14 de septiembre de 2026 | Microsoft Windows | Active Directory | Seguridad informática
Con la actualización de seguridad de septiembre de 2026 KB5124008 para Windows 11 se están acumulando los informes sobre un problema inusual en entornos clásicos de Active Directory.
Se ven afectados especialmente los clientes con Windows 11 que son miembros de un dominio local de Active Directory. Tras la instalación de la actualización, el canal seguro (Secure Channel) entre el equipo y el controlador de dominio puede resultar dañado.
La consecuencia: el equipo sigue siendo accesible físicamente en la red, pero el inicio de sesión en el dominio deja de funcionar de repente.
¿Qué es KB5124008?
Microsoft publicó KB5124008 el 8 de septiembre de 2026 como actualización de seguridad para Windows 11 24H2 y 25H2.
En Windows 11 25H2, la actualización lleva a la compilación 26200.9445, y en Windows 11 24H2 a la compilación 26100.9445. Microsoft describe la actualización, en principio, como una actualización de seguridad y calidad.
Microsoft ya documenta actualmente varios problemas conocidos relacionados con KB5124008, entre ellos problemas con Remote Desktop Services, dispositivos de audio USB y máquinas virtuales Linux basadas en Hyper-V. Sin embargo, un problema con el canal seguro de Active Directory todavía no figura como problema conocido (Known Issue) en la documentación oficial de la KB.
El verdadero problema: el canal seguro con el dominio
Un equipo unido a un dominio tiene su propia cuenta de equipo en Active Directory.
Entre el equipo y un controlador de dominio existe el llamado Secure Channel (canal seguro). Este se necesita, entre otras cosas, para la relación de confianza entre el equipo y el dominio.
Si este canal se daña, puede ocurrir que un usuario, de repente, ya no pueda iniciar sesión en el dominio.
Lo más engañoso:
El nombre de usuario y la contraseña siguen siendo correctos.
Windows muestra, por ejemplo:
«El nombre de usuario o la contraseña no son correctos.»
Sin embargo, en realidad el problema no está en la contraseña del usuario, sino en la relación de confianza del equipo con el dominio.
Síntomas típicos
En un caso reproducible publicado por un administrador se observó el siguiente comportamiento:
Windows 11 25H2
Compilación 26200.9445
Actualización KB5124008
Dominio clásico de Active Directory
Controlador de dominio con Windows Server 2019
Tras instalar la actualización, el inicio de sesión seguía funcionando al principio. Sin embargo, al cabo de un tiempo la relación de confianza quedó dañada.
El administrador pudo reproducir el fallo en varios equipos: instalar la actualización → aparece el problema → desinstalar la actualización → el problema desaparece. Tras volver a instalar KB5124008, el fallo se produjo de nuevo.
Resulta además interesante que otro administrador también informe de problemas con controladores de dominio con Windows Server 2022. En otros informes de experiencias, el problema se describe incluso con diferentes versiones de controladores de dominio. Esto, por ahora, desaconseja suponer precipitadamente que se trata de un error limitado exclusivamente a Windows Server 2019.
Cómo comprobar el fallo
Si todavía es posible iniciar un equipo afectado con una cuenta de administrador local o mediante credenciales de dominio almacenadas en caché, la conexión del Secure Channel se puede comprobar con PowerShell.
Como administrador:
Test-ComputerSecureChannel
Si el Secure Channel funciona correctamente, debería devolver:
True
En cambio, en un equipo afectado puede aparecer:
False
como resultado.
Además, se puede comprobar con nltest:
nltest /sc_query:DOMINIO
En ese caso puede producirse, por ejemplo, el error
ERROR_NO_TRUST_LSA_SECRET (1786)
aparecer.
Exactamente este cuadro de error fue documentado en el caso de Microsoft Q&A.
Importante: no restablecer de inmediato la contraseña del usuario
El cuadro de error invita a restablecer primero la contraseña del usuario afectado.
Sin embargo, en este caso normalmente no es el camino correcto.
Si varios usuarios de un mismo PC de repente ya no pueden iniciar sesión a través del dominio, mientras que, por ejemplo, un inicio de sesión almacenado en caché sigue funcionando sin conexión, lo primero que se debe comprobar es la relación de confianza del equipo.
Un indicio típico es:
Test-ComputerSecureChannel
devuelve:
False
Posible intento de reparación
Como primer intento de reparación, se puede restablecer el Secure Channel:
Test-ComputerSecureChannel -Repair
si es necesario, junto con las credenciales de una cuenta de dominio con los permisos correspondientes.
Como alternativa, se puede restablecer la contraseña de la cuenta de equipo con PowerShell.
