14 de setembre de 2026 | Microsoft Windows | Active Directory | Seguretat informàtica
Amb l'actualització de seguretat KB5124008 de setembre de 2026 per a Windows 11, actualment s'acumulen els informes d'un problema inusual en entorns clàssics d'Active Directory.
Els afectats són sobretot els clients Windows 11 que són membres d'un domini local d'Active Directory. Després d'instal·lar l'actualització, el Secure Channel entre l'ordinador i el controlador de domini es pot malmetre.
La conseqüència: l'equip continua sent físicament accessible a la xarxa, però l'inici de sessió al domini deixa de funcionar de sobte.
Què és KB5124008?
Microsoft va publicar KB5124008 el 8 de setembre de 2026 com a actualització de seguretat per a Windows 11 24H2 i 25H2.
A Windows 11 25H2, l'actualització porta a la compilació 26200.9445; a Windows 11 24H2, a la compilació 26100.9445. Microsoft descriu l'actualització, en general, com una actualització de seguretat i de qualitat.
Microsoft ja documenta actualment diversos problemes coneguts relacionats amb KB5124008, entre d'altres problemes amb Remote Desktop Services, dispositius d'àudio USB i màquines virtuals Linux basades en Hyper-V. Tanmateix, un problema amb el Secure Channel d'Active Directory encara no figura com a Known Issue a la documentació oficial de KB.
El problema de debò: el Secure Channel cap al domini
Un ordinador de domini té el seu propi compte d'ordinador a l'Active Directory.
Entre l'ordinador i un controlador de domini hi ha l'anomenat Secure Channel. Aquest es necessita, entre altres coses, per a la relació de confiança entre l'ordinador i el domini.
Quan aquest canal es malmet, un usuari pot trobar-se de sobte sense poder iniciar sessió al domini.
Allò que té especialment de traïdor:
El nom d'usuari i la contrasenya continuen sent correctes.
Windows indica, per exemple:
«El nom d'usuari o la contrasenya no són correctes.»
En realitat, però, el problema no és la contrasenya de l'usuari, sinó la relació de confiança de l'ordinador amb el domini.
Quadre d'error típic
En un cas reproduïble publicat per un administrador es va produir el comportament següent:
Windows 11 25H2
Compilació 26200.9445
Actualització KB5124008
domini clàssic d'Active Directory
Controlador de domini amb Windows Server 2019
Després d'instal·lar l'actualització, l'inici de sessió va funcionar al principi. Passat un temps, però, la relació de confiança estava malmesa.
L'administrador va poder reproduir l'error en diversos dispositius: instal·lar l'actualització → apareix el problema → eliminar l'actualització → el problema desapareix. Després de tornar a instal·lar KB5124008, l'error va tornar a aparèixer.
A més, és interessant que un altre administrador també informi de problemes amb controladors de domini Windows Server 2022. En altres informes d'experiència, el problema es descriu fins i tot amb diferents versions de controladors de domini. Això actualment desaconsella suposar precipitadament que es tracta d'un error limitat exclusivament a Windows Server 2019.
Com es pot comprovar l'error
Si un equip afectat encara es pot iniciar amb un compte d'administrador local o mitjançant credencials de domini desades a la memòria cau, la connexió del Secure Channel es pot comprovar amb PowerShell.
Com a administrador:
Test-ComputerSecureChannel
Si el Secure Channel funciona correctament, hauria de retornar:
True
En canvi, en un equip afectat pot aparèixer:
False
com a resultat.
A més, es pot comprovar amb nltest:
nltest /sc_query:DOMAIN
En aquest cas pot aparèixer, per exemple, l'error
ERROR_NO_TRUST_LSA_SECRET (1786)
aparèixer.
Precisament aquests símptomes es van documentar en el cas de Microsoft Q&A.
Important: no restabliu immediatament la contrasenya d'usuari
Aquests símptomes porten a restablir primer la contrasenya de l'usuari afectat.
En aquest cas, però, normalment no és el camí correcte.
Si diversos usuaris del mateix PC de sobte ja no poden iniciar sessió a través del domini, mentre que, per exemple, un inici de sessió emmagatzemat a la memòria cau encara funciona fora de línia, primer cal comprovar la relació de confiança de l'equip.
Un indici típic és:
Test-ComputerSecureChannel
retorna:
False
Possible intent de reparació
Com a primer intent de reparació, es pot restablir el Secure Channel:
Test-ComputerSecureChannel -Repair
si cal, juntament amb les credencials d'un compte de domini amb els permisos corresponents.
Com a alternativa, es pot restablir la contrasenya del compte d'equip amb PowerShell.
Ara bé, cal actuar amb precaució:
En els casos notificats fins ara, la reparació no sempre ha resolt el problema de manera definitiva.
