۱۴ سپتامبر ۲۰۲۶ | Microsoft Windows | Active Directory | امنیت فناوری اطلاعات
با انتشار به‌روزرسانی امنیتی سپتامبر ۲۰۲۶ با شناسهٔ KB5124008 برای Windows 11، گزارش‌ها دربارهٔ یک مشکل غیرعادی در محیط‌های کلاسیک Active Directory رو به افزایش است.
این مشکل به‌ویژه کلاینت‌های Windows 11 را درگیر می‌کند که عضو یک دامنهٔ محلی Active Directory هستند. پس از نصب این به‌روزرسانی ممکن است کانال امن (Secure Channel) میان رایانه و Domain Controller آسیب ببیند.
نتیجه این است که رایانه همچنان از نظر فیزیکی در شبکه در دسترس است، اما ورود به دامنه ناگهان دیگر کار نمی‌کند.
KB5124008 چیست؟
Microsoft به‌روزرسانی KB5124008 را در تاریخ ۸ سپتامبر ۲۰۲۶ به‌عنوان به‌روزرسانی امنیتی برای Windows 11 نسخه‌های 24H2 و 25H2 منتشر کرده است.
در Windows 11 25H2 این به‌روزرسانی سیستم را به Build 26200.9445 و در Windows 11 24H2 به Build 26100.9445 می‌رساند. Microsoft این به‌روزرسانی را در اصل یک به‌روزرسانی امنیتی و کیفی توصیف می‌کند.
Microsoft هم‌اکنون چندین مشکل شناخته‌شده در ارتباط با KB5124008 را مستند کرده است، از جمله مشکلاتی در Remote Desktop Services، دستگاه‌های صوتی USB و ماشین‌های مجازی لینوکس مبتنی بر Hyper-V. با این حال، مشکل مربوط به Secure Channel در Active Directory در حال حاضر هنوز در مستندات رسمی KB به‌عنوان مشکل شناخته‌شده (Known Issue) ذکر نشده است.
مشکل اصلی: Secure Channel به دامنه
هر رایانهٔ عضو دامنه، حساب رایانه‌ای مخصوص به خود را در Active Directory دارد.
بین رایانه و یک Domain Controller، کانالی به نام Secure Channel برقرار است. این کانال از جمله برای رابطهٔ اعتماد (Trust) میان رایانه و دامنه لازم است.
اگر این کانال آسیب ببیند، ممکن است کاربر به‌طور ناگهانی دیگر نتواند به دامنه وارد شود.
نکتهٔ به‌ویژه گمراه‌کننده:
نام کاربری و گذرواژه همچنان درست هستند.
برای مثال، ویندوز این پیام را نشان می‌دهد:
«نام کاربری یا گذرواژه نادرست است.»
اما در واقع مشکل از گذرواژهٔ کاربر نیست، بلکه از رابطهٔ اعتماد رایانه با دامنه است.
الگوی معمول خطا
در موردی که یک مدیر سیستم منتشر کرده و قابل بازتولید است، رفتار زیر مشاهده شد:
Windows 11 25H2
بیلد 26200.9445
به‌روزرسانی KB5124008
دامنهٔ کلاسیک Active Directory
کنترل‌کنندهٔ دامنه (Domