14. september 2026 | Microsoft Windows | Active Directory | IT-sikkerhed

Efter sikkerhedsopdateringen KB5124008 til Windows 11 fra september 2026 kommer der i øjeblikket stadig flere rapporter om et usædvanligt problem i klassiske Active Directory-miljøer.

Problemet rammer især Windows 11-klienter, der er medlem af et lokalt Active Directory-domæne. Efter installationen af opdateringen kan den sikre kanal mellem computeren og domænecontrolleren blive beskadiget.

Konsekvensen: Computeren kan stadig nås fysisk på netværket, men domænelogon virker pludselig ikke længere.

Hvad er KB5124008?

Microsoft udgav KB5124008 den 8. september 2026 som sikkerhedsopdatering til Windows 11 24H2 og 25H2.

På Windows 11 25H2 opdateres systemet til build 26200.9445, og på Windows 11 24H2 til build 26100.9445. Microsoft beskriver overordnet opdateringen som en sikkerheds- og kvalitetsopdatering.

Microsoft har allerede dokumenteret flere kendte problemer i forbindelse med KB5124008, blandt andet problemer med Remote Desktop Services, USB-lydenheder og Hyper-V-baserede virtuelle Linux-maskiner. Et problem med den sikre kanal i Active Directory er dog endnu ikke anført som et kendt problem i den officielle KB-dokumentation.

Det egentlige problem: Den sikre kanal til domænet

En domænecomputer har sin egen computerkonto i Active Directory.

Mellem computeren og en domænecontroller findes der en såkaldt Secure Channel. Denne kanal er blandt andet nødvendig for tillidsforholdet mellem computeren og domænet.

Hvis denne kanal bliver beskadiget, kan en bruger i visse tilfælde pludselig ikke længere logge på domænet.

Det særligt lumske er:

Brugernavnet og adgangskoden er stadig korrekte.

Windows viser for eksempel følgende meddelelse:

»Brugernavnet eller adgangskoden er forkert.«

Problemet skyldes dog i virkeligheden ikke brugerens adgangskode, men computerens tillidsforhold til domænet.

Typiske symptomer

I et reproducerbart tilfælde, som en administrator har beskrevet offentligt, opstod følgende adfærd:

• Windows 11 25H2

• Build 26200.9445

• Opdatering KB5124008

• klassisk Active Directory-domæne

• Domænecontroller med Windows Server 2019

Efter installationen af opdateringen fungerede logon i første omgang stadig. Efter et stykke tid var tillidsforholdet imidlertid beskadiget.

Administratoren kunne genskabe fejlen på flere enheder: Installér opdateringen → problemet opstår → fjern opdateringen → problemet forsvinder. Efter en ny installation af KB5124008 opstod fejlen igen.

Det er desuden interessant, at en anden administrator også rapporterer om problemer med domænecontrollere med Windows Server 2022. I andre erfaringsberetninger beskrives problemet endda på tværs af forskellige versioner af domænecontrollere. Det taler på nuværende tidspunkt imod forhastet at antage, at fejlen udelukkende er begrænset til Windows Server 2019.

Sådan kan du undersøge fejlen

Hvis en berørt computer stadig kan startes med en lokal administratorkonto eller via cachelagrede domænelogonoplysninger, kan Secure Channel-forbindelsen kontrolleres med PowerShell.

Som administrator:

Test-ComputerSecureChannel

Hvis den sikre kanal fungerer, bør kommandoen returnere:

True

På en berørt computer kan der derimod vises:

False

som resultat.

Derudover kan forbindelsen kontrolleres med nltest:

nltest /sc_query:DOMAIN

Her kan der for eksempel opstå fejlen

ERROR_NO_TRUST_LSA_SECRET (1786)

opstå.

Netop disse symptomer blev dokumenteret i sagen på Microsoft Q&A.

Vigtigt: Nulstil ikke brugerens adgangskode med det samme

Disse symptomer kan få en til først at nulstille den berørte brugers adgangskode.

I dette tilfælde er det dog normalt ikke den rette fremgangsmåde.

Hvis flere brugere på den samme pc pludselig ikke længere kan logge ind via domænet, mens f.eks. et cachelagret login stadig fungerer offline, bør man først kontrollere computerens tillidsforhold til domænet.

Et typisk tegn er:

Test-ComputerSecureChannel

returnerer:

False

Muligt reparationsforsøg

Som et første reparationsforsøg kan man genoprette Secure Channel:

Test-ComputerSecureChannel -Repair

eventuelt sammen med legitimationsoplysningerne til en domænekonto med de nødvendige rettigheder.

Alternativt kan computerkontoens adgangskode nulstilles med PowerShell.

Her bør man dog være forsigtig:

I de hidtil rapporterede tilfælde har reparationen ikke altid givet en varig løsning.

I den oprindelige sag på Microsoft Q&A var Test-ComputerSecureChannel -Repair eksempelvis ikke tilstrækkeligt. Her måtte computeren i sidste ende fjernes fra domænet og derefter tilmeldes domænet igen.

Andre administratorer melder derimod, at Repair-kommandoen i det mindste har hjulpet midlertidigt. Fejlbilledet ser derfor ikke ud til at være identisk på alle berørte systemer.

Hvis reparationen ikke er nok

Hvis Secure Channel fortsat er defekt, kan det blive nødvendigt at tilmelde computeren til domænet igen, hvilket er en mere omfattende løsning.

Kort fortalt:

1. Sørg for, at det er muligt at logge på lokalt med en administratorkonto

2. Fjern computeren fra domænet

3. Genstart computeren

4. Tilføj computeren til domænet igen

5. Genstart igen

6. Test domænelogon

I det dokumenterede tilfælde, hvor fejlen blev reproduceret, var netop denne fremgangsmåde nødvendig for at afhjælpe fejlen permanent.

Bør man vente med at installere KB5124008 i øjeblikket?

Det afhænger af den konkrete situation.

KB5124008 er en sikkerhedsopdatering og bør ikke uden videre afinstalleres i alle miljøer.

Samtidig bør administratorer med klassiske Active Directory-miljøer i øjeblikket holde særligt godt øje med installationen.

Med KB5124008 udgiver Microsoft vigtige sikkerhedsforbedringer. Opdateringen distribueres desuden via Windows Update, Windows Update for Business og WSUS.

I produktionsmiljøer anbefales derfor en kontrolleret udrulning:

Testgruppe → observér → større gruppe → fuld udrulning

og ikke nødvendigvis:

Opdater alle klienter samtidig.

Især på enheder, som brugerne har brug for at logge på til daglig, bør der desuden være en lokal administratorkonto eller en fungerende gendannelsesmulighed.

Hvad vi anbefaler i øjeblikket

Til virksomheder med klassisk Active Directory anbefaler vi i øjeblikket følgende:

1. Kontrollér de berørte Windows 11-versioner

På en klient:

winver

eller:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Kontrollér, om KB5124008 er installeret

Get-HotFix -Id KB5124008

3. Kontrollér Secure Channel ved logonproblemer

Test-ComputerSecureChannel

4. Ved False: forsøg først en reparation

Test-ComputerSecureChannel -Repair

5. Dokumentér årsagen ved tilbagevendende problemer

Især bør følgende oplysninger noteres:

• Windows-version

• OS-build

• installerede KB-opdateringer

• Domænecontrollerens version

• Tidspunkt for problemets opståen

• Resultat af Test-ComputerSecureChannel

• Resultat af nltest /sc_query

• Hændelser på klienten og domænecontrolleren

Det gør det langt lettere at afgøre, om der faktisk er en sammenhæng med opdateringen.

Årsagen er endnu ikke endeligt bekræftet

Her er det nødvendigt at tage et vigtigt forbehold:

Administratorer rapporterer i øjeblikket om en sammenhæng mellem KB5124008 og beskadigede sikre kanaler til domænet, som de kan reproducere, men problemet er på nuværende tidspunkt ikke anført som et kendt problem i Microsofts officielle KB-dokumentation.

Den oprindelige rapport på Microsoft Q&A beskriver en reproducerbar situation med Windows 11 25H2 og Windows Server 2019-domænecontrollere. Andre administratorer melder om lignende problemer, blandt andet med Windows Server 2022.

Også derfor bør man ikke forhastet konkludere, at KB5124008 med sikkerhed er årsagen til alle aktuelle fejl i tillidsforholdet til domænet.

Andre årsager såsom DNS-problemer, tidsafvigelser, problemer med computerkontoen eller netværks-/VPN-komponenter skal fortsat udelukkes.

Konklusion

Man bør i øjeblikket holde særligt godt øje med KB5124008 i Active Directory-miljøer.

Hvis flere brugere af en Windows 11-pc pludselig ikke længere kan logge på domænet efter septemberopdateringen, selvom deres loginoplysninger er korrekte, er det værd at undersøge computerens tillidsforhold til domænet.

Den vigtigste første test er:

Test-ComputerSecureChannel

Hvis kommandoen returnerer False, er der med stor sandsynlighed et problem med computerens secure channel til domænet.

Da de hidtidige rapporter viser, at en simpel reparation ikke løser problemet permanent på alle systemer, bør man nøje dokumentere de berørte enheder og ikke forhastet ændre brugerkonti eller adgangskoder.

Status for dette indlæg: 14. september 2026.

Vi følger udviklingen omkring KB5124008 og opdaterer dette indlæg, så snart Microsoft offentliggør en officiel udmelding eller en rettelse til problemet.