14 Medi 2026 | Microsoft Windows | Active Directory | Diogelwch TG
Gyda diweddariad diogelwch Medi 2026 KB5124008 ar gyfer Windows 11, mae adroddiadau am broblem anarferol mewn amgylcheddau Active Directory clasurol yn cynyddu ar hyn o bryd.
Mae'n effeithio'n arbennig ar gleientiaid Windows 11 sy'n aelodau o barth Active Directory lleol. Ar ôl gosod y diweddariad, gall y Secure Channel rhwng y cyfrifiadur a'r Domain Controller gael ei niweidio.
Y canlyniad: mae'r cyfrifiadur yn dal i fod ar gael yn ffisegol ar y rhwydwaith, ond yn sydyn nid yw mewngofnodi i'r parth yn gweithio mwyach.
Beth yw KB5124008?
Rhyddhaodd Microsoft KB5124008 ar 8 Medi 2026 fel diweddariad diogelwch ar gyfer Windows 11 24H2 a 25H2.
O dan Windows 11 25H2, mae'r diweddariad yn arwain at Build 26200.9445, ac o dan Windows 11 24H2 at Build 26100.9445. Mae Microsoft yn disgrifio'r diweddariad yn y bôn fel diweddariad diogelwch ac ansawdd.
Mae Microsoft eisoes yn dogfennu sawl problem hysbys ar hyn o bryd mewn cysylltiad â KB5124008, gan gynnwys problemau gyda Remote Desktop Services, dyfeisiau sain USB a pheiriannau rhithwir Linux sy'n seiliedig ar Hyper-V. Fodd bynnag, nid yw problem gyda'r Secure Channel Active Directory wedi'i rhestru eto fel Known Issue yn y dogfennau KB swyddogol ar hyn o bryd.
Y broblem go iawn: y Secure Channel i'r parth
Mae gan gyfrifiadur parth ei gyfrif cyfrifiadur ei hun yn Active Directory.
Rhwng y cyfrifiadur a Rheolydd Parth (Domain Controller) mae'r hyn a elwir yn Secure Channel. Mae angen hwn, ymhlith pethau eraill, ar gyfer y berthynas ymddiriedaeth rhwng y cyfrifiadur a'r parth.
Os caiff y sianel hon ei difrodi, gall defnyddiwr, dan rai amgylchiadau, fethu'n sydyn â mewngofnodi i'r parth mwyach.
Yr hyn sy'n arbennig o dwyllodrus:
Mae'r enw defnyddiwr a'r cyfrinair yn dal i fod yn gywir.
Mae Windows yn adrodd, er enghraifft:
„Mae'r enw defnyddiwr neu'r cyfrinair yn anghywir.“
Mewn gwirionedd, nid cyfrinair y defnyddiwr yw'r broblem, ond perthynas ymddiriedaeth y cyfrifiadur â'r parth.
Patrwm nodweddiadol y gwall
Mewn achos a gyhoeddwyd gan weinyddwr ac y gellir ei atgynhyrchu, digwyddodd yr ymddygiad canlynol:
Windows 11 25H2
Build 26200.9445
Diweddariad KB5124008
parth Active Directory clasurol
Rheolydd Parth ar Windows Server 2019
Ar ôl gosod y diweddariad, roedd mewngofnodi'n dal i weithio i ddechrau. Ar ôl peth amser, fodd bynnag, roedd y berthynas ymddiriedaeth wedi'i difrodi.
Llwyddodd y gweinyddwr i atgynhyrchu'r gwall ar sawl dyfais: gosod y diweddariad → mae'r broblem yn ymddangos → tynnu'r diweddariad → mae'r broblem yn diflannu. Ar ôl ailosod KB5124008, ymddangosodd y gwall eto.
Yn ddiddorol, mae gweinyddwr arall hefyd yn adrodd am broblemau gyda rheolyddion parth Windows Server 2022. Mewn adroddiadau profiad eraill, disgrifir y broblem hyd yn oed gyda fersiynau gwahanol o reolyddion parth. Ar hyn o bryd mae hyn yn dadlau yn erbyn tybio'n rhy gyflym fod y gwall wedi'i gyfyngu i Windows Server 2019 yn unig.
