2026ko irailaren 14a | Microsoft Windows | Active Directory | IT segurtasuna

Windows 11-rako KB5124008 2026ko irailaren segurtasun-eguneratzearekin, Active Directory ingurune klasikoetan ezohiko arazo baten berri ugaritzen ari da.

Bereziki kaltetuta daude tokiko Active Directory domeinu baten kide diren Windows 11 bezeroak. Eguneratzea instalatu ondoren, ordenagailuaren eta Domain Controller-aren arteko Secure Channel kaltetu daiteke.

Ondorioa: ordenagailua fisikoki sarean eskuragarri dago oraindik, baina domeinu-saio-hasierak bat-batean funtzionatzeari uzten dio.

Zer da KB5124008?

Microsoft-ek KB5124008 2026ko irailaren 8an argitaratu zuen Windows 11 24H2 eta 25H2-rako segurtasun-eguneratze gisa.

Windows 11 25H2-n eguneratzeak 26200.9445 Build-era eramaten du, Windows 11 24H2-n 26100.9445 Build-era. Microsoft-ek eguneratzea, printzipioz, segurtasun- eta kalitate-eguneratze gisa deskribatzen du.

Microsoft-ek jada hainbat arazo ezagun dokumentatu ditu KB5124008-rekin lotuta, besteak beste Remote Desktop Services-ekin, USB audio-gailuekin eta Hyper-V oinarritutako Linux VM-ekin. Hala ere, Active Directory Secure Channel-ekin lotutako arazo bat oraindik ez dago Known Issue gisa zerrendatuta KB dokumentazio ofizialean.

Benetako arazoa: domeinurako Secure Channel

Domeinuko ordenagailu batek bere ordenagailu-kontua dauka Active Directory-n.

Ordenagailuaren eta Domain Controller baten artean Secure Channel deiturikoa dago. Besteak beste, ordenagailuaren eta domeinuaren arteko konfiantza-harremanerako behar da.

Kanal hori kaltetzen bada, erabiltzaile batek bat-batean ezin izan dezake domeinu-saiorik hasi.

Bereziki maltzurra dena:

Erabiltzaile-izena eta pasahitza zuzenak dira oraindik.

Windows-ek, adibidez, hau jakinarazten du:

“Erabiltzaile-izena edo pasahitza okerra da.”

Egia esan, arazoa ez dago erabiltzailearen pasahitzean, ordenagailuak domeinuarekin duen konfiantza-harremanean baizik.

Errore-egoera tipikoa

Administratzaile batek argitaratutako eta erreproduzitu daitekeen kasu batean, portaera hau gertatu zen:

• Windows 11 25H2

• Build 26200.9445

• Update KB5124008

• Active Directory domeinu klasikoa

• Domain Controller Windows Server 2019rekin

Eguneratzea instalatu ondoren, saio-hasierak hasieran funtzionatzen zuen oraindik. Denbora batera, ordea, konfiantza-harremana kaltetuta zegoen.

Administratzaileak akatsa hainbat gailutan erreproduzitu ahal izan zuen: eguneratzea instalatu → arazoa agertzen da → eguneratzea kendu → arazoa desagertzen da. KB5124008 berriro instalatu ondoren, akatsa berriro agertu zen.

Interesgarria da, gainera, beste administratzaile batek ere Windows Server 2022 domeinu-kontrolatzaileekin arazoak dituela jakinarazten duela. Beste esperientzia-txosten batzuetan, arazoa domeinu-kontrolatzaileen bertsio desberdinetan ere deskribatzen da. Horrek, gaur egun, aurka egiten dio akatsa Windows Server 2019-ra soilik mugatuta dagoela azkarregi suposatzeari.

Akatsa honela egiaztatu daiteke

Kaltetutako ordenagailu bat tokiko administratzaile-kontu batekin edo cachean gordetako domeinu-kredentzialekin abiaraz badaiteke, Secure Channel konexioa PowerShell bidez egiazta daiteke.

Administratzaile gisa:

Test-ComputerSecureChannel

Secure Channel-ak ondo funtzionatzen badu, hau itzuli behar du:

True

Kaltetutako ordenagailu batean, aldiz, hau

False

agertu daiteke.

Gainera, nltest-ekin egiazta daiteke:

nltest /sc_query:DOMAIN

Horrekin, adibidez, akats hau

ERROR_NO_TRUST_LSA_SECRET (1786)

agertu daiteke.

Fitxa hori bera dokumentatu zen Microsoft Q&A kasuan.

Garrantzitsua: ez berrezarri berehala erabiltzailearen pasahitza

Errore-egoerak lehenik eta behin kaltetutako erabiltzailearen pasahitza berrezartzera bultzatzen du.

Hala ere, kasu honetan hori ez da normalean norabide egokia.

PC berean hainbat erabiltzailek bat-batean ezin badute domeinuaren bidez saioa hasi, baina, adibidez, cachean gordetako saio-hasiera offline oraindik funtzionatzen badu, lehenik ordenagailuaren konfiantza-harremana egiaztatu behar da.

Seinale tipiko bat hau da:

Test-ComputerSecureChannel

honako emaitza ematen du:

False

Konponketa-saiakera posible bat

Lehen konponketa-saiakera gisa, Secure Channel berriro ezar daiteke:

Test-ComputerSecureChannel -Repair

behar den moduan baimendutako domeinu-kontu baten sarbide-datuekin batera, beharrezkoa bada.

Bestela, ordenagailu-kontuaren pasahitza PowerShell bidez berrezar daiteke.

Hala ere, kontuz ibili behar da:

Orain arte jakinarazitako kasuetan, konponketa ez da beti behin betiko arrakastatsua izan.

