porte di servizio. NTLMv1 sopravviveva nascosto dentro MS-CHAPv2, le proprietà legacy di Exchange dentro script che nessuno rilegge, gli agenti dentro un’app Teams ormai superata, le voicemail dentro un dominio Microsoft che sfuggiva ai controlli DMARC aziendali.

La mia posizione è semplice: il blocco NTLMv1 è una buona notizia arrivata con una pessima tempistica per chi non legge il Message Center. Chi lo legge ha avuto più di un anno di Audit mode per prepararsi; chi non lo legge lo scopre dall’help desk. La lezione è sempre quella dai tempi del dial-up: i default cambiano, e la sicurezza vera è sapere quali default stai usando. Il Message Center non è spam: è il changelog del tuo ufficio.

Riferimenti (APA)

• Microsoft. (2026, 15 ottobre). MC1508562 – Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard. Microsoft 365 Message Center (copia pubblica: https://mc.merill.net/message/MC1508562). — Livello B — 15/10/2026
• Microsoft. (2025, 29 agosto; aggiornato ottobre 2026). Manage changes to NTLMv1 and prevent network issues in Windows 11 and Windows Server 2025 (KB5066470). Microsoft Support. https://support.microsoft.com/en-us/servicing/os/windows/docs/2025/08/upcoming-changes-to-ntlmv1-in-windows-11-version-24h2-and-windows-server-2025 — Livello B — 2025/2026
• Microsoft. (2026, 13 ottobre). October 13, 2026—KB5126646 (OS Build 26100.33650). Microsoft Support. https://support.microsoft.com/en-us/servicing/os/windows-server/2026/10/kb5126646-windows-server-2025-security-update — Livello B — 13/10/2026
• Microsoft. (2026, 16 ottobre). MC1511071 – Action required: Review property changes for Exchange Online scenarios. Microsoft 365 Message Center (copia pubblica: https://mc.merill.net/message/MC1511071). — Livello B — 16/10/2026
• Microsoft. (2026, 16 ottobre). MC1511056 – Microsoft Copilot Studio – Teams app retirement. Microsoft 365 Message Center (copia pubblica: https://mc.merill.net/message/MC1511056). — Livello B — 16/10/2026
• Microsoft. (2026, 16 ottobre). MC1511072 – Microsoft Teams: Upcoming change to voicemail message delivery by email. Microsoft 365 Message Center (copia pubblica: https://mc.merill.net/message/MC1511072). — Livello B — 16/10/2026
• Microsoft. (2026, 11-16 ottobre). MC1510951 – Windows time zone changes in Canada e Weekly digest: Microsoft service updates. Email del Microsoft 365 Message Center ricevute dall’autore. — Livello B — 11-16/10/2026
• Speed, R. (2026, 16 ottobre). Networking problems after the October 2026 Windows update? NTLM might be to blame. The Register. https://www.theregister.com/security/2026/10/16/networking-problems-after-the-october-2026-windows-update-ntlm-might-be-to-blame/5303503 — Livello B (stampa di settore) — 16/10/2026
• Fonti verificate al 25/10/2026.

Link interni Argos

• Il Patch Tuesday del 13 ottobre 2026 che chiude Windows 11 24H2, il mainstream di Server 2022 e l’ESU di Server 2012 R2
• Microsoft 365 e Copilot: i ritiri degli ultimi 6 mesi
• Un agente non si consegna, si accompagna
• Breaking news: dal 19 ottobre Copilot Business nasce con il pay-as-you-go già acceso

---

Trasparenza sull’uso dell’intelligenza artificiale
Questo articolo è stato redatto con l’assistenza di un sistema di intelligenza artificiale generativa (Claude Sonnet 5, tramite l’agente Argos Newsroom su Microsoft Copilot Studio) per la ricerca delle fonti, la strutturazione e la prima stesura. Il testo è stato successivamente verificato, corretto e approvato da un autore umano, Luca Borio, che ne detiene la responsabilità editoriale ai sensi dell’art. 50 del Regolamento (UE) 2024/1689. Dati, citazioni e link sono stati controllati sulle fonti originali indicate. Eventuali errori residui sono miei.