14 سبتمبر 2026 | Microsoft Windows | Active Directory | أمن المعلومات
مع تحديث الأمان لشهر سبتمبر 2026 KB5124008 لنظام Windows 11، تتزايد حاليًا التقارير عن مشكلة غير معتادة في بيئات Active Directory الكلاسيكية.
المتأثرة بصفة خاصة هي أجهزة Windows 11 العميلة العضوة في نطاق Active Directory محلي. فبعد تثبيت التحديث قد تتضرر القناة الآمنة (Secure Channel) بين الحاسوب ووحدة تحكم النطاق (Domain Controller).
والنتيجة: يظل الجهاز متاحًا فعليًا على الشبكة، لكن تسجيل الدخول إلى النطاق يتوقف فجأة عن العمل.
ما هو KB5124008؟
نشرت Microsoft التحديث KB5124008 بتاريخ 8 سبتمبر 2026 بوصفه تحديث أمان لنظامي Windows 11 24H2 و25H2.
يرتقي التحديث في Windows 11 25H2 إلى الإصدار 26200.9445، وفي Windows 11 24H2 إلى الإصدار 26100.9445. وتصف Microsoft التحديث من حيث المبدأ بأنه تحديث للأمان والجودة.
توثّق Microsoft حاليًا عدة مشكلات معروفة متعلقة بـ KB5124008، منها مشكلات في Remote Desktop Services وأجهزة الصوت USB والأجهزة الافتراضية Linux القائمة على Hyper-V. غير أن مشكلة القناة الآمنة في Active Directory غير مدرجة حاليًا بعدُ كمشكلة معروفة (Known Issue) في وثائق KB الرسمية.
المشكلة الفعلية: القناة الآمنة إلى النطاق
يمتلك حاسوب النطاق حساب حاسوب خاصًا به في Active Directory.
وبين الحاسوب ووحدة تحكم النطاق توجد ما تسمى القناة الآمنة (Secure Channel). وهي لازمة، من بين أمور أخرى، لعلاقة الثقة بين الحاسوب والنطاق.
وإذا تضررت هذه القناة، فقد يتعذر على المستخدم فجأة تسجيل الدخول إلى النطاق.
والأمر الخادع بصفة خاصة:
اسم المستخدم وكلمة المرور لا يزالان صحيحين.
يعرض Windows مثلًا:
«اسم المستخدم أو كلمة المرور غير صحيحة.»
لكن المشكلة في الواقع ليست في كلمة مرور المستخدم، بل في علاقة ثقة الحاسوب بالنطاق.
مظهر الخطأ النموذجي
في حالة نشرها أحد المسؤولين وأمكن إعادة إنتاجها، ظهر السلوك التالي:
Windows 11 25H2
الإصدار 26200.9445
التحديث KB5124008
نطاق Active Directory كلاسيكي
وحدة تحكم النطاق تعمل بنظام Windows Server 2019
بعد تثبيت التحديث، كان تسجيل الدخول يعمل في البداية. لكن بعد مدة أصبحت علاقة الثقة متضررة.
تمكّن المسؤول من إعادة إنتاج الخطأ على عدة أجهزة: تثبيت التحديث ← ظهور المشكلة ← إزالة التحديث ← زوال المشكلة. وبعد إعادة تثبيت KB5124008 ظهر الخطأ من جديد.
ومن المثير للاهتمام أيضًا أن مسؤول نظام آخر يبلّغ عن مشكلات مع وحدات التحكم في نطاق Windows Server 2022. كما توصف المشكلة في تقارير تجارب أخرى مع إصدارات مختلفة من وحدات التحكم في النطاق. وهذا يرجّح حاليًا عدم الجزم المتسرع بأن الخلل يقتصر على Windows Server 2019 وحده.
كيف يمكن التحقق من الخطأ
إذا أمكن بدء تشغيل جهاز متأثر بحساب مسؤول محلي أو ببيانات اعتماد النطاق المخزّنة مؤقتًا، فيمكن فحص اتصال القناة الآمنة باستخدام PowerShell.
