Wprowadzenie do problemu / definicja
Microsoft usunął błąd powodujący awarie połączeń Always On VPN po instalacji wrześniowych aktualizacji zabezpieczeń dla Windows 11. Problem dotyczył środowisk korzystających z automatycznego wyboru protokołu lub mechanizmu przełączania awaryjnego między IKEv2 i SSTP, co w praktyce mogło uniemożliwiać zestawienie tunelu VPN do sieci firmowej.
Always On VPN to korporacyjny mechanizm zdalnego dostępu, który pozwala utrzymywać bezpieczne i możliwie transparentne połączenie urządzenia z infrastrukturą organizacji. Właśnie dlatego nawet pozornie techniczna usterka tego komponentu może mieć bezpośredni wpływ na ciągłość pracy, bezpieczeństwo operacyjne i dostęp do zasobów krytycznych.
W skrócie
Po wrześniowych aktualizacjach bezpieczeństwa 2026 część systemów Windows 11 zaczęła zgłaszać problemy z zestawianiem sesji Always On VPN. Połączenia mogły zawieszać się w stanie łączenia, nie nawiązywać tunelu po pierwszej nieudanej próbie albo zwracać komunikat o zajętym porcie.
- problem dotyczył konfiguracji z automatycznym wyborem protokołu lub fallbackiem między IKEv2 i SSTP,
- Microsoft potwierdził naprawę w aktualizacji podglądowej KB5127936,
- organizacje, które nie chcą wdrażać wersji preview, mogą tymczasowo wymusić jeden protokół tunelowania,
- incydent miał największe znaczenie dla środowisk korporacyjnych i pracy zdalnej.
Kontekst / historia
Problem został zauważony po wdrożeniu wrześniowych aktualizacji zabezpieczeń dla Windows 11 i szybko nabrał znaczenia w środowiskach firmowych. Always On VPN jest bowiem wykorzystywany do automatycznego łączenia stacji roboczych z siecią przedsiębiorstwa bez konieczności ręcznej interwencji użytkownika.
Rozwiązanie to w wielu organizacjach zastąpiło starszy DirectAccess i obsługuje zarówno urządzenia przyłączone do domeny, jak i scenariusze oparte na nowocześniejszym zarządzaniu tożsamością oraz urządzeniami. Z perspektywy operacyjnej awaria Always On VPN jest szczególnie dotkliwa, ponieważ wpływa nie tylko na komfort użytkownika końcowego, ale również na dostęp do aplikacji biznesowych, systemów administracyjnych i usług wymagających stałej łączności z siecią firmową.
Dodatkową komplikacją był fakt, że Microsoft wcześniej błędnie oznaczył problem jako rozwiązany w październikowych aktualizacjach zbiorczych. Ostateczne potwierdzenie naprawy pojawiło się dopiero wraz z publikacją KB5127936.
Analiza techniczna
Źródłem problemu była interakcja między wrześniowymi poprawkami Windows 11 a konfiguracją Always On VPN wykorzystującą automatyczny wybór protokołu lub przełączanie między IKEv2 i SSTP po nieudanej próbie połączenia. W prawidłowym scenariuszu klient VPN powinien samodzielnie dobrać właściwy mechanizm tunelowania albo przełączyć się na alternatywny protokół bez wpływu na użytkownika.
W środowiskach dotkniętych błędem proces ten ulegał zakłóceniu. Połączenie mogło pozostawać w stanie „Connecting”, kończyć się niepowodzeniem po pierwszej próbie albo zgłaszać błąd sugerujący, że określony port jest już używany. Taki zestaw objawów wskazuje na problem po stronie obsługi sesji lub niepełnego zwalniania zasobów po nieudanym zestawieniu tunelu, co mogło prowadzić do kolejnych nieudanych prób.
Naprawa została dostarczona w aktualizacji podglądowej KB5127936 dla Windows 11 25H2 i 26H2. Równolegle udostępniono obejście dla organizacji, które nie chcą jeszcze wdrażać poprawki preview. Polega ono na zmianie profilu Always On VPN z automatycznego wyboru protokołu na pojedynczy protokół, czyli wyłącznie SSTP albo wyłącznie IKEv2, zależnie od architektury i wymagań środowiska.
