14 верасня 2026 | Microsoft Windows | Active Directory | ІТ-бяспека
З абнаўленнем бяспекі за верасень 2026 KB5124008 для Windows 11 у цяперашні час памнажаюцца паведамленні пра незвычайную праблему ў класічных асяроддзях Active Directory.
Закранутыя найперш кліенты Windows 11, якія з’яўляюцца членамі лакальнага дамена Active Directory. Пасля ўстаноўкі абнаўлення Secure Channel паміж кампутарам і кантролерам дамена можа пашкодзіцца.
Вынік: кампутар па-ранейшаму фізічна даступны ў сетцы, але ўваход у дамен раптам перастае працаваць.
Што такое KB5124008?
Microsoft апублікавала KB5124008 8 верасня 2026 як абнаўленне бяспекі для Windows 11 24H2 і 25H2.
У Windows 11 25H2 абнаўленне вядзе да Build 26200.9445, у Windows 11 24H2 – да Build 26100.9445. Microsoft апісвае абнаўленне ў асноўным як абнаўленне бяспекі і якасці.
Microsoft ужо зараз дакументуе некалькі вядомых праблем, звязаных з KB5124008, сярод іншага праблемы з Remote Desktop Services, USB-аўдыяпрыладамі і Linux-VM на базе Hyper-V. Праблема з Secure Channel Active Directory, аднак, у афіцыйнай дакументацыі KB пакуль не пазначана як Known Issue.
Сапраўдная праблема: Secure Channel да дамена
Даменны кампутар мае ўласны ўліковы запіс кампутара ў Active Directory.
Паміж кампутарам і кантролерам дамена існуе так званы Secure Channel. Ён патрэбны, сярод іншага, для даверных адносін паміж кампутарам і даменам.
Калі гэты канал пашкоджаны, карыстальнік можа раптам больш не мець магчымасці ўвайсці ў дамен.
Асабліва падступна:
Імя карыстальніка і пароль па-ранейшаму правільныя.
Windows паведамляе, напрыклад:
«Імя карыстальніка або пароль няправільныя.»
Насамрэч праблема не ў паролі карыстальніка, а ў даверных адносінах кампутара з даменам.
Тыповая карціна памылкі
У адным апублікаваным адміністратарам і ўзнаўляльным выпадку назіралася наступнае паводзіны:
Windows 11 25H2
Build 26200.9445
Абнаўленне KB5124008
класічны дамен Active Directory
Кантролер дамена пад Windows Server 2019
Пасля ўстаноўкі абнаўлення ўваход спачатку яшчэ працаваў. Але праз некаторы час давер быў пашкоджаны.
Адміністратар здолеў узнавіць памылку на некалькіх прыладах: усталяваць абнаўленне → праблема ўзнікае → выдаліць абнаўленне → праблема знікае. Пасля паўторнай устаноўкі KB5124008 памылка ўзнікла зноў.
Цікава таксама, што іншы адміністратар паведамляе пра праблемы з кантролерамі дамена Windows Server 2022. У іншых справаздачах пра досвед праблема апісваецца нават для розных версій кантролераў дамена. Гэта на сённяшні дзень гаворыць супраць таго, каб паспешліва лічыць памылку абмежаванай выключна Windows Server 2019.
Як праверыць памылку
Калі закрануты кампутар яшчэ можна запусціць з лакальным уліковым запісам адміністратара або праз кэшаваныя даныя ўваходу ў дамен, злучэнне Secure Channel можна праверыць праз PowerShell.
Ад імя адміністратара:
Test-ComputerSecureChannel
Пры працаздольным Secure Channel павінна вярнуцца:
True
На закранутым кампутары, наадварот, можа:
False
з’явіцца.
Дадаткова можна праверыць з дапамогай nltest:
nltest /sc_query:DOMAIN
Пры гэтым, напрыклад, памылка
ERROR_NO_TRUST_LSA_SECRET (1786)
можа ўзнікнуць.
Менавіта гэтая карціна памылкі была задакументавана ў выпадку на Microsoft Q&A.
Важна: не скідайце адразу пароль карыстальніка
Такая карціна памылкі прымушае спачатку скінуць пароль закранутага карыстальніка.
Аднак у гэтым выпадку звычайна гэта не той напрамак.
Калі некалькі карыстальнікаў на адным і тым жа ПК раптам больш не могуць увайсці праз дамен, у той час як, напрыклад, кэшаваны ўваход афлайн яшчэ працуе, спачатку варта праверыць давер да кампутара.
Тыповая падказка:
Test-ComputerSecureChannel
вяртае:
False
Магчымая спроба выпраўлення
У якасці першай спробы выпраўлення можна аднавіць Secure Channel:
Test-ComputerSecureChannel -Repair
пры неабходнасці разам з даннымі доступу адпаведным чынам упаўнаважанага ўліковага запісу дамена.
Альтэрнатыўна пароль уліковага запісу кампутара можна скінуць з дапамогай PowerShell.
Пры гэтым, аднак, патрэбна асцярожнасць:
У паведамленых да гэтага часу выпадках выпраўленне не заўсёды дае трывалы поспех.
