微软正式发布 KB5135557 安全更新，启动 NTLM 消息签名分阶段加固，到 2027 年 5 月，Windows 服务器会默认强制要求 NTLM 连接携带合法加密签名，没有提供签名的客户端直接拒绝接入，这套调整主要用来封堵 CVE-2026-118737 漏洞，大幅降低业内熟知的 NTLM 中继攻击、中间人劫持风险。NTLM 是企业域环境、文件共享、老旧业务系统长期在用的身份认证协议，传统模式里存在两种签名，一种是具备 HMAC-MD5 加密保护的真实签名，另一种只是占位填充、没有防篡改能力的伪签名，不少老软件只会协商这种弱签名甚至完全不走签名流程，攻击者就可以在网络里中继转发凭据，拿到账号权限。这次微软的改造不是一步封死，而是分成两个窗口期推进，第一阶段从 2026 年 11 月 10 日开始，所有 Windows 客户端默认主动发起签名协商，服务器这边依旧兼容有签名、无签名两种连接，同时系统会生成审计日志，方便运维找出不支持签名的设备和业务；等到第二阶段切换完成，服务器侧收紧门槛，不再放行没有合法签名的会话。企业需要提前巡检域控、NAS、老工控、第三方业务客户端，优先迁移到 Kerberos，如果暂时只能继续用 NTLM，就要确认客户端、应用可以正常协商加密签名，避免到时间点之后批量出现认证失败、业务断连。
NTLM 签名加固两阶段时间清单
- 阶段一：2026-11-10，推送 KB5135557 更新，客户端默认主动协商 NTLM 加密签名；服务器兼容，开启审计日志，标记无签名连接
- 阶段二：2027-05，Windows Server 默认强制 NTLM 签名；客户端无法提供合法签名，连接直接拒绝
- 漏洞对应编号：CVE-2026-118737
- 目标对象：全系列受支持 Windows 客户端、服务器版本
新旧签名机制对比
| 项目 | 旧状态 | 本次加固之后 |
|---|---|---|
| 签名协商 | 很多老应用不请求签名，或只用无防护占位签名 | 客户端默认请求加密签名，建立带会话密钥的 HMAC-MD5 校验链路 |
| 服务器放行规则 | 默认接受无签名 NTLM 连接 | 2027 年 5 月起服务器默认拦截无签名连接 |
| 抗中继攻击能力 | 弱，容易被中间人转发凭据劫持 | 消息完整性校验生效，中继攻击难度显著抬升 |
| 日志能力 | 缺少统一标记 | 内置审计事件，可批量定位不兼容终端、软件 |
| 长期路线 | 作为基础兼容协议保留 | 微软长期方向是逐步减少、淘汰 NTLM，优先 Kerberos |
企业运维落地步骤
- 部署 KB5135557，开启 NTLM 审计日志，筛选事件，整理所有无签名接入的设备与业务
- 分类标记资产：域内电脑、NAS、打印机、工控机、老旧业务客户端、第三方对接程序
- 优先改造方案：把认证链路迁移到 Kerberos，从根源降低 NTLM 依赖
- 临时兼容方案：保留 NTLM 的业务，升级客户端、固件，确保能够协商真实加密签名
- 建立测试环境，模拟 2027 年强制拦截模式，提前验证业务连通性
- 持续跟踪微软公告，准备应急回退配置，避免正式切换时大面积业务中断
需要重点排查的高风险资产清单
- 老旧 NAS、网络存储设备
- 工业控制主机、老版本工控软件
- 第三方开发的业务客户端、ERP、财务系统
- 打印机、扫描仪、门禁等网络外设
- 不支持 Kerberos 的跨平台对接程序
【常见问题】
问题 1：Windows NTLM 安全策略升级，微软计划 2027 年 5 月拦截无签名连接，降低中继攻击风险，NTLM 中继攻击到底靠什么实现？
回答 1：NTLM 中继攻击利用未签名的 NTLM 会话，中间人转发认证握手，在没有加密签名校验的情况下劫持凭据；微软这次要求 NTLM 连接携带加密签名，就是让攻击者无法直接转发篡改认证消息。
问题 2：Windows NTLM 安全策略升级，微软计划 2027 年 5 月拦截无签名连接，降低中继攻击风险，阶段一更新之后会不会立刻断网？
回答 2：2026 年 11 月上线的阶段一只是让客户端主动协商签名，服务器还会放行无签名连接，同时输出审计日志，不会直接阻断业务，留给企业半年多时间做资产排查改造。
问题 3：Windows NTLM 安全策略升级，微软计划 2027 年 5 月拦截无签名连接，降低中继攻击风险，如果企业业务只能继续使用 NTLM 该怎么处理？
回答 3：只能继续使用 NTLM 的业务，需要升级对应客户端、固件，保证协商到带会话密钥的 HMAC-MD5 加密签名，不能依赖旧的占位伪签名，否则到 2027 年 5 月服务器会拒绝接入。
【参考资料】
[2026-11-12]（Windows NTLM 安全机制调整：微软计划 2027 年 5 月起拒绝未签名连接，降低中继攻击风险）IT 之家
[2026-11-10]（NTLM signing security improvements in Windows）微软官方支持文档
[2026-11-12]（微软 KB5135557：NTLM 消息签名安全加固）MSN 中文网
[2026-11-11]（微软推送更新，NTLM 中继攻击防护进入落地周期）安全客
[2026-11-10]（CVE-2026-118737 漏洞说明）微软安全响应中心
【免责声明】
本文信息整理自微软官方 KB 文档、安全公告与科技媒体报道；强制拦截仅为默认策略，部分服务器环境可通过配置临时调整；不同硬件、第三方固件、自研业务对 NTLM 签名的兼容表现存在差异；本文仅为安全资讯梳理，不直接作为企业域环境、业务系统改造的唯一实施依据，上线前建议在测试环境充分验证。