微软发布 KB5135557 更新方案，分两阶段改动 Windows NTLM 安全机制，核心目标是修复 CVE-2026-118737 漏洞、抑制 NTLM 中继攻击，到 2027 年 5 月第二阶段落地后，Windows Server 会默认拒绝不带有效 NTLM 消息签名的客户端连接，企业现在就要提前排查老旧设备、老应用，避免到时候出现业务断连。NTLM 是 Windows 沿用很久的身份验证协议，之前很多程序只使用占位式签名，没有真正加密保护，攻击者可以利用这个缺陷做中继攻击，劫持凭据、冒充合法用户访问内网服务器，这次调整就是强制要求协商具备加密能力的消息签名，区分无效占位签名和真实安全签名。整个改造不是一步直接封禁，先开启审计日志方便管理员定位问题，再逐步强制拦截，给企业留出足够的适配周期，管理员可以借助系统自带事件日志，找出内网里不支持 NTLM 签名的客户端、老旧工控设备、第三方业务系统。
NTLM 安全调整实施时间表
| 阶段 | 时间节点 | 执行规则 |
|---|---|---|
| 第一阶段 | 2026 年 11 月 10 日起 | 客户端默认开启 NTLM 签名，服务器同时接受签名、未签名连接，开启审计日志记录异常连接 |
| 第二阶段 | 2027 年 5 月起 | Windows Server 默认强制 NTLM 签名，未提供签名的客户端直接拒绝连接 |
日志查看关键事件 ID 清单
- 事件 ID 4022：客户端侧 NTLM 签名协商日志
- 事件 ID 4023：服务器侧 NTLM 签名协商日志
- 日志路径：Microsoft-Windows-NTLM / Operational
企业落地排查整改步骤
第一步：部署 KB5135557 补丁，开启 NTLM 审计日志，采集一段时间内的连接记录
第二步：筛选日志，标记所有不支持 NTLM 签名、使用旧占位签名的终端和业务系统
第三步：分类处理，优先升级对应客户端、驱动、业务软件，让其支持标准 NTLM 加密签名
第四步：工控、老旧硬件无法升级的场景，评估替代方案，优先迁移到 Kerberos 认证
第五步：持续监控日志，确认异常连接清零，等到 2027 年 5 月正式强制阶段前完成全量适配
本次安全调整总结
这次 Windows NTLM 安全机制调整，本质是补齐 NTLM 消息签名的安全短板，用分阶段落地的方式降低上线冲击，核心风险点集中在老旧工控、老版本业务系统、第三方嵌入式设备，企业提前排查、迁移认证方式，就能避免 2027 年 5 月强制拦截之后出现无法访问服务器的故障。
【常见问题】
问题 1：微软 2027 年 5 月拒绝 NTLM 未签名连接，这个 Windows NTLM 安全调整是为了防范什么攻击？
回答 1：微软这项 Windows NTLM 安全调整，主要用来降低 NTLM 中继攻击风险，修复 CVE-2026-118737 漏洞，防止攻击者劫持身份凭据、冒充合法用户访问内网服务器。
问题 2：Windows NTLM 安全机制调整分两个阶段，第一阶段会直接阻断未签名连接吗？
回答 2：第一阶段从 2026 年 11 月 10 日启动，不会直接阻断，客户端默认开启 NTLM 签名，服务器兼容新旧连接，只记录审计日志，2027 年 5 月第二阶段才会默认拒绝 NTLM 未签名连接。
问题 3：企业该怎么找出内网里不支持 NTLM 签名的设备，适配这次 Windows NTLM 安全调整？
回答 3：企业安装 KB5135557 补丁后，查看 NTLM 操作日志，通过事件 ID4022、4023 识别不支持 NTLM 签名的设备，提前升级软件或者迁移到 Kerberos，应对 2027 年 5 月的强制拦截规则。
【参考资料】
[2026-11-12]（Windows NTLM 安全机制调整：微软计划 2027 年 5 月起拒绝未签名连接，降低中继攻击风险）IT 之家
[2026-11-11]（Windows Server: Microsoft macht NTLM-Signierung ab Mai 2027 verpflichtend）BornCity
[2026-11-10]（NTLM signing security improvements in Windows）微软支持文档
【免责声明】
本文内容仅为微软 Windows NTLM 安全机制调整资讯整理，不构成企业内网安全改造、域策略配置的落地指导；实际拦截效果、兼容情况受系统版本、第三方软件、工控设备固件影响，相关策略、补丁细节以微软官方文档和 KB 更新说明为准；企业上线前务必先在测试环境验证，避免业务中断。