14. septembar 2026 | Microsoft Windows | Active Directory | IT sigurnost

Uz sigurnosno ažuriranje KB5124008 za Windows 11 iz septembra 2026. trenutno se množe izvještaji o neobičnom problemu u klasičnim Active Directory okruženjima.

Pogođeni su posebno Windows 11 klijenti koji su članovi lokalne Active Directory domene. Nakon instalacije ažuriranja Secure Channel između računara i Domain Controllera može biti oštećen.

Posljedica: računar je fizički i dalje dostupan u mreži, ali prijava u domenu iznenada više ne funkcionira.

Šta je KB5124008?

Microsoft je KB5124008 objavio 8. septembra 2026. kao sigurnosno ažuriranje za Windows 11 24H2 i 25H2.

Na Windowsu 11 25H2 ažuriranje vodi na Build 26200.9445, a na Windowsu 11 24H2 na Build 26100.9445. Microsoft ažuriranje u osnovi opisuje kao sigurnosno ažuriranje i ažuriranje kvaliteta.

Microsoft trenutno već dokumentira nekoliko poznatih problema u vezi s KB5124008, između ostalog probleme s Remote Desktop Services, USB audio uređajima i Linux VM-ovima zasnovanim na Hyper-V. Problem s Active Directory Secure Channelom, međutim, trenutno još nije naveden kao Known Issue u zvaničnoj KB dokumentaciji.

Pravi problem: Secure Channel prema domeni

Računar u domeni ima vlastiti račun računara u Active Directoryju.

Između računara i Domain Controllera postoji tzv. Secure Channel. On je, između ostalog, potreban za odnos povjerenja između računara i domene.

Ako se ovaj kanal ošteti, korisnik pod određenim okolnostima iznenada više ne može izvršiti prijavu u domenu.

Posebno podmuklo je to:

Korisničko ime i lozinka i dalje su ispravni.

Windows, na primjer, prijavljuje:

„Korisničko ime ili lozinka nisu ispravni.“

Zapravo, problem nije u korisničkoj lozinki, nego u odnosu povjerenja računara prema domeni.

Tipična slika greške

U jednom slučaju koji je objavio administrator i koji se može reproducirati pojavilo se sljedeće ponašanje:

• Windows 11 25H2

• Build 26200.9445

• Ažuriranje KB5124008

• klasična Active Directory domena

• Domain Controller na Windows Server 2019

Nakon instalacije ažuriranja prijava je isprva još funkcionirala. Nakon nekog vremena odnos povjerenja je ipak bio oštećen.

Administrator je grešku uspio reproducirati na više uređaja: instalirati ažuriranje → problem se pojavljuje → ukloniti ažuriranje → problem nestaje. Nakon ponovne instalacije KB5124008 greška se ponovo pojavila.

Zanimljivo je i to da i drugi administrator izvještava o problemima s kontrolerima domene na Windows Serveru 2022. U daljnjim iskustvenim izvještajima problem se čak opisuje kod različitih verzija kontrolera domene. To trenutno govori protiv toga da se naglo pretpostavi greška isključivo ograničena na Windows Server 2019.

Kako provjeriti grešku

Ako se pogođeni računar još može pokrenuti s lokalnim administratorskim računom ili putem keširanih podataka za prijavu u domenu, Secure Channel veza može se provjeriti pomoću PowerShella.

Kao administrator:

Test-ComputerSecureChannel

Kod ispravnog Secure Channela trebalo bi se vratiti:

True

Kod pogođenog računara, nasuprot tome, može:

False

se pojaviti.

Dodatno se može provjeriti pomoću nltest:

nltest /sc_query:DOMAIN

Pritom se, na primjer, može pojaviti greška

ERROR_NO_TRUST_LSA_SECRET (1786)

pojaviti.

Upravo ova slika greške dokumentirana je u slučaju na Microsoft Q&A.

Važno: Ne resetirajte odmah korisničku lozinku

Slika greške navodi na to da se najprije resetira lozinka pogođenog korisnika.

U ovom slučaju, međutim, to obično nije pravi smjer.

Ako se više korisnika na istom računaru iznenada više ne može prijaviti putem domene, dok, na primjer, keširana prijava offline još funkcionira, najprije treba provjeriti odnos povjerenja računara.

Tipičan pokazatelj je:

Test-ComputerSecureChannel

vraća:

False

Mogući pokušaj popravke

Kao prvi pokušaj popravke može se ponovo uspostaviti Secure Channel:

Test-ComputerSecureChannel -Repair

po potrebi zajedno s pristupnim podacima odgovarajuće ovlaštenog računa u domeni.

Alternativno se lozinka računa računara može resetirati pomoću PowerShella.

Pritom je, međutim, potreban oprez:

U dosad prijavljenim slučajevima popravka nije uvijek trajno uspješna.

