14 септември 2026 | Microsoft Windows | Active Directory | ИТ сигурност
С актуализацията за сигурност от септември 2026 г. KB5124008 за Windows 11 в момента зачестяват съобщенията за необичаен проблем в класически среди с Active Directory.
Засегнати са най-вече клиенти с Windows 11, които са членове на локален домейн на Active Directory. След инсталирането на актуализацията Secure Channel между компютъра и домейн контролера може да бъде повреден.
Последствието: компютърът все още е физически достъпен в мрежата, но влизането в домейна изведнъж престава да работи.
Какво е KB5124008?
Microsoft публикува KB5124008 на 8 септември 2026 г. като актуализация за сигурност за Windows 11 24H2 и 25H2.
При Windows 11 25H2 актуализацията води до Build 26200.9445, при Windows 11 24H2 – до Build 26100.9445. Microsoft описва актуализацията по принцип като актуализация за сигурност и качество.
Microsoft вече документира няколко известни проблема във връзка с KB5124008, наред с другото проблеми с Remote Desktop Services, USB аудио устройства и базирани на Hyper-V Linux виртуални машини. Проблем със Secure Channel на Active Directory обаче към момента все още не е изброен като Known Issue в официалната KB документация.
Същинският проблем: Secure Channel към домейна
Компютърът в домейн притежава собствен компютърен акаунт в Active Directory.
Между компютъра и домейн контролера съществува т.нар. Secure Channel. Той е необходим, наред с другото, за доверителните отношения между компютъра и домейна.
Ако този канал бъде повреден, потребителят при определени обстоятелства може изведнъж да не успее да влезе в домейна.
Особено коварното е:
Потребителското име и паролата все още са верни.
Windows съобщава например:
„Потребителското име или паролата е неправилна.“
В действителност проблемът не е в потребителската парола, а в доверителните отношения на компютъра с домейна.
Типична картина на грешката
В един публикуван от администратор и възпроизводим случай се наблюдава следното поведение:
Windows 11 25H2
Build 26200.9445
Актуализация KB5124008
класически домейн на Active Directory
Домейн контролер с Windows Server 2019
След инсталирането на актуализацията влизането първоначално все още работеше. След известно време обаче доверителните отношения бяха повредени.
Администраторът успя да възпроизведе грешката на няколко устройства: инсталиране на актуализацията → проблемът се появява → премахване на актуализацията → проблемът изчезва. След повторно инсталиране на KB5124008 грешката се появи отново.
Интересно е освен това, че и друг администратор съобщава за проблеми с домейн контролери на Windows Server 2022. В други доклади от практиката проблемът дори се описва при различни версии на домейн контролери. Това в момента е аргумент срещу прибързаното допускане за грешка, ограничена единствено до Windows Server 2019.
Така може да се провери грешката
Ако засегнат компютър все още може да бъде стартиран с локален администраторски акаунт или чрез кеширани данни за вход в домейна, връзката Secure Channel може да се провери с PowerShell.
Като администратор:
Test-ComputerSecureChannel
При работещ Secure Channel трябва да се върне:
True
При засегнат компютър, напротив:
False
може да се появи.
Допълнително може да се провери с nltest:
nltest /sc_query:DOMAIN
При това може да се появи например грешката
ERROR_NO_TRUST_LSA_SECRET (1786)
.
Именно тази картина на грешката е документирана в случая от Microsoft Q&A.
Важно: не нулирайте веднага потребителската парола
Картината на грешката подтиква първо да се нулира паролата на засегнатия потребител.
В този случай това обикновено обаче не е правилната посока.
Ако няколко потребители на един и същ компютър изведнъж не могат да влязат чрез домейна, докато например кешираното влизане офлайн все още работи, първо трябва да се провери доверителната връзка на компютъра.
Типичен признак е:
Test-ComputerSecureChannel
връща:
False
Възможен опит за поправка
Като първи опит за поправка Secure Channel може да бъде възстановен:
Test-ComputerSecureChannel -Repair
при необходимост заедно с данните за достъп на домейн акаунт с подходящи права.
Като алтернатива паролата на компютърния акаунт може да се нулира с PowerShell.
При това обаче е необходимо внимание:
В докладваните досега случаи поправката не винаги е трайно успешна.
В първоначалния случай от Microsoft Q&A например Test-ComputerSecureChannel -Repair не беше достатъчен. Там компютърът в крайна сметка трябваше да бъде премахнат от домейна и след това отново добавен към домейна.
Други администратори, напротив, съобщават, че командата Repair е помогнала поне временно. Затова картината на грешката изглежда не е идентична при всички засегнати системи.
Когато поправката не е достатъчна
Ако Secure Channel продължава да е повреден, като по-трудоемка мярка може да е необходимо ново присъединяване към домейна (Domain Join).
В опростен вид:
Осигуряване на локално влизане с администраторски акаунт
Премахване на компютъра от домейна
Рестартиране на компютъра
Повторно добавяне на компютъра към домейна
Ново рестартиране
Тестване на влизането в домейна
В документирания случай на възпроизвеждане точно тази процедура беше необходима, за да се отстрани грешката трайно.
Трябва ли KB5124008 в момента да се задържа?
Тук трябва да се прави разлика.
KB5124008 е актуализация за сигурност и не бива просто да се деинсталира безразборно във всички среди.
В същото време администраторите на класически среди с Active Directory в момента трябва да следят инсталацията особено внимателно.
С KB5124008 Microsoft публикува важни подобрения на сигурността. Освен това актуализацията се разпространява чрез Windows Update, Windows Update for Business и WSUS.
Затова за продуктивни среди се препоръчва контролирано внедряване:
Тестова група → наблюдение → по-голяма група → пълно внедряване
а не непременно:
Актуализиране на всички клиенти едновременно.
Особено при устройства, които са необходими за ежедневното влизане на потребителите, трябва да има и локален администраторски акаунт или работеща възможност за възстановяване (Recovery).
Какво препоръчваме в момента
За фирми с класически Active Directory в момента препоръчваме:
1. Проверка на засегнатите версии на Windows 11
На клиент:
winver
или:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Проверка дали KB5124008 е инсталирана
Get-HotFix -Id KB5124008
3. При проблеми с влизането – проверка на Secure Channel
Test-ComputerSecureChannel
4. При False – първо опит за поправка
Test-ComputerSecureChannel -Repair
5. При повтарящи се проблеми – документиране на причината
По-специално трябва да се запишат следните данни:
Версия на Windows
OS Build
инсталирани KB актуализации
Версия на домейн контролера
Момент на възникване
Резултат от Test-ComputerSecureChannel
Резултат от nltest /sc_query
Събития на клиента и на домейн контролера
Така може много по-добре да се установи дали действително има връзка с актуализацията.
Все още не е потвърдена окончателна причина
На това място е необходимо едно важно уточнение:
Връзката между KB5124008 и повредени Secure Channel на домейна към момента се съобщава от администратори като възпроизводима, но по актуалното състояние не е изброена като съответен Known Issue в официалната документация на Microsoft KB.
Първоначалният доклад в Microsoft Q&A описва възпроизводима ситуация с Windows 11 25H2 и домейн контролери с Windows Server 2019. Други администратори съобщават за подобни проблеми, между другото и с Windows Server 2022.
Затова също не бива прибързано да се твърди, че KB5124008 определено е причината за всяка актуална грешка „Trust Relationship“.
Други причини като проблеми с DNS, разминавания във времето, проблеми с компютърния акаунт или мрежови/VPN компоненти трябва да продължат да бъдат изключвани.
Заключение
KB5124008 в момента трябва да се следи особено внимателно в среди с Active Directory.
Ако след септемврийската актуализация изведнъж няколко потребители на един компютър с Windows 11 не могат да влязат в домейна, въпреки че данните за достъп са верни, си струва да се погледне доверителната връзка на компютъра.
Най-важният първи тест гласи:
Test-ComputerSecureChannel
Ако командата върне False, много вероятно има проблем със Secure Channel на компютъра към домейна.
Тъй като досегашните доклади показват, че простата поправка не помага трайно при всички системи, засегнатите устройства трябва да се документират подробно и да не се променят прибързано потребителски акаунти или пароли.
Състояние на тази публикация: 14 септември 2026 г.
Следим развитието около KB5124008 и ще актуализираме тази публикация, щом Microsoft публикува официално становище или съответна поправка.