14. září 2026 | Microsoft Windows | Active Directory | Bezpečnost IT

V souvislosti se zářijovou bezpečnostní aktualizací KB5124008 pro Windows 11 z roku 2026 se nyní množí hlášení o neobvyklém problému v klasických prostředích Active Directory.

Problém se týká zejména klientských počítačů s Windows 11, které jsou členy místní domény Active Directory. Po instalaci aktualizace může dojít k narušení zabezpečeného kanálu mezi počítačem a řadičem domény.

Důsledek: Počítač je sice v síti nadále fyzicky dostupný, přihlášení do domény však najednou přestane fungovat.

Co je KB5124008?

Microsoft vydal KB5124008 dne 8. září 2026 jako bezpečnostní aktualizaci pro Windows 11 24H2 a 25H2.

Ve Windows 11 25H2 aktualizace zvýší číslo sestavení na 26200.9445, ve Windows 11 24H2 na 26100.9445. Microsoft ji obecně popisuje jako aktualizaci zabezpečení a kvality.

Microsoft v současnosti již dokumentuje několik známých problémů souvisejících s KB5124008, mimo jiné problémy se službami Remote Desktop Services, USB audiozařízeními a linuxovými virtuálními počítači běžícími na Hyper-V. Problém se zabezpečeným kanálem Active Directory však v oficiální dokumentaci KB zatím není uveden jako známý problém (Known Issue).

Podstata problému: Zabezpečený kanál k doméně

Počítač připojený k doméně má v Active Directory vlastní účet počítače.

Mezi počítačem a řadičem domény existuje takzvaný zabezpečený kanál (Secure Channel). Ten je mimo jiné nezbytný pro vztah důvěryhodnosti mezi počítačem a doménou.

Pokud dojde k narušení tohoto kanálu, může se stát, že se uživatel najednou nebude moci přihlásit k doméně.

Obzvlášť záludné je, že:

Uživatelské jméno i heslo jsou stále správné.

Windows hlásí například:

„Uživatelské jméno nebo heslo je nesprávné.“

Ve skutečnosti však problém nespočívá v hesle uživatele, ale ve vztahu důvěryhodnosti mezi počítačem a doménou.

Typické projevy chyby

V případě, který zveřejnil jeden administrátor a který lze reprodukovat, se objevilo následující chování:

• Windows 11 25H2

• Sestavení 26200.9445

• Aktualizace KB5124008

• klasická doména Active Directory

• řadič domény se systémem Windows Server 2019

Po instalaci aktualizace přihlašování zpočátku ještě fungovalo. Po nějaké době však došlo k narušení vztahu důvěryhodnosti.

Správce dokázal chybu reprodukovat na několika zařízeních: instalace aktualizace → problém se objeví → odinstalace aktualizace → problém zmizí. Po opětovné instalaci aktualizace KB5124008 se chyba objevila znovu.

Zajímavé také je, že další správce hlásí problémy s řadiči domény se systémem Windows Server 2022. V dalších zprávách o zkušenostech z praxe je problém dokonce popisován u různých verzí řadičů domény. Dosavadní poznatky tedy nesvědčí pro ukvapený závěr, že se chyba týká výhradně systému Windows Server 2019.

Jak chybu ověřit

Pokud se na postiženém počítači stále lze přihlásit pomocí místního účtu správce nebo doménových přihlašovacích údajů uložených v mezipaměti, lze zabezpečený kanál ověřit pomocí PowerShellu.

S oprávněními správce:

Test-ComputerSecureChannel

U funkčního Secure Channelu by se měla vrátit hodnota:

True

U postiženého počítače se naopak může objevit:

False

.

Kromě toho lze provést kontrolu pomocí nástroje nltest:

nltest /sc_query:DOMAIN

Přitom se může vyskytnout například chyba

ERROR_NO_TRUST_LSA_SECRET (1786)

objevit.

Přesně tento projev chyby byl zdokumentován v případu na Microsoft Q&A.

Důležité: Neresetujte hned heslo uživatele

Projevy chyby svádějí k tomu, abyste nejprve resetovali heslo dotčeného uživatele.

V tomto případě to však obvykle není správná cesta.

Pokud se několik uživatelů na stejném počítači najednou nemůže přihlásit k doméně, zatímco například přihlášení offline pomocí přihlašovacích údajů uložených v mezipaměti stále funguje, je třeba nejprve zkontrolovat vztah důvěryhodnosti počítače s doménou.

Typickým příznakem je, že:

Test-ComputerSecureChannel

vrací:

False

Možný pokus o opravu

Jako první pokus o opravu lze znovu navázat zabezpečený kanál (Secure Channel):

Test-ComputerSecureChannel -Repair

případně spolu s přihlašovacími údaji doménového účtu s odpovídajícím oprávněním.

Alternativně lze heslo účtu počítače resetovat pomocí PowerShellu.

Je však třeba postupovat opatrně:

V dosud hlášených případech neměla oprava vždy trvalý účinek.