У першапачатковым выпадку на Microsoft Q&A, напрыклад, Test-ComputerSecureChannel -Repair не дапамагла. Там кампутар у выніку давялося выдаліць з дамена, а потым зноў дадаць у дамен.
Іншыя адміністратары, наадварот, паведамляюць, што каманда Repair прынамсі часова дапамагла. Таму карціна памылкі, здаецца, не аднолькавая ва ўсіх закранутых сістэмах.
Калі выпраўлення недастаткова
Калі Secure Channel па-ранейшаму няспраўны, больш працаёмкай мерай можа спатрэбіцца паўторнае далучэнне да дамена (Domain Join).
Спрошчана:
Забяспечыць лакальны ўваход з уліковым запісам адміністратара
Выдаліць кампутар з дамена
Перазапусціць кампутар
Зноў дадаць кампутар у дамен
Перазапусціць яшчэ раз
Праверыць уваход у дамен
У задакументаваным выпадку ўзнаўлення менавіта гэтая працэдура была неабходная, каб назаўсёды ліквідаваць памылку.
Ці варта ў цяперашні час стрымліваць KB5124008?
Тут трэба рабіць розніцу.
KB5124008 – гэта абнаўленне бяспекі, і яго не варта проста павальна выдаляць ва ўсіх асяроддзях.
Разам з тым адміністратарам класічных асяроддзяў Active Directory у цяперашні час варта асабліва ўважліва сачыць за ўстаноўкай.
З KB5124008 Microsoft выпускае важныя паляпшэнні бяспекі. Акрамя таго, абнаўленне распаўсюджваецца праз Windows Update, Windows Update for Business і WSUS.
Таму для прадукцыйных асяроддзяў рэкамендуецца кантраляванае разгортванне:
Тэставая група → назіранне → большая група → поўнае разгортванне
а не абавязкова:
Абнаўляць усе кліенты адначасова.
Асабліва на прыладах, якія патрэбныя карыстальнікам для штодзённага ўваходу, павінен быць таксама лакальны ўліковы запіс адміністратара або функцыянальная магчымасць аднаўлення (Recovery).
Што мы рэкамендуем у цяперашні час
Для кампаній з класічным Active Directory мы ў цяперашні час рэкамендуем:
1. Праверыць закранутыя версіі Windows 11
На кліенце:
winver
або:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Праверыць, ці ўсталявана KB5124008
Get-HotFix -Id KB5124008
3. Пры праблемах з уваходам праверыць Secure Channel
Test-ComputerSecureChannel
4. Пры False спачатку паспрабаваць выпраўленне
Test-ComputerSecureChannel -Repair
5. Пры паўторных праблемах задакументаваць прычыну
Асабліва варта зафіксаваць наступную інфармацыю:
Версія Windows
Зборка АС
усталяваныя абнаўленні KB
Версія кантролера дамена
Час узнікнення
Вынік Test-ComputerSecureChannel
Вынік nltest /sc_query
Падзеі на кліенце і кантролеры дамена
Так значна лепш можна вызначыць, ці сапраўды існуе сувязь з абнаўленнем.
Канчатковая прычына пакуль не пацверджана
Тут неабходна важнае агаворванне:
Сувязь паміж KB5124008 і пашкоджанымі Secure Channel дамена у цяперашні час узнаўляльна паведамляецца адміністратарамі, але па цяперашнім стане не пазначана як адпаведны Known Issue ў афіцыйнай дакументацыі Microsoft KB.
Першапачатковае паведамленне Microsoft Q&A апісвае сітуацыю, якая ўзнаўляецца, з Windows 11 25H2 і кантролерамі дамена Windows Server 2019. Іншыя адміністратары паведамляюць пра падобныя праблемы, у тым ліку з Windows Server 2022.
Таму таксама не варта паспешліва сцвярджаць, што KB5124008 – безумоўна прычына кожнай цяперашняй памылкі «Trust Relationship».
Іншыя прычыны, такія як праблемы з DNS, разыходжанні ў часе, праблемы з уліковым запісам кампутара або сеткавыя/VPN-кампаненты, трэба па-ранейшаму выключаць.
Выснова
За KB5124008 у асяроддзях Active Directory у цяперашні час варта сачыць асабліва ўважліва.
Калі пасля верасньскага абнаўлення некалькі карыстальнікаў ПК з Windows 11 раптам не могуць увайсці ў дамен, хаця даныя доступу правільныя, варта зірнуць на давер да кампутара.
Найважнейшы першы тэст такі:
Test-ComputerSecureChannel
Калі каманда вяртае False, вельмі верагодна, што ёсць праблема з Secure Channel кампутара да дамена.
Паколькі дасюлешнія справаздачы паказваюць, што простае выпраўленне дапамагае не ва ўсіх сістэмах назаўсёды, закранутыя прылады варта дакладна дакументаваць і не спяшацца змяняць уліковыя запісы карыстальнікаў або паролі.
Стан гэтага артыкула: 14 верасня 2026.
Мы сочым за развіццём вакол KB5124008 і абновім гэты артыкул, як толькі Microsoft апублікуе афіцыйную заяву або адпаведнае выпраўленне.