كمسؤول:
Test-ComputerSecureChannel
عندما تعمل القناة الآمنة، ينبغي أن تكون النتيجة المُعادة:
True
أما على جهاز متأثر فقد يظهر بدلًا من ذلك:
False
.
وبالإضافة إلى ذلك يمكن الفحص باستخدام nltest:
nltest /sc_query:DOMAIN
ويمكن في هذا السياق أن يظهر مثلًا الخطأ
ERROR_NO_TRUST_LSA_SECRET (1786)
.
هذه الصورة من الخطأ بالذات هي التي وُثّقت في حالة Microsoft Q&A.
مهم: لا تُعد تعيين كلمة مرور المستخدم فورًا
تغري صورة الخطأ هذه بإعادة تعيين كلمة مرور المستخدم المتأثر أولًا.
لكن هذا ليس عادةً هو الاتجاه الصحيح في هذه الحالة.
إذا تعذّر على عدة مستخدمين على الحاسوب نفسه تسجيل الدخول فجأة عبر النطاق، بينما لا يزال تسجيل الدخول المخزّن مؤقتًا يعمل دون اتصال مثلًا، فينبغي أولًا فحص علاقة ثقة الحاسوب.
من المؤشرات النموذجية:
Test-ComputerSecureChannel
تُعيد:
False
محاولة إصلاح ممكنة
كمحاولة إصلاح أولى يمكن إعادة إنشاء القناة الآمنة (Secure Channel):
Test-ComputerSecureChannel -Repair
وعند الحاجة مع بيانات اعتماد حساب نطاق يتمتع بالصلاحيات المناسبة.
وبدلاً من ذلك يمكن إعادة تعيين كلمة مرور حساب الحاسوب باستخدام PowerShell.
لكن لا بد هنا من الحذر:
في الحالات المبلَّغ عنها حتى الآن لا ينجح الإصلاح دائمًا بصورة دائمة.
ففي حالة Microsoft Q&A الأصلية مثلًا لم يكن Test-ComputerSecureChannel -Repair كافيًا. وهناك تعيّن في النهاية إزالة الحاسوب من النطاق ثم إعادته إلى النطاق.
في المقابل يفيد مسؤولون آخرون بأن أمر الإصلاح ساعد مؤقتًا على الأقل. ولذلك يبدو أن صورة الخطأ ليست متطابقة في جميع الأنظمة المتأثرة.
إذا لم يكن الإصلاح كافيًا
إذا بقيت القناة الآمنة معطلة، فقد يلزم كإجراء أكثر كلفة إعادة الانضمام إلى النطاق (Domain Join).
بصورة مبسّطة:
تمكين تسجيل الدخول المحلي بحساب مسؤول
إزالة الحاسوب من النطاق
إعادة تشغيل الجهاز
إعادة ضم الجهاز إلى النطاق
إعادة التشغيل مرة أخرى
اختبار تسجيل الدخول إلى النطاق
وفي حالة إعادة الإنتاج الموثّقة كانت هذه العملية بالذات ضرورية لإزالة الخطأ بصورة دائمة.
هل ينبغي حاليًا تأجيل KB5124008؟
ينبغي هنا التمييز.
KB5124008 هو تحديث أمان ولا ينبغي إلغاء تثبيته ببساطة وبصورة شاملة في جميع البيئات.
وفي الوقت نفسه ينبغي للمسؤولين الذين يديرون بيئات Active Directory الكلاسيكية مراقبة التثبيت حاليًا بانتباه خاص.
تنشر Microsoft مع KB5124008 تحسينات أمنية مهمة. كما يُوزَّع التحديث عبر Windows Update وWindows Update for Business وWSUS.
