Na de September 2026 Windows 11 security updates meldden IT-teams een terugkerend probleem: Always On VPN issues waardoor externe gebruikers niet stabiel konden verbinden. Microsoft heeft inmiddels een oplossing vrijgegeven voor de getroffen systemen en deelt daarnaast een praktische tijdelijke aanpak voor omgevingen die niet direct kunnen upgraden met de eerstvolgende Patch Tuesday.
In dit artikel zetten we helder op een rij wat er precies speelde, welke updates je nodig hebt en hoe je de impact beperkt wanneer je (nog) niet kunt patchen.
Wat veroorzaakte de Always On VPN issues?
Always On VPN is Microsofts remote access-oplossing die de oudere DirectAccess-technologie heeft vervangen. De oplossing draait op de achtergrond en zet automatisch een beveiligde tunnel op terug naar het corporate netwerk zodra een device online komt.
Volgens Microsoft trad de bug op wanneer de eerste verbinding mislukte. Dat kon bijvoorbeeld gebeuren bij instellingen voor automatische protocolselectie met IKEv2 en SSTP op systemen met Windows 11 24H2 en nieuwer. Als zo’n eerste poging faalde, konden aansluitingen daarna vastlopen of niet meer tot stand komen.
Typische symptomen
De problemen uitten zich op twee manieren:
- VPN-sessies bleven hangen in de status Connecting.
- In sommige gevallen kreeg men later de melding: “The specified port is already in use.”
Welke updates lossen het probleem op?
Microsoft heeft op dinsdag twee cumulatieve updates gepubliceerd die het bekende issue adresseren op alle getroffen systemen. Concreet gaat het om:
- KB5127648
- KB5127646
Door deze updates te installeren, herstel je de situatie waarin VPN-verbindingen konden vastlopen na een mislukte eerste poging—met name bij configuraties die gebruikmaken van automatische protocolselectie of protocol fallback.
Tijdelijke workaround als je niet meteen kunt patchen
Kun je de updates van de October 2026 Patch Tuesday nog niet uitrollen? Dan geeft Microsoft een tijdelijke maatregel. Daarbij kies je niet meer voor automatische protocolselectie, maar je stelt het Always On VPN-profiel in op één specifiek tunnelingprotocol.
Microsoft adviseert om afhankelijk van je omgeving één van de volgende opties te kiezen:
- SSTP only
- IKEv2 only
Het uitgangspunt is duidelijk: door de automatische keuze uit te schakelen, voorkom je dat een mislukte initiële verbinding leidt tot de latere “Connecting”-hang of foutmelding. Microsoft benadrukt ook dat organisaties het protocol moeten selecteren op basis van hun omstandigheden, security-afwegingen en uitrolvereisten.
Waarom dit belangrijk is voor je uitrolplanning
Deze Always On VPN issue past in een bredere context waarin September 2026 updates eerder al tot andere storingen leidden. Microsoft meldde eerder ook noodupdates voor problemen rondom Remote Desktop Services, Hyper-V en USB audio—zowel bij thuisgebruik als in enterprise-omgevingen.
Daarnaast bevestigde Microsoft dat ook niet-admin gebruikers problemen kunnen ondervinden met Remote Desktop als de beveiligingsfunctie “Administrator protection” is ingeschakeld na recente Windows updates.
Voor IT-teams betekent dit: patchen blijft nodig, maar de planning, validatie en uitrolvolgorde worden extra belangrijk. Als je VPN-toegang business-kritisch is, wil je voorkomen dat een mislukte eerste verbinding doorwerkt naar grotere connectiviteitsproblemen.
Concrete stappen voor IT-beheerders
Wil je snel actie ondernemen? Dit is een praktisch stappenplan om de impact van Always On VPN issues te beperken:
- Inventariseer welke clients en servers Always On VPN gebruiken en welke Windows-versies actief zijn (let vooral op Windows 11 24H2 en later).
- Controleer je VPN-profielen: is automatische protocolselectie of protocol fallback ingeschakeld?
- Rol KB5127648 en KB5127646 uit op alle getroffen systemen die nog niet gepatcht zijn.
- Als je nu niet kunt patchen: stel het profiel tijdelijk in op SSTP only of IKEv2 only, zodat je de automatische selectie omzeilt.
- Test bij terugkerende scenario’s: vooral situaties waarin de initiële verbinding faalt, om te verifiëren dat “Connecting” en de poortmelding niet terugkomen.
Check je bredere remote access security
VPN-problemen gaan niet alleen over beschikbaarheid. Ze raken ook aan identiteit, sessiebeheer en de manier waarop clients veilig aan het netwerk worden gekoppeld. Als je de afhankelijkheid van externe toegang wilt verminderen (of beter wilt sturen), helpt het om je architectuur te toetsen op Zero Trust-principes en identity security keuzes.
Daarvoor kun je ook dit artikel gebruiken als achtergrond:
Zero Trust en identity security: strategieën in 2026
Gerelateerde Windows-update aandachtspunten
Omdat dit issue voortkomt uit de September Windows updates, loont het om je wijzigingskalender en impactanalyse te verbreden. Microsoft publiceert periodiek fixes die niet alleen bugs oplossen, maar ook aanwijzingen geven over kwetsbaarheden in de keten van connectiviteit en applicatiegedrag.
Als je daarnaast vooral kijkt naar wat er tijdens Patch Tuesday gebeurt en wat je als beheerteam moet doen, sluit dit thema aan bij recente berichtgeving:
Microsoft Patch Tuesday 1.413 fixes: wat je moet weten
Conclusie
Microsoft heeft de bekende bug rond Always On VPN issues opgelost die ontstond na de September 2026 Windows security updates. Met KB5127648 en KB5127646 pak je de oorzaak aan voor getroffen omgevingen. Kun je (nog) niet patchen, dan kun je tijdelijk mitigeren door het VPN-profiel van automatische protocolselectie te wijzigen naar één tunnelingprotocol, hetzij SSTP only of IKEv2 only.
Door de profielen te controleren en de uitrol zorgvuldig te testen—zeker in scenario’s waarin de initiële verbinding faalt—verminder je de kans op vastlopende sessies en foutmeldingen bij externe toegang.
