微软官宣 NTLM 消息签名分两阶段落地，核心变化是 2027 年 5 月之后 Windows 服务器默认开启强制校验，凡是无法协商真正加密签名的 NTLM 客户端连接会直接拒绝，这次改动用来封堵 CVE-2026-118737 中继攻击漏洞，要区分开老式占位 ALWAYS_SIGN 和具备加密保护的真实 NTLM 签名；第一阶段从 2026 年 11 月 10 日补丁开始，客户端默认主动发起签名协商，服务器还兼容未签名连接，同时生成审计日志方便管理员排查老旧设备、老旧业务系统，它不是直接下线 NTLM 协议，只是收紧 NTLM 的安全校验规则，很多老 NAS、工业软件、第三方客户端、老旧打印机很可能因为不支持 NTLM 签名，在 2027 年 5 月之后出现访问失败。

一、NTLM 两种签名模式对比表

二、完整落地时间阶段清单

1. 阶段一：2026-11-10 起（KB5135557 更新）
2. 阶段二：2027-05 起（强制阶段）

Windows 客户端默认在 NTLM 连接里主动请求真实签名；服务器端兼容签名、未签名两种连接；系统写入审计事件 4023，用来清点哪些设备、应用只能走无签名 / 老式占位签名。这个阶段不会断业务，只做检测和预警。

Windows Server 默认强制校验真实 NTLM 签名；客户端无法协商真实签名的连接直接拒绝，返回 SEC_E_UNSUPPORTED_FUNCTION（0x80090302）；管理员理论上可临时调整策略，但微软不推荐长期关闭该安全限制。

三、容易受影响的业务与设备清单

• 老旧 NAS、网络存储、工业控制主机、老款打印机、扫描仪
• 第三方自研程序、老旧 ERP、工控客户端，开发时没有请求 ISC_REQ_INTEGRITY 完整性标识
• 非 Windows 系统客户端、老旧嵌入式设备，NTLM 栈只实现 ALWAYS_SIGN 占位签名
• 域内遗留服务、SMB 访问、RPC 远程调用、使用 NTLM 认证的管理工具

四、管理员排查和整改步骤

1. 部署 2026 年 11 月安全补丁，开启 NTLM 操作日志，查看事件 ID 4023，整理所有未签名连接的来源 IP、进程、设备名称
2. 逐个标记风险对象：区分是硬件固件、第三方软件、自研程序
3. 优先方案：升级固件 / 软件版本，让客户端支持标准 NTLM 真实签名；长期方案：迁移认证到 Kerberos，逐步减少 NTLM 依赖
4. 临时兜底方案：评估业务必要性，短期调整服务器策略放行未签名连接，做好风险台账，仅作为过渡，不能永久保留
5. 2027 年 5 月上线前完成全环境复测，验证 SMB、RPC、管理工具、工控业务访问正常

五、小结

这次微软 2027 年 5 月拦截未签名 NTLM 连接，不是废掉 NTLM，是淘汰没有防护能力的老式占位签名，堵中继攻击漏洞。留给企业的窗口就是从现在到 2027 年 5 月，先用审计日志找出所有不支持真实签名的资产，分批升级或者迁移到 Kerberos；如果放任不管，到时间点大量老设备、老业务会直接认证失败、无法访问服务器。

【相关 FAQ】

问题 1：微软计划 2027 年 5 月起拒绝未签名 NTLM 连接，是不是代表 NTLM 协议直接停用？

回答 1：微软计划 2027 年 5 月起拒绝未签名 NTLM 连接，只是强制 NTLM 连接必须协商真实加密签名，并不是停用 NTLM 协议，满足签名要求的 NTLM 连接依旧可以正常使用。

问题 2：微软 2027 年 5 月强制 NTLM 签名，老式 ALWAYS_SIGN 占位签名能不能通过校验？

回答 2：微软 2027 年 5 月强制 NTLM 签名，老式 ALWAYS_SIGN 只是占位标识，没有加密防护能力，不属于微软认可的有效 NTLM 签名，这类连接会被服务器拒绝。

问题 3：面对微软 2027 年 5 月拒绝未签名 NTLM 连接的规则，企业第一步该做什么？

回答 3：面对微软 2027 年 5 月拒绝未签名 NTLM 连接的规则，企业第一步是安装对应安全补丁，开启 NTLM 审计日志，通过事件 4023 找出环境里所有无法提供真实 NTLM 签名的设备和程序。

问题 4：微软 2027 年 5 月拦截未签名 NTLM 连接，SMB 文件共享业务会不会受影响？

回答 4：微软 2027 年 5 月拦截未签名 NTLM 连接，SMB 走 NTLM 认证的场景会受影响；Windows 原生客户端默认支持 NTLM 签名，大多没问题，老旧 NAS、第三方存储设备是主要故障高发点。

【参考资料】

[2026-11-12]（Windows NTLM 安全机制调整：微软计划 2027 年 5 月起拒绝未签名连接）IT 之家

[2026-11-10]（NTLM signing security improvements in Windows）Microsoft Support

[2026-11-10]（KB5135557 NTLM 签名安全改进）微软更新文档

[2026-11-10]（KB5132061 Windows 11 月度安全更新）Microsoft Support

[2026-11-08]（Windows 消息中心：NTLM 签名安全改进通知）Microsoft Learn

【免责声明】

本文内容基于微软 KB 文档、官方安全公告与科技媒体资讯整理，微软 2027 年 5 月 NTLM 强制签名策略存在调整、延期的可能性；不同 Windows Server 版本、组策略、注册表配置会改变实际拦截行为，上线前务必在测试环境验证业务兼容性，本文不构成生产环境变更的直接实施依据。