مایکروسافت در یادداشت‌های انتشار آپدیت پیش‌نمایش KB5127936 تأیید کرد که خطای اتصال Always On VPN در ویندوز ۱۱ را برطرف کرده است؛ خطایی که آپدیت‌های امنیتی سپتامبر ۲۰۲۶ ایجاد کرده بودند. این اصلاح هم‌اکنون برای دستگاه‌هایی در دسترس است که آپدیت پیش‌نمایش اختیاری اکتبر برای ویندوز ۱۱ نسخه‌های 25H2 و 26H2 را نصب می‌کنند. دستگاه‌هایی که این آپدیت را نصب نکنند، تا آپدیت‌های تجمعی (Cumulative Updates) سه‌شنبه بعدی (Patch Tuesday) تحت تأثیر باقی می‌مانند.
تأیید دیرهنگام و بازگشایی دوباره باگ
این تأیید پس از یک اشتباه قبلی انجام شد. مایکروسافت ابتدا این مشکل را در آپدیت‌های تجمعی اکتبر ۲۰۲۶ حل‌شده علامت زده بود، اما زمانی که مشخص شد مشکل همچنان وجود دارد، باگ Always On VPN را دوباره باز کرد. مایکروسافت نخستین بار این مشکل را در یک هشدار سرویس (Service Alert) که اواخر سپتامبر برای مدیران فناوری اطلاعات ارسال شد، تأیید کرده بود.
علائم و پیکربندی‌های آسیب‌دیده
بر اساس این هشدار، خطاها پس از آپدیت‌های امنیتی سپتامبر در سیستم‌های ویندوز ۱۱ رخ داد؛ زمانی که پروفایل‌های Always On VPN از انتخاب خودکار پروتکل (Automatic Protocol Selection) همراه با IKEv2 و SSTP استفاده می‌کردند. یادداشت‌های انتشار KB5127936 علائم را دقیق‌تر توصیف می‌کند:
- اتصال‌های VPN آسیب‌دیده ممکن است در وضعیت «در حال اتصال» (Connecting) باقی بمانند.
- اتصال ممکن است پس از شکست یک تلاش اولیه، برقرار نشود.
- در برخی موارد، تلاش‌های بعدی برای اتصال خطای «The specified port is already in use» را نمایش می‌دهند.
مایکروسافت می‌گوید وقتی انتخاب خودکار پروتکل یا بازگشت به پروتکل جایگزین (Protocol Fallback) پیکربندی شده باشد، اتصال‌های VPN تحت تأثیر می‌توانند در وضعیت Connecting گیر کنند یا پس از شکست تلاش اولیه، متصل نشوند.
Always On VPN چیست و چرا اهمیت دارد؟
Always On VPN در پس‌زمینه اجرا می‌شود و هر زمان دستگاه به اینترنت متصل شود، تونل‌های امن به شبکه سازمانی برقرار می‌کند. این راهکار دسترسی از راه دور جایگزین فناوری قدیمی DirectAccess شده است و از دستگاه‌های متصل به دامنه (Domain-Joined)، غیرمتصل به دامنه (Non-Domain-Joined) و متصل به Microsoft Entra ID پشتیبانی می‌کند که ویندوز ۱۰، ویندوز ۱۱ و Windows Server را اجرا می‌کنند.
مسیرهای اعمال اصلاح یا کاهش موقت مشکل
سازمان‌ها دو مسیر دارند: می‌توانند همین حالا آپدیت پیش‌نمایش را مستقر کنند، یا راهکار کاهش موقت (Mitigation) منتشرشده توسط مایکروسافت را اعمال کنند و تا آپدیت تجمعی نوامبر صبر کنند.
- نصب KB5127936: روی دستگاه‌های آسیب‌دیده ویندوز ۱۱ 25H2 و 26H2 از طریق Windows Update یا ابزار مدیریت آپدیت سازمان نصب شود.
- تغییر پروفایل VPN: اگر نصب آپدیت پیش‌نمایش ممکن نیست، پروفایل Always On VPN را باز کنید و آن را از انتخاب خودکار پروتکل به یک پروتکل واحد تغییر دهید.
- انتخاب SSTP یا IKEv2: فقط SSTP یا فقط IKEv2 را انتخاب کنید. مایکروسافت می‌گوید سازمان‌ها باید پروتکل را بر اساس محیط، امنیت و الزامات استقرار خود انتخاب کنند.
این راهکار کاهش موقت، قابلیت بازگشت به پروتکل جایگزین را که انتخاب خودکار فراهم می‌کند حذف می‌کند؛ بنابراین مدیرانی که آن را انتخاب می‌کنند باید پس از نصب آپدیت تجمعی اصلاح‌شده، پروفایل را به حالت قبلی برگردانند.
رفع یک مشکل جداگانه در Remote Desktop
KB5127936 همچنین یک مشکل شناخته‌شده جداگانه را برطرف می‌کند: کاربران غیرمدیر (Non-Admin) نمی‌توانستند با فعال بودن ویژگی امنیتی حفاظت مدیر (Administrator Protection) از طریق دسکتاپ راه دور (Remote Desktop) به دستگاه‌ها متصل شوند. این مشکل پس از آپدیت پیش‌نمایش غیرامنیتی سپتامبر ۲۰۲۶ یا آپدیت‌های بعدی ویندوز رخ داده بود.
زمان‌بندی انتشار و ابهام درباره Patch Tuesday
مایکروسافت اعلام نکرده است که آیا انتشار Patch Tuesday نوامبر شامل تغییرات بیشتری در اصلاح VPN فراتر از آنچه در KB5127936 ارائه شده، خواهد بود یا نه. تا آن زمان، نصب آپدیت پیش‌نمایش اختیاری اکتبر یا اعمال راهکار کاهش موقت، دو گزینه پیش روی سازمان‌های آسیب‌دیده است.