Bloccati fuori: un bug dell’upgrade a Windows 11 lascia le reti aziendali al buio

È lo scenario da incubo per i reparti IT: un aggiornamento di routine a Windows 11, pensato per migliorare sicurezza e funzionalità, finisce invece per lasciare centinaia di postazioni di lavoro offline. Mentre Microsoft distribuisce in sordina il suo ultimo aggiornamento 25H2, un bug noto ma ancora irrisolto sta facendo perdere alle macchine enterprise l’accesso alle reti cablate-con aziende nel panico e amministratori furibondi.

In breve

• Gli upgrade di Windows 11 da 23H2 a 25H2 stanno cancellando profili di autenticazione 802.1X critici.
• Le workstation perdono l’accesso alla rete finché l’IT non ripristina manualmente le impostazioni.
• Il bug si è ripresentato in più cicli di aggiornamento di Windows 11, senza una correzione ufficiale da parte di Microsoft.
• Ancora peggio, alcuni upgrade eliminano i certificati del computer, mandando in tilt l’autenticazione avanzata di rete.
• Gli amministratori stanno ricorrendo a backup manuali e workaround creativi per evitare interruzioni di massa.

La trappola dell’upgrade: come un bug taglia il cavo

Le segnalazioni si moltiplicano da parte di amministratori di sistema in tutto il mondo: durante l’aggiornamento di Windows 11 dalla versione 23H2 alla 25H2, il sistema operativo elimina silenziosamente i file nella cartella C:\Windows\dot3svc\Policies. Questi file non sono una semplice configurazione: contengono i profili di autenticazione 802.1X per la LAN cablata, le chiavi digitali che permettono alle workstation di comunicare in modo sicuro con le reti aziendali.

Senza questi profili, le macchine Windows non riescono ad autenticarsi con gli switch di rete tramite lo standard IEEE 802.1X. Il risultato: gli utenti avviano il PC e lo trovano isolato, incapace di accedere a internet o alle risorse aziendali. Per le organizzazioni che si affidano ai criteri di gruppo per gestire la sicurezza di rete, il problema si amplifica-niente rete significa nessun modo di riapplicare automaticamente le impostazioni mancanti.

Ancora più allarmante, alcuni amministratori riferiscono che il bug cancella anche l’archivio dei certificati del computer, interrompendo l’autenticazione EAP-TLS per chi utilizza una PKI (Public Key Infrastructure). Per le grandi imprese con migliaia di endpoint, questo glitch rischia di causare disservizi diffusi e perdita di produttività, il tutto innescato da un aggiornamento standard.

Correzioni manuali e un silenzio assordante da parte di Microsoft

Pur essendo stato segnalato ripetutamente fin dall’epoca della migrazione da Windows 10 a 11, Microsoft non ha ancora riconosciuto il problema nel suo pannello ufficiale sullo stato di integrità né ha rilasciato una patch. I professionisti IT si sono rimboccati le maniche, condividendo online strategie di mitigazione: fare il backup della cartella delle policy prima degli upgrade, ripristinarla dopo l’avvio, oppure usare porte non 802.1X per forzare gli aggiornamenti delle policy.

Per molti, l’unica soluzione è intervenire fisicamente-collegare le macchine colpite a reti di remediation, eseguire comandi di aggiornamento e sperare per il meglio. Workaround del genere sono tutt’altro che scalabili per organizzazioni che gestiscono migliaia di dispositivi, e la mancanza di trasparenza da parte di Microsoft non fa che aumentare la frustrazione.

Il quadro più ampio: quando gli aggiornamenti rompono la fiducia

Se gli upgrade software dovrebbero aumentare la sicurezza, questo bug persistente di Windows 11 ha invece messo a nudo un punto debole critico nell’IT enterprise. Man mano che le organizzazioni si affidano sempre di più a una sicurezza automatizzata e guidata da policy, un singolo glitch trascurato può trasformarsi in caos su tutta la rete. Finché Microsoft non affronterà la causa alla radice, i team IT dovranno restare vigili-facendo backup delle policy, verificando i flussi di aggiornamento e preparandosi a un ripristino manuale quando tutto si spegne.

WIKICROOK

• 802.1X: 802.1X è un protocollo di sicurezza di rete che autentica i dispositivi prima di concedere l’accesso a reti cablate o wireless, assicurando che possano connettersi solo utenti autorizzati.
• Criteri di gruppo: i Criteri di gruppo consentono agli amministratori IT di gestire centralmente impostazioni, autorizzazioni e software su più computer Windows all’interno di un’organizzazione.
• Wired AutoConfig (dot3svc): Wired AutoConfig (dot3svc) è un servizio di Windows che gestisce l’autenticazione 802.1X per l’accesso sicuro alle reti cablate in ambienti enterprise.
• EAP: EAP è un framework di protocolli che abilita diversi metodi di autenticazione per un accesso sicuro alla rete, ampiamente utilizzato nel Wi‑Fi e negli ambienti enterprise.
• PKI (Public Key Infrastructure): la PKI gestisce certificati digitali e chiavi di cifratura, abilitando comunicazioni sicure, autenticazione e integrità dei dati per transazioni online e attività di rete.