Sut i wirio'r gwall
Os gellir cychwyn cyfrifiadur yr effeithiwyd arno o hyd gyda chyfrif gweinyddwr lleol neu drwy fanylion mewngofnodi parth wedi'u storio yn y storfa dros dro, gellir gwirio'r cysylltiad Secure Channel gyda PowerShell.
Fel gweinyddwr:
Test-ComputerSecureChannel
Os yw'r Secure Channel yn gweithio'n iawn, dylai ddychwelyd:
True
Ar gyfrifiadur sydd wedi'i effeithio, fodd bynnag, gall:
False
ymddangos.
Yn ogystal, gellir gwirio gyda nltest:
nltest /sc_query:DOMAIN
Wrth wneud hynny, gall y gwall, er enghraifft,
ERROR_NO_TRUST_LSA_SECRET (1786)
ymddangos.
Yn union yr un patrwm gwall hwn a gafodd ei ddogfennu yn yr achos Microsoft Q&A.
Pwysig: Peidiwch ag ailosod cyfrinair y defnyddiwr ar unwaith
Mae'r patrwm gwall yn temtio rhywun i ailosod cyfrinair y defnyddiwr dan sylw yn gyntaf.
Fel arfer, fodd bynnag, nid dyna'r cyfeiriad cywir yn yr achos hwn.
Os yw sawl defnyddiwr ar yr un PC yn sydyn yn methu mewngofnodi drwy'r parth mwyach, tra bod mewngofnodi â manylion wedi'u storio yn y storfa dros dro, er enghraifft, yn dal i weithio all-lein, dylid gwirio perthynas ymddiriedaeth y cyfrifiadur yn gyntaf.
Arwydd nodweddiadol yw:
Test-ComputerSecureChannel
yn dychwelyd:
False
Ymgais bosibl i atgyweirio
Fel ymgais gyntaf i atgyweirio, gellir ailsefydlu'r Secure Channel:
Test-ComputerSecureChannel -Repair
ynghyd â manylion mewngofnodi cyfrif parth â'r hawliau priodol, os oes angen.
Fel arall, gellir ailosod cyfrinair y cyfrif cyfrifiadur gyda PowerShell.
Fodd bynnag, mae angen bod yn ofalus yma:
Yn yr achosion a adroddwyd hyd yma, nid yw'r atgyweiriad bob amser yn llwyddo'n barhaol.
Yn achos gwreiddiol Microsoft Q&A, er enghraifft, nid oedd Test-ComputerSecureChannel -Repair yn ddigon. Yno, bu'n rhaid tynnu'r cyfrifiadur o'r parth yn y pen draw ac yna ei ychwanegu at y parth eto.
Ar y llaw arall, mae gweinyddwyr eraill yn adrodd bod y gorchymyn Repair wedi helpu, dros dro o leiaf. Felly, nid yw'n ymddangos bod y broblem yr un fath ar bob system yr effeithir arni.
Os nad yw'r atgyweiriad yn ddigon
Os yw'r Secure Channel yn dal i fod wedi torri, efallai y bydd angen ailymuno â'r parth fel cam mwy llafurus.
Yn syml:
Galluogi mewngofnodi lleol gyda chyfrif gweinyddwr
Tynnu'r cyfrifiadur o'r parth
Ailgychwyn y cyfrifiadur
Ychwanegu'r cyfrifiadur at y parth eto
Ailgychwyn eto
Profi'r mewngofnodi i'r parth
Yn yr achos atgynhyrchu a ddogfennwyd, roedd angen yr union broses hon er mwyn cael gwared ar y gwall yn barhaol.
A ddylid dal KB5124008 yn ôl ar hyn o bryd?
Dylid gwahaniaethu yma.
Mae KB5124008 yn ddiweddariad diogelwch ac ni ddylid ei ddadosod yn ddiwahân ym mhob amgylchedd.
Ar yr un pryd, dylai gweinyddwyr sydd ag amgylcheddau Active Directory clasurol gadw llygad arbennig o ofalus ar y gosodiad ar hyn o bryd.
Mae Microsoft yn cyhoeddi gwelliannau diogelwch pwysig gyda KB5124008. Caiff y diweddariad ei ddosbarthu hefyd drwy Windows Update, Windows Update for Business a WSUS.
Ar gyfer amgylcheddau cynhyrchu, argymhellir felly cyflwyno'r diweddariad yn raddol ac o dan reolaeth:
Grŵp prawf → arsylwi → grŵp mwy → cyflwyno'n llawn
ac nid o reidrwydd:
Diweddaru pob cleient ar yr un pryd.
Yn enwedig ar ddyfeisiau sy'n angenrheidiol ar gyfer mewngofnodi dyddiol y defnyddwyr, dylai fod cyfrif gweinyddwr lleol neu ddull adfer sy'n gweithio ar gael hefyd.
Yr hyn rydym yn ei argymell ar hyn o bryd
Ar gyfer cwmnïau sydd ag Active Directory clasurol, rydym yn argymell ar hyn o bryd:
1. Gwirio'r fersiynau Windows 11 yr effeithir arnynt
Ar gleient:
winver
neu:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Gwirio a yw KB5124008 wedi'i osod
Get-HotFix -Id KB5124008
3. Gwirio'r Secure Channel os oes problemau mewngofnodi
Test-ComputerSecureChannel
4. Os yw'r canlyniad yn False, ceisio atgyweirio yn gyntaf
Test-ComputerSecureChannel -Repair
5. Dogfennu'r achos os yw'r problemau'n ailddigwydd
Yn benodol, dylid cofnodi'r wybodaeth ganlynol:
Fersiwn Windows
Adeiladwaith OS
diweddariadau KB wedi'u gosod
Fersiwn y Rheolydd Parth
Amser y digwyddiad
Canlyniad Test-ComputerSecureChannel
Canlyniad nltest /sc_query
Digwyddiadau ar y cleient a'r Rheolydd Parth
Gyda hynny, mae'n llawer haws penderfynu a oes cysylltiad gwirioneddol â'r diweddariad.
Dim achos terfynol wedi'i gadarnhau eto
Mae angen cyfyngiad pwysig ar y pwynt hwn:
Mae gweinyddwyr ar hyn o bryd yn adrodd yn atgynhyrchadwy am y cysylltiad rhwng KB5124008 a Secure Channels parth wedi'u niweidio, ond yn ôl y sefyllfa bresennol nid yw wedi'i restru fel Known Issue cyfatebol yn nogfennaeth KB swyddogol Microsoft.
Mae adroddiad gwreiddiol Microsoft Q&A yn disgrifio sefyllfa y gellir ei hatgynhyrchu gyda Windows 11 25H2 a rheolyddion parth Windows Server 2019. Mae gweinyddwyr eraill yn adrodd am broblemau tebyg, gan gynnwys gyda Windows Server 2022.
Hefyd am y rheswm hwn, ni ddylid honni'n frysiog mai KB5124008 yn bendant yw achos pob gwall „Trust Relationship“ cyfredol.
Mae'n dal yn rhaid diystyru achosion eraill fel problemau DNS, gwyriadau amser, problemau gyda chyfrif y cyfrifiadur neu gydrannau rhwydwaith/VPN.
Casgliad
Dylid monitro KB5124008 yn arbennig o fanwl ar hyn o bryd mewn amgylcheddau Active Directory.
Os na all sawl defnyddiwr ar gyfrifiadur Windows 11 fewngofnodi i'r parth yn sydyn mwyach ar ôl diweddariad mis Medi, er bod y manylion mewngofnodi yn gywir, mae'n werth edrych ar ymddiriedaeth y cyfrifiadur.
Y prawf cyntaf pwysicaf yw:
Test-ComputerSecureChannel
Os yw'r gorchymyn yn dychwelyd False, mae'n debygol iawn bod problem gyda Secure Channel y cyfrifiadur i'r parth.
Gan fod yr adroddiadau hyd yma yn dangos nad yw atgyweiriad syml yn helpu'n barhaol ar bob system, dylid dogfennu'r dyfeisiau yr effeithir arnynt yn fanwl a pheidio â newid cyfrifon defnyddwyr na chyfrineiriau yn fyrbwyll.
Yn gywir ar: 14 Medi 2026.
Rydym yn cadw golwg ar y datblygiadau ynghylch KB5124008 a byddwn yn diweddaru'r erthygl hon cyn gynted ag y bydd Microsoft yn cyhoeddi datganiad swyddogol neu ddatrysiad priodol.