U izvornom slučaju na Microsoft Q&A, na primjer, Test-ComputerSecureChannel -Repair nije bio dovoljan. Tamo je računar na kraju morao biti uklonjen iz domene, a zatim ponovo uključen u domenu.

Drugi administratori, nasuprot tome, izvještavaju da je naredba Repair barem privremeno pomogla. Slika greške stoga, čini se, nije identična na svim pogođenim sistemima.

Ako popravka nije dovoljna

Ako je Secure Channel i dalje neispravan, kao složenija mjera može biti potrebno ponovno pridruživanje domeni (Domain Join).

Pojednostavljeno:

1. Omogućiti lokalnu prijavu s administratorskim računom

2. Ukloniti računar iz domene

3. Ponovo pokrenuti računar

4. Ponovo uključiti računar u domenu

5. Ponovo pokrenuti

6. Testirati prijavu u domenu

U dokumentiranom slučaju reprodukcije upravo je ovaj postupak bio neophodan da bi se greška trajno otklonila.

Treba li KB5124008 trenutno zadržati?

Ovdje treba praviti razliku.

KB5124008 je sigurnosno ažuriranje i ne bi ga trebalo jednostavno paušalno deinstalirati u svim okruženjima.

Istovremeno, administratori s klasičnim Active Directory okruženjima trenutno bi instalaciju trebali pratiti posebno pažljivo.

Microsoft s KB5124008 objavljuje važna sigurnosna poboljšanja. Ažuriranje se, osim toga, distribuira putem Windows Update, Windows Update for Business i WSUS-a.

Za produktivna okruženja stoga se preporučuje kontrolirano uvođenje (rollout):

Testna grupa → praćenje → veća grupa → potpuno uvođenje

a ne nužno:

Ažurirati sve klijente istovremeno.

Posebno na uređajima koji su potrebni za svakodnevnu prijavu korisnika treba, osim toga, postojati lokalni administratorski račun odnosno funkcionalna mogućnost oporavka (Recovery).

Šta trenutno preporučujemo

Za preduzeća s klasičnim Active Directoryjem trenutno preporučujemo:

1. Provjeriti pogođene verzije Windowsa 11

Na klijentu:

winver

ili:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Provjeriti je li KB5124008 instaliran

Get-HotFix -Id KB5124008

3. Kod problema s prijavom provjeriti Secure Channel

Test-ComputerSecureChannel

4. Kod False najprije pokušati popravku

Test-ComputerSecureChannel -Repair

5. Kod ponavljajućih problema dokumentirati uzrok

Posebno treba zabilježiti sljedeće informacije:

• Verzija Windowsa

• OS build

• instalirana KB ažuriranja

• Verzija Domain Controllera

• Vrijeme pojave

• Rezultat naredbe Test-ComputerSecureChannel

• Rezultat naredbe nltest /sc_query

• Događaji na klijentu i Domain Controlleru

Tako se znatno bolje može utvrditi postoji li zaista veza s ažuriranjem.

Konačan uzrok još nije potvrđen

Na ovom mjestu potrebno je važno ograničenje:

Vezu između KB5124008 i oštećenih domenskih Secure Channela administratori trenutno prijavljuju kao reproducibilnu, ali prema trenutnom stanju nije navedena kao odgovarajući Known Issue u zvaničnoj Microsoft KB dokumentaciji.

Originalni izvještaj s Microsoft Q&A opisuje ponovljivu situaciju s Windows 11 25H2 i domenskim kontrolerima Windows Server 2019. Drugi administratori prijavljuju slične probleme, između ostalog i s Windows Server 2022.

I zbog toga ne bi trebalo prenagljeno tvrditi da je KB5124008 definitivno uzrok svake trenutne greške „Trust Relationship“.

Drugi uzroci kao što su problemi s DNS-om, odstupanja u vremenu, problemi s računom računara ili mrežne/VPN komponente i dalje se moraju isključiti.

Zaključak

KB5124008 bi trenutno u Active Directory okruženjima trebalo posebno pažljivo pratiti.

Ako nakon septembarskog ažuriranja iznenada više korisnika jednog Windows 11 računara ne može izvršiti prijavu u domenu, iako su pristupni podaci ispravni, vrijedi pogledati odnos povjerenja računara.

Najvažniji prvi test glasi:

Test-ComputerSecureChannel

Ako naredba vrati False, vrlo vjerovatno postoji problem sa Secure Channelom računara prema domeni.

Budući da dosadašnji izvještaji pokazuju da jednostavna popravka ne pomaže trajno na svim sistemima, pogođene uređaje treba precizno dokumentirati i ne mijenjati prenagljeno korisničke račune ili lozinke.

Stanje ovog članka: 14. septembar 2026.

Pratimo razvoj oko KB5124008 i ažurirat ćemo ovaj članak čim Microsoft objavi zvaničan stav ili odgovarajući popravak.