Una VPN aziendale che smette di collegarsi dopo un aggiornamento è già un problema. Se poi l'aggiornamento successivo viene presentato come risolutivo e la correzione viene ritirata dalle note ufficiali, diventa difficile perfino capire quale sia lo stato reale del guasto. È quello che sta succedendo con Always On VPN, la tecnologia integrata in Windows per mantenere una connessione protetta verso le risorse dell'organizzazione.
Il 20 ottobre Microsoft ha modificato la documentazione dei propri aggiornamenti di sicurezza, eliminando la voce che dava per risolto il malfunzionamento. Non è una notizia che riguarda indistintamente ogni programma VPN: il problema documentato è più specifico, e proprio questa distinzione può evitare diagnosi sbagliate e interventi inutili.
La correzione annunciata e poi ritirata
La sequenza è importante. Dopo gli aggiornamenti di sicurezza di settembre 2026, alcuni sistemi Windows 11 hanno iniziato a incontrare difficoltà con Always On VPN, soprattutto quando il profilo era configurato per scegliere automaticamente il protocollo di collegamento o passare a un'alternativa in caso di errore.
Gli aggiornamenti cumulativi del 13 ottobre erano stati accompagnati da indicazioni che lasciavano intendere la risoluzione del difetto. Una settimana dopo, però, Microsoft ha cambiato posizione. Nel registro delle modifiche della KB5127648, destinata a Windows 11 24H2, 25H2 e 26H2, compare una rettifica datata 20 ottobre: l'informazione sulla correzione di Always On VPN è stata rimossa e l'intervento viene rinviato a una versione futura.
Una modifica analoga è presente nella KB5127646, relativa a Windows 11 26H1. È una conferma documentale del ritiro della nota, non una dimostrazione che ogni computer con quelle versioni sia necessariamente interessato dal guasto.
Secondo BleepingComputer, Microsoft ha anche corretto l'avviso destinato agli amministratori, riportando lo stato da risolto a mitigato. Quest'ultimo passaggio è documentato dalla testata sulla base di una comunicazione amministrativa, non da un bollettino pubblico che abbiamo potuto consultare direttamente.
Che cosa si rompe davvero
Always On VPN non è sinonimo di qualsiasi VPN installata su Windows. È una piattaforma di accesso remoto pensata soprattutto per ambienti gestiti: può avviare e mantenere tunnel verso la rete aziendale secondo regole stabilite dall'amministratore, anche senza chiedere ogni volta all'utente di aprire manualmente un'applicazione.
Il difetto segnalato riguarda in particolare la selezione automatica del protocollo. In condizioni normali, un profilo può tentare IKEv2 e, se la rete lo ostacola, ricorrere a SSTP. Il secondo utilizza una modalità di trasporto che può risultare praticabile dietro alcuni firewall o proxy che impediscono il primo.
Con la regressione descritta nelle comunicazioni Microsoft, quando un primo tentativo non riesce il passaggio al protocollo alternativo può non funzionare correttamente. La connessione può restare bloccata su «Connecting» oppure i tentativi successivi possono restituire un errore secondo cui la porta specificata è già in uso.
Non significa che la VPN abbia perso la crittografia, né che tutte le connessioni IKEv2 o SSTP siano difettose. Significa che una particolare logica di gestione della connessione può fallire. Un messaggio simile, inoltre, non prova da solo che la causa sia questa: credenziali, certificati, gateway e configurazioni di rete possono produrre altri problemi.
Chi deve preoccuparsi e chi probabilmente no
Il pubblico più esposto è quello delle organizzazioni che distribuiscono profili Always On VPN sui portatili dei dipendenti. Un lavoratore remoto può vedere sparire l'accesso a file, applicazioni o servizi interni anche quando la normale navigazione Internet continua a funzionare. Per l'help desk, il rischio è inseguire un guasto apparentemente intermittente senza riconoscere il collegamento con gli aggiornamenti.
Chi usa un servizio VPN commerciale con un proprio client non deve invece dedurre automaticamente di essere colpito. Il fatto che un computer esegua Windows 11 non basta: occorre verificare quale tecnologia realizza il tunnel e come è configurata. Anche le VPN aziendali basate su client di terze parti richiedono una diagnosi separata.
Per un primo controllo, un amministratore dovrebbe confrontare data degli aggiornamenti installati, versione del sistema, tipo di profilo VPN, sintomo preciso ed eventuale comportamento differente fra reti domestiche, hotspot e rete dell'ufficio. Questi elementi non sostituiscono i log, ma aiutano a capire se il caso assomiglia davvero alla regressione documentata.
C'è poi una differenza tecnica spesso trascurata: Microsoft distingue lo User Tunnel dal Device Tunnel. Il primo può utilizzare IKEv2 o SSTP; il secondo supporta soltanto IKEv2 e non prevede fallback verso SSTP. Applicare indiscriminatamente la stessa modifica a entrambi sarebbe quindi un errore.
La mitigazione: meno automatismi, ma con criterio
In attesa di una correzione definitiva, la mitigazione riportata da Microsoft attraverso l'avviso agli amministratori consiste nel configurare i profili interessati per utilizzare un solo protocollo, scegliendo IKEv2 oppure SSTP in funzione dell'infrastruttura. In questo modo si evita la logica automatica di selezione o fallback coinvolta nel malfunzionamento.
È un rimedio operativo, non una soluzione universale. Imporre IKEv2 può lasciare senza collegamento gli utenti che si trovano dietro reti restrittive; imporre SSTP non è una possibilità supportata per il Device Tunnel. Inoltre, autenticazione, certificati e requisiti di sicurezza dell'organizzazione devono continuare a essere rispettati.
La strada prudente è intervenire su un gruppo limitato di dispositivi, verificare la connessione da reti differenti e controllare che l'accesso alle risorse interne resti coerente con le policy aziendali. Solo dopo ha senso distribuire la modifica agli altri client coinvolti. Documentare il cambiamento permetterà anche di ripristinare la configurazione desiderata quando arriverà una correzione effettivamente verificata.
Disinstallare alla cieca un aggiornamento cumulativo di sicurezza non è una scorciatoia consigliabile: potrebbe eliminare anche protezioni estranee al problema VPN. E non serve cambiare prodotto VPN senza aver prima identificato il componente che sta fallendo.
La lezione per chi gestisce aggiornamenti Windows
L'aspetto più interessante della vicenda non è soltanto il bug. È il divario fra un problema dichiarato risolto e una correzione che, alla prova dei fatti, non aveva chiuso il caso. Le note di rilascio sono indispensabili, ma descrivono l'intenzione e le verifiche del produttore; non sostituiscono il collaudo nelle condizioni reali di un'organizzazione.
Per questo un aggiornamento critico dovrebbe essere accompagnato da controlli mirati sulle funzioni da cui dipende il lavoro quotidiano: autenticazione, connettività remota, stampa, accesso alle applicazioni e servizi di rete. Un gruppo pilota e una procedura di ritorno controllato valgono più della semplice casella «aggiornamento installato».
Al 26 ottobre la documentazione ufficiale consultata rinvia la correzione Always On VPN a una futura release, senza fornire in quelle note una data certa. La scelta sensata non è fermare indiscriminatamente gli aggiornamenti di sicurezza, ma mantenere una mitigazione verificata dove necessaria, seguire il changelog corretto e testare il prossimo intervento prima di considerare il problema chiuso.