Jatorrizko Microsoft Q&A kasuan, adibidez, Test-ComputerSecureChannel -Repair ez zen nahikoa izan. Han, azkenean, ordenagailua domeinutik kendu eta gero berriro domeinuan sartu behar izan zen.

Beste administratzaile batzuek, aldiz, Repair komandoak behintzat aldi baterako lagundu zuela jakinarazten dute. Beraz, errore-egoera ez dirudi berdina denik kaltetutako sistema guztietan.

Konponketa nahikoa ez denean

Secure Channel hautsita jarraitzen badu, neurri neketsuago gisa Domain Join berri bat beharrezkoa izan daiteke.

Sinplifikatuta:

1. Administratzaile-kontu batekin tokiko saio-hasiera ahalbidetu

2. Ordenagailua domeinutik kendu

3. Ordenagailua berrabiarazi

4. Ordenagailua berriro domeinuan sartu

5. Berriro berrabiarazi

6. Domeinu-saio-hasiera probatu

Dokumentatutako erreprodukzio-kasuan, prozesu hori hain zuzen beharrezkoa izan zen akatsa behin betiko kentzeko.

Atzera utzi behar al da KB5124008 oraingoz?

Hemen bereizketa egin behar da.

KB5124008 segurtasun-eguneratze bat da, eta ez litzateke ingurune guztietan oro har desinstalatu behar.

Aldi berean, Active Directory ingurune klasikoetako administratzaileek arreta bereziz behatu beharko lukete instalazioa oraingoz.

Microsoft-ek segurtasun-hobekuntza garrantzitsuak argitaratzen ditu KB5124008-rekin. Gainera, eguneratzea Windows Update, Windows Update for Business eta WSUS bidez banatzen da.

Ekoizpen-inguruneetarako, beraz, hedapen kontrolatua gomendatzen da:

Proba-taldea → behatu → talde handiagoa → hedapen osoa

eta ez nahitaez:

Bezero guztiak aldi berean eguneratu.

Batez ere erabiltzaileen eguneroko saio-hasierarako behar diren gailuetan, gainera, tokiko administratzaile-kontu bat edo funtzionatzen duen berreskuratze-aukera bat egon behar da.

Gaur egun gomendatzen duguna

Active Directory klasikoa duten enpresentzat, gaur egun hau gomendatzen dugu:

1. Kaltetutako Windows 11 bertsioak egiaztatu

Bezero batean:

winver

edo:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Egiaztatu KB5124008 instalatu den

Get-HotFix -Id KB5124008

3. Saio-hasierako arazoak badaude, Secure Channel egiaztatu

Test-ComputerSecureChannel

4. False bada, lehenik konponketa bat saiatu

Test-ComputerSecureChannel -Repair

5. Arazoak behin eta berriz errepikatzen badira, arrazoia dokumentatu

Bereziki, informazio hau jaso behar da:

• Windows bertsioa

• Sistema eragilearen build-a

• instalatutako KB eguneratzeak

• Domain Controller-aren bertsioa

• Agertu zen unea

• Test-ComputerSecureChannel-en emaitza

• nltest /sc_query-ren emaitza

• Bezeroko eta Domain Controller-eko gertaerak

Horrela, askoz hobeto zehatz daiteke eguneratzearekin benetan loturarik dagoen.

Oraindik ez dago behin betiko arrazoirik baieztatuta

Puntu honetan muga garrantzitsu bat aipatu behar da:

KB5124008-ren eta Domain Secure Channel kaltetuen arteko lotura administratzaileek erreproduzitu daitekeela jakinarazten dute gaur egun, baina oraingo egoeraren arabera ez dago Known Issue gisa zerrendatuta Microsoft-en KB dokumentazio ofizialean.

Microsoft Q&A txosten originalak Windows 11 25H2 eta Windows Server 2019 domeinu-kontrolatzaileekin gertatzen den egoera erreproduzigarri bat deskribatzen du. Beste administratzaile batzuek antzeko arazoak jakinarazten dituzte, besteak beste Windows Server 2022rekin.

Horregatik ere, ez litzateke azkarregi baieztatu behar KB5124008 dela gaur egungo “Trust Relationship” akats guztien kausa zalantzarik gabe.

Beste kausa batzuk, hala nola DNS arazoak, ordu-desbideraketak, ordenagailu-kontuaren arazoak edo sare/VPN osagaiak, baztertu egin behar dira oraindik.

Ondorioa

KB5124008 arreta bereziz behatu behar da gaur egun Active Directory inguruneetan.

Irailaren eguneratzearen ondoren Windows 11 PC bateko hainbat erabiltzailek bat-batean ezin badute domeinu-saiorik hasi, sarbide-datuak zuzenak izanik ere, merezi du ordenagailuaren konfiantza-harremana aztertzea.

Lehen proba garrantzitsuena hau da:

Test-ComputerSecureChannel

Komandoak False itzultzen badu, oso litekeena da ordenagailuak domeinurako duen Secure Channel-ean arazo bat egotea.

Orain arteko txostenek erakusten dutenez, konponketa errazak ez duenez sistema guztietan behin betiko laguntzen, kaltetutako gailuak zehatz-mehatz dokumentatu behar dira, eta ez dira azkarregi erabiltzaile-kontuak edo pasahitzak aldatu behar.

Argitalpen honen data: 2026ko irailaren 14a.

KB5124008-ren inguruko bilakaera behatzen ari gara, eta argitalpen hau eguneratuko dugu Microsoft-ek adierazpen ofizial bat edo dagokion konponbidea argitaratzen duenean.