Per exemple, en el cas original de Microsoft Q&A, l'ordre Test-ComputerSecureChannel -Repair no va ser suficient. Finalment, va caldre treure l'ordinador del domini i tornar-lo a unir al domini.
En canvi, altres administradors indiquen que l'ordre de reparació ha ajudat, almenys temporalment. Per tant, sembla que el problema no es manifesta de la mateixa manera en tots els sistemes afectats.
Si la reparació no és suficient
Si el Secure Channel continua malmès, pot caldre, com a mesura més laboriosa, tornar a unir l'equip al domini (domain join).
De manera simplificada:
Habilitar l'inici de sessió local amb un compte d'administrador
Treure l'ordinador del domini
Reiniciar l'ordinador
Tornar a incorporar l'ordinador al domini
Tornar a reiniciar l'ordinador
Provar l'inici de sessió al domini
En el cas documentat en què es va reproduir l'error, va caldre seguir exactament aquest procediment per resoldre'l de manera definitiva.
Cal ajornar de moment la instal·lació de KB5124008?
Aquí convé fer distincions.
KB5124008 és una actualització de seguretat i no s'hauria de desinstal·lar indiscriminadament en tots els entorns.
Alhora, els administradors d’entorns clàssics d’Active Directory haurien de supervisar la instal·lació amb especial atenció en aquests moments.
Amb KB5124008, Microsoft publica millores de seguretat importants. A més, l'actualització es distribueix mitjançant Windows Update, Windows Update for Business i WSUS.
Per tant, en entorns de producció es recomana un desplegament controlat:
Grup de prova → observació → grup més gran → desplegament complet
i no necessàriament:
Actualitzar tots els equips client alhora.
A més, especialment en els equips que els usuaris necessiten per iniciar sessió cada dia, caldria disposar d’un compte d’administrador local o d’un mecanisme de recuperació que funcioni.
Què recomanem actualment
Per a les empreses amb un entorn clàssic d’Active Directory, actualment recomanem:
1. Comprovar les versions afectades de Windows 11
En un equip client:
winver
o bé:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Comproveu si s'ha instal·lat KB5124008
Get-HotFix -Id KB5124008
3. Si hi ha problemes d'inici de sessió, comproveu el canal segur
Test-ComputerSecureChannel
4. Si el resultat és False, intenteu primer una reparació
Test-ComputerSecureChannel -Repair
5. Si els problemes es repeteixen, documenteu-ne la causa
En particular, cal registrar la informació següent:
Versió de Windows
Compilació del sistema operatiu
Actualitzacions KB instal·lades
Versió del controlador de domini
Moment en què s'ha produït
Resultat de Test-ComputerSecureChannel
Resultat de nltest /sc_query
Esdeveniments al client i al controlador de domini
Amb aquesta informació es pot determinar amb molta més precisió si realment hi ha una relació amb l’actualització.
Encara no s'ha confirmat cap causa definitiva
En aquest punt cal fer una matisació important:
Diversos administradors estan informant d'una relació reproduïble entre KB5124008 i els canals segurs de domini danyats, però, ara com ara, aquesta incidència no figura com a problema conegut a la documentació oficial de la base de coneixement de Microsoft.
La publicació original a Microsoft Q&A descriu una situació reproduïble amb Windows 11 25H2 i controladors de domini amb Windows Server 2019. Altres administradors també informen de problemes similars amb Windows Server 2022, entre altres versions.
També per això no s'hauria d'afirmar precipitadament que KB5124008 és definitivament la causa de tots els errors actuals de «Trust Relationship».
Cal continuar descartant altres causes, com ara problemes de DNS, desajustos horaris, problemes amb el compte de l'ordinador o amb components de xarxa o VPN.
Conclusió
Ara mateix cal fer un seguiment especialment atent de KB5124008 en entorns d'Active Directory.
Si, després de l'actualització de setembre, diversos usuaris d'un ordinador amb Windows 11 deixen de poder iniciar sessió al domini de sobte, tot i que les credencials són correctes, convé revisar la relació de confiança de l'ordinador amb el domini.
La primera comprovació, i la més important, és:
Test-ComputerSecureChannel
Si l'ordre retorna False, és molt probable que hi hagi un problema amb el canal segur entre l'ordinador i el domini.
Com que els informes rebuts fins ara mostren que una simple reparació no resol el problema de manera permanent en tots els sistemes, cal documentar amb detall els equips afectats i no modificar precipitadament comptes d'usuari ni contrasenyes.
Estat d'aquest article: 14 de setembre de 2026.
Seguim l'evolució de la situació al voltant de la KB5124008 i actualitzarem aquest article tan bon punt Microsoft publiqui una declaració oficial o la correcció corresponent.