Konsekwencje / ryzyko
Najważniejszym skutkiem tej usterki była utrata stabilnego zdalnego dostępu do zasobów przedsiębiorstwa. Chociaż nie był to błąd umożliwiający bezpośrednią kompromitację systemu, jego znaczenie z punktu widzenia cyberbezpieczeństwa pozostaje wysokie.
- brak dostępu do aplikacji wewnętrznych i udziałów sieciowych,
- problemy z egzekwowaniem polityk bezpieczeństwa zależnych od łączności z siecią firmową,
- zakłócenia pracy hybrydowej i zdalnej,
- wzrost obciążenia helpdesku oraz administratorów endpointów,
- ryzyko stosowania prowizorycznych obejść obniżających poziom bezpieczeństwa,
- opóźnienia w dystrybucji polityk, aktualizacji i działań ochronnych na urządzeniach poza siecią organizacji.
W praktyce awaria korporacyjnego VPN może skłaniać użytkowników do obchodzenia standardowych ścieżek dostępu lub korzystania z nieautoryzowanych kanałów komunikacji. To właśnie dlatego problemy z łącznością zdalną należy traktować nie tylko jako incydent IT, ale również jako zdarzenie mające wymiar bezpieczeństwa.
Rekomendacje
Organizacje korzystające z Always On VPN powinny w pierwszej kolejności ustalić, czy ich środowisko wykorzystuje automatyczny wybór protokołu lub fallback między IKEv2 i SSTP. Następnie warto wdrożyć działania ograniczające ryzyko i przyspieszające przywrócenie stabilności usług.
- zweryfikować, czy stacje robocze z Windows 11 otrzymały poprawkę KB5127936 lub nowszą aktualizację zawierającą ten fix,
- tymczasowo wymusić jeden protokół tunelowania, jeśli wdrożenie aktualizacji preview nie jest zgodne z polityką zmian,
- przetestować połączenia VPN w środowisku pilotażowym przed szerokim rolloutem aktualizacji,
- monitorować logi klienta VPN, zdarzenia sieciowe i zgłoszenia użytkowników pod kątem błędów połączeń,
- przygotować procedurę rollbacku lub szybkiej zmiany profilu VPN dla urządzeń krytycznych,
- utrzymywać formalny proces walidacji aktualizacji Windows pod kątem wpływu na usługi zdalnego dostępu.
Dobrą praktyką może być także ograniczenie zależności od automatycznej negocjacji protokołu tam, gdzie wymagania środowiskowe są jednoznaczne. W części organizacji statyczne przypisanie IKEv2 lub SSTP upraszcza diagnostykę i zmniejsza ryzyko problemów po przyszłych aktualizacjach systemowych.
Podsumowanie
Naprawa błędu Always On VPN w Windows 11 zamyka problem, który od września 2026 wpływał na zdalny dostęp w środowiskach korporacyjnych. Incydent pokazuje, że nawet rutynowe aktualizacje bezpieczeństwa mogą zakłócić krytyczne komponenty łączności i wymagać szybkiej reakcji zespołów IT oraz bezpieczeństwa.
Dla administratorów najważniejsze pozostają obecnie trzy działania: potwierdzenie obecności poprawki, ocena konfiguracji protokołów VPN oraz wdrożenie obejścia tam, gdzie aktualizacja nie może zostać zastosowana natychmiast. To także przypomnienie, że testowanie aktualizacji pod kątem usług zdalnego dostępu powinno być stałym elementem procesu zarządzania zmianą.
Źródła
- Microsoft finally fixes VPN issues caused by September updates — https://www.bleepingcomputer.com/news/microsoft/microsoft-finally-fixes-vpn-issues-caused-by-september-updates/
- October 28, 2026 — KB5127936 (OS Builds 26300.9818 and 26200.9818) Preview — https://support.microsoft.com/en-us/servicing/os/windows-11/2026/10/kb5127936-windows-11-25h2-26h2-update
- About Always On VPN for Windows Server Remote Access — https://learn.microsoft.com/en-us/windows-server/remote/remote-access/overview-always-on-vpn