مایکروسافت در هشدار سرویسی (Service Alert) خطاب به مدیران فناوری اطلاعات تأیید کرد که آپدیت‌های تجمعی (Cumulative Update) اکتبر ۲۰۲۶ ویندوز ۱۱، باگ اتصال Always On VPN را برطرف نکرده‌اند. این در حالی است که شرکت پیش‌تر وضعیت این مشکل شناخته‌شده را به‌اشتباه «حل‌شده» (Resolved) اعلام کرده بود.
بر اساس این هشدار، مشکل سیستم‌های ویندوز ۱۱ 24H2 و نسخه‌های جدیدتر را تحت تأثیر قرار می‌دهد. مایکروسافت توضیح داده است که وضعیت این مورد در تاریخ ۱۳ اکتبر ۲۰۲۶ به‌اشتباه به «حل‌شده» تغییر کرده بود و اکنون به «کاهش‌یافته» (Mitigated) بازگشته است. قرار است رفع دائمی در یکی از آپدیت‌های هفته‌های آینده منتشر شود.
راه‌حل موقت همچنان تنها گزینه مدیران سیستم است
تا زمان انتشار وصله دائمی، راه‌حل موقت مستندشده تنها گزینه سازمان‌های آسیب‌دیده است. نصب صرف آپدیت‌های اکتبر تغییری در وضعیت این باگ ایجاد نمی‌کند. مایکروسافت در پیام خود به مدیران گفته است: «رفع این مشکل قرار است در آپدیتی در هفته‌های آینده گنجانده شود. بابت هرگونه ناراحتی یا سردرگمی عذرخواهی می‌کنیم.»
چه چیزی باعث شکست اتصال Always On VPN می‌شود؟
مایکروسافت نخستین بار اواخر سپتامبر این مشکل را تأیید کرد. باگ در دستگاه‌های ویندوز ۱۱ 24H2 و جدیدتر پس از نصب آپدیت‌های امنیتی سپتامبر ۲۰۲۶ ظاهر می‌شود و زمانی رخ می‌دهد که نخستین تلاش برای اتصال Always On VPN ناموفق باشد؛ برای نمونه در پروفایل‌هایی که از انتخاب خودکار پروتکل (Automatic Protocol Selection) همراه با IKEv2 و SSTP استفاده می‌کنند.
به گفته مایکروسافت، وقتی انتخاب خودکار پروتکل یا بازگشت خودکار پروتکل (Protocol Fallback) پیکربندی شده باشد، اتصال‌های VPN آسیب‌دیده ممکن است در وضعیت «در حال اتصال» (Connecting) باقی بمانند یا پس از شکست نخستین تلاش، متصل نشوند. تلاش‌های بعدی نیز ممکن است خطای «The specified port is already in use» را برگردانند.
Always On VPN جایگزین فناوری قدیمی‌تر DirectAccess شده است. این سرویس در پس‌زمینه اجرا می‌شود و هر زمان دستگاه به اینترنت متصل شود، یک تونل امن به شبکه سازمانی باز می‌کند. این فناوری از دستگاه‌های متصل به دامنه (Domain Joined)، غیرمتصل به دامنه (Non-Domain Joined) و متصل به Microsoft Entra ID در ویندوز ۱۰، ویندوز ۱۱ و ویندوز سرور پشتیبانی می‌کند. وقتی تونل از کار بیفتد، کارمندان دورکار دسترسی به منابع داخلی را از دست می‌دهند.
راه‌حل پیشنهادی مایکروسافت برای مدیران
راه‌حل کاهشی (Mitigation) پیشنهادی مایکروسافت، انتخاب خودکار پروتکل را از معادله خارج می‌کند. مدیران باید پروفایل Always On VPN را به یک پروتکل تونل‌زنی واحد تغییر دهند:
- پروفایل Always On VPN اختصاص‌یافته به دستگاه‌های آسیب‌دیده ویندوز ۱۱ 24H2 و جدیدتر را باز کنید.
- انتخاب خودکار پروتکل را با یک پروتکل جایگزین کنید؛ تنها SSTP یا تنها IKEv2.
- بر اساس محیط، امنیت و الزامات استقرار سازمان، بین SSTP و IKEv2 یکی را انتخاب کنید؛ همان‌گونه که مایکروسافت توصیه می‌کند.
- پروفایل به‌روزرسانی‌شده را توزیع کنید و بررسی کنید که اتصال‌ها دیگر در وضعیت «در حال اتصال» باقی نمی‌مانند.
هزینه این راه‌حل موقت، از دست رفتن بازگشت خودکار میان IKEv2 و SSTP در مدت فعال بودن آن است؛ بنابراین پروتکلی که باقی می‌ماند باید در همه شبکه‌هایی که کارمندان استفاده می‌کنند کار کند.
پیامدهای دیگر آپدیت‌های سپتامبر
آپدیت‌های سپتامبر مشکلات دیگری نیز ایجاد کردند. مایکروسافت چند روز پس از Patch Tuesday سپتامبر، آپدیت‌های اضطراری خارج از برنامه (Out-of-Band Updates) را برای مشکلات Hyper-V، خرابی Remote Desktop Services و مشکلات صدای USB منتشر کرد. این شرکت همچنین راه‌حل موقتی برای باگی منتشر کرد که برخی کاربران را از ورود با اعتبارنامه معتبر دامنه بازمی‌داشت.
انتشار ۱۳ اکتبر مشکلات جداگانه‌ای را برطرف کرد؛ از جمله رفع صفحه سیاه ویندوز ۱۱ و خرابی Explorer. با این حال، باگ VPN در میان آن‌ها نبود. مایکروسافت جز «هفته‌های آینده» تاریخ انتشار مشخصی برای رفع دائمی Always On VPN اعلام نکرده است.