No obstante, conviene actuar con precaución:
En los casos notificados hasta ahora, la reparación no siempre tiene un efecto duradero.
En el caso original de Microsoft Q&A, por ejemplo, Test-ComputerSecureChannel -Repair no fue suficiente. Allí fue necesario, en última instancia, quitar el equipo del dominio y volver a unirlo después.
Otros administradores, en cambio, informan de que el comando de reparación ayudó al menos de forma temporal. Por tanto, el problema no parece presentarse de forma idéntica en todos los sistemas afectados.
Si la reparación no es suficiente
Si el canal seguro sigue dañado, puede ser necesario volver a unir el equipo al dominio, una medida más laboriosa.
De forma simplificada:
Permitir el inicio de sesión local con una cuenta de administrador
Quitar el equipo del dominio
Reiniciar el equipo
Volver a unir el equipo al dominio
Reiniciar de nuevo
Probar el inicio de sesión en el dominio
En el caso de reproducción documentado, fue necesario exactamente este procedimiento para eliminar el error de forma permanente.
¿Conviene retener KB5124008 por el momento?
Aquí conviene matizar.
KB5124008 es una actualización de seguridad y no debería desinstalarse sin más de forma generalizada en todos los entornos.
Al mismo tiempo, los administradores de entornos clásicos de Active Directory deberían vigilar actualmente con especial atención la instalación.
Con KB5124008, Microsoft publica mejoras de seguridad importantes. Además, la actualización se distribuye a través de Windows Update, Windows Update for Business y WSUS.
Por ello, para entornos de producción se recomienda un despliegue controlado:
Grupo de prueba → observar → grupo más amplio → despliegue completo
y no necesariamente:
Actualizar todos los clientes al mismo tiempo.
Especialmente en los equipos necesarios para el inicio de sesión diario de los usuarios, debería existir además una cuenta de administrador local o una opción de recuperación que funcione.
Lo que recomendamos actualmente
Para empresas con un Active Directory clásico, actualmente recomendamos:
1. Comprobar las versiones de Windows 11 afectadas
En un cliente:
winver
o bien:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Comprobar si se ha instalado KB5124008
Get-HotFix -Id KB5124008
3. En caso de problemas de inicio de sesión, comprobar el Secure Channel
Test-ComputerSecureChannel
4. Si el resultado es False, intentar primero una reparación
Test-ComputerSecureChannel -Repair
5. Si los problemas se repiten, documentar la causa
En particular, conviene registrar la siguiente información:
Versión de Windows
Compilación del SO
Actualizaciones KB instaladas
Versión del controlador de dominio
Momento en que se produjo el problema
Resultado de Test-ComputerSecureChannel
Resultado de nltest /sc_query
Eventos en el cliente y en el controlador de dominio
Con ello resulta mucho más fácil determinar si realmente existe una relación con la actualización.
Aún no se ha confirmado una causa definitiva
Llegados a este punto es necesario hacer una salvedad importante:
La relación entre KB5124008 y los canales seguros de dominio dañados está siendo reportada actualmente por administradores de forma reproducible, pero, según la información disponible, no figura como un problema conocido (Known Issue) en la documentación oficial de la KB de Microsoft.
El informe original de Microsoft Q&A describe una situación reproducible con Windows 11 25H2 y controladores de dominio con Windows Server 2019. Otros administradores informan de problemas similares, entre otros con Windows Server 2022.
También por ello no conviene afirmar de forma precipitada que KB5124008 sea definitivamente la causa de todos los errores actuales de «relación de confianza» (Trust Relationship).
Otras causas, como problemas de DNS, desfases horarios, problemas con la cuenta de equipo o componentes de red/VPN, deben seguir descartándose.
Conclusión
Actualmente conviene vigilar KB5124008 con especial atención en entornos de Active Directory.
Si tras la actualización de septiembre varios usuarios de un PC con Windows 11 dejan de poder iniciar sesión en el dominio de forma repentina, aunque las credenciales sean correctas, merece la pena revisar la relación de confianza del equipo.
La primera prueba más importante es:
Test-ComputerSecureChannel
Si el comando devuelve False, lo más probable es que exista un problema con el canal seguro (Secure Channel) entre el equipo y el dominio.
Dado que los informes publicados hasta ahora muestran que una simple reparación no resuelve el problema de forma permanente en todos los sistemas, conviene documentar con precisión los equipos afectados y no modificar precipitadamente cuentas de usuario ni contraseñas.
Fecha de actualización de este artículo: 14 de septiembre de 2026.
Seguimos de cerca la evolución en torno a KB5124008 y actualizaremos este artículo en cuanto Microsoft publique una declaración oficial o una corrección correspondiente.