ولذلك يُنصح لبيئات الإنتاج بطرح خاضع للرقابة:
مجموعة اختبار ← مراقبة ← مجموعة أكبر ← طرح كامل
وليس بالضرورة:
تحديث جميع الأجهزة العميلة في وقت واحد.
وبخاصة في الأجهزة اللازمة لتسجيل دخول المستخدمين اليومي، ينبغي أيضًا توفر حساب مسؤول محلي أو إمكانية استرداد (Recovery) تعمل.
ما نوصي به حاليًا
للشركات التي تستخدم Active Directory الكلاسيكي نوصي حاليًا بما يلي:
1. فحص إصدارات Windows 11 المتأثرة
على جهاز عميل:
winver
أو:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. فحص ما إذا كان KB5124008 قد ثُبّت
Get-HotFix -Id KB5124008
3. عند مشكلات تسجيل الدخول، فحص القناة الآمنة
Test-ComputerSecureChannel
4. عند ظهور False، محاولة الإصلاح أولًا
Test-ComputerSecureChannel -Repair
5. عند تكرار المشكلات، توثيق السبب
وينبغي بصفة خاصة تسجيل المعلومات التالية:
إصدار Windows
إصدار نظام التشغيل (OS-Build)
تحديثات KB المثبتة
إصدار وحدة تحكم النطاق
وقت حدوث المشكلة
نتيجة Test-ComputerSecureChannel
نتيجة nltest /sc_query
الأحداث على الجهاز العميل ووحدة تحكم النطاق
وبذلك يمكن تحديد ما إذا كانت هناك علاقة فعلية بالتحديث على نحو أفضل بكثير.
لم يُؤكَّد بعدُ سبب نهائي
ولا بد هنا من قيد مهم:
إن العلاقة بين KB5124008 وتضرر القنوات الآمنة للنطاق (Domain Secure Channels) يبلّغ عنها المسؤولون حاليًا على نحو قابل لإعادة الإنتاج، لكنها ليست مدرجة بحسب الوضع الحالي كمشكلة معروفة (Known Issue) مقابلة في وثائق KB الرسمية لدى Microsoft.
يصف تقرير Microsoft Q&A الأصلي حالة قابلة للتكرار مع نظام Windows 11 25H2 ووحدات تحكم النطاق (Domain Controller) التي تعمل بنظام Windows Server 2019. ويبلغ مسؤولو نظام آخرون عن مشكلات مماثلة، منها مع Windows Server 2022.
ولهذا السبب أيضًا لا ينبغي الجزم المتسرّع بأن KB5124008 هو بالتأكيد سبب كل خطأ «Trust Relationship» حالي.
ولا بد من الاستمرار في استبعاد أسباب أخرى مثل مشكلات DNS، وفروق التوقيت، ومشكلات حساب الحاسوب، أو مكوّنات الشبكة / VPN.
الخلاصة
ينبغي حاليًا مراقبة KB5124008 بدقة خاصة في بيئات Active Directory.
إذا تعذّر فجأة على عدة مستخدمين لحاسوب Windows 11 تسجيل الدخول إلى النطاق بعد تحديث سبتمبر رغم صحة بيانات الدخول، فإن من المفيد إلقاء نظرة على علاقة ثقة الحاسوب.
وأهم اختبار أول هو:
Test-ComputerSecureChannel
إذا أعاد الأمر False، فمن المرجّح جدًا وجود مشكلة في القناة الآمنة للحاسوب إلى النطاق.
وبما أن التقارير حتى الآن تبيّن أن إصلاحًا بسيطًا لا يفيد بصورة دائمة في جميع الأنظمة، فينبغي توثيق الأجهزة المتأثرة بدقة وعدم تعديل حسابات المستخدمين أو كلمات المرور على عجل.
تاريخ هذا المقال: 14 سبتمبر 2026.
نحن نتابع التطورات المتعلقة بـ KB5124008 وسنحدّث هذا المقال فور نشر Microsoft بيانًا رسميًا أو إصلاحًا مقابلًا.