V původním případu popsaném na Microsoft Q&A například příkaz Test-ComputerSecureChannel -Repair nestačil. Počítač bylo nakonec nutné odebrat z domény a následně jej do ní znovu připojit.

Jiní správci naopak uvádějí, že příkaz s parametrem -Repair pomohl alespoň dočasně. Zdá se tedy, že se problém na všech dotčených systémech neprojevuje stejně.

Když oprava nestačí

Pokud je Secure Channel nadále poškozený, může být nutné přistoupit k náročnějšímu kroku a počítač znovu připojit k doméně (Domain Join).

Zjednodušeně:

1. Povolit místní přihlášení pomocí účtu správce

2. Odebrat počítač z domény

3. Restartovat počítač

4. Znovu připojit počítač k doméně

5. Znovu restartovat

6. Otestovat přihlášení do domény

Ve zdokumentovaném případě reprodukce byl k trvalému odstranění chyby nutný právě tento postup.

Má se instalace aktualizace KB5124008 prozatím odložit?

Zde je třeba rozlišovat.

KB5124008 je aktualizace zabezpečení a neměla by se bez rozmyslu plošně odinstalovávat ve všech prostředích.

Zároveň by správci s klasickými prostředími Active Directory měli instalaci v současné době sledovat obzvlášť pozorně.

Microsoft v aktualizaci KB5124008 přináší důležitá vylepšení zabezpečení. Aktualizace je distribuována také prostřednictvím služeb Windows Update, Windows Update for Business a WSUS.

Pro produkční prostředí se proto doporučuje řízené nasazení:

Testovací skupina → sledování → větší skupina → plošné nasazení

a nikoli nutně:

Aktualizovat všechny klientské počítače najednou.

Zejména u zařízení, která uživatelé potřebují ke každodennímu přihlašování, by navíc měl být k dispozici místní účet správce, případně funkční možnost obnovení.

Co aktuálně doporučujeme

Firmám s klasickým prostředím Active Directory v současnosti doporučujeme:

1. Zkontrolovat dotčené verze Windows 11

Na klientském počítači:

winver

nebo:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Ověřte, zda byla nainstalována aktualizace KB5124008

Get-HotFix -Id KB5124008

3. Při problémech s přihlášením zkontrolujte zabezpečený kanál

Test-ComputerSecureChannel

4. Pokud je výsledkem False, zkuste nejprve provést opravu

Test-ComputerSecureChannel -Repair

5. Při opakovaných problémech zdokumentujte příčinu

Zaznamenat je třeba zejména tyto informace:

• Verze Windows

• Sestavení operačního systému

• nainstalované aktualizace KB

• Verze řadiče domény

• Čas výskytu problému

• Výsledek příkazu Test-ComputerSecureChannel

• Výsledek příkazu nltest /sc_query

• Události na klientovi a řadiči domény

Díky tomu lze podstatně lépe zjistit, zda skutečně existuje souvislost s touto aktualizací.

Definitivní příčina zatím nebyla potvrzena

Zde je třeba uvést důležitou výhradu:

Souvislost mezi aktualizací KB5124008 a poškozenými zabezpečenými kanály (Secure Channel) k doméně v současnosti administrátoři hlásí jako reprodukovatelnou, podle aktuálního stavu však není uvedena jako odpovídající známý problém (Known Issue) v oficiální dokumentaci Microsoft KB.

Původní hlášení na Microsoft Q&A popisuje reprodukovatelnou situaci s Windows 11 25H2 a řadiči domény se systémem Windows Server 2019. Další správci hlásí podobné problémy mimo jiné i se systémem Windows Server 2022.

I proto by bylo předčasné tvrdit, že KB5124008 je jednoznačně příčinou všech aktuálních chyb vztahu důvěryhodnosti.

Nadále je nutné vyloučit i jiné příčiny, například problémy s DNS, rozdíly v systémovém čase, problémy s účtem počítače nebo se síťovými komponentami či komponentami VPN.

Závěr

V prostředích s Active Directory je nyní třeba věnovat aktualizaci KB5124008 zvýšenou pozornost.

Pokud se po zářijové aktualizaci najednou více uživatelů jednoho počítače s Windows 11 nemůže přihlásit k doméně, přestože zadávají správné přihlašovací údaje, vyplatí se zkontrolovat vztah důvěryhodnosti mezi počítačem a doménou.

Nejdůležitějším prvním krokem je tento test:

Test-ComputerSecureChannel

Pokud příkaz vrátí hodnotu False, velmi pravděpodobně jde o problém se zabezpečeným kanálem mezi počítačem a doménou.

Dosavadní hlášení ukazují, že jednoduchá oprava nepomáhá u všech systémů trvale. Proto je vhodné pečlivě zdokumentovat stav dotčených zařízení a neprovádět ukvapené změny uživatelských účtů či hesel.

Stav k 14. září 2026.

Vývoj kolem KB5124008 sledujeme a tento článek aktualizujeme, jakmile Microsoft zveřejní oficiální stanovisko nebo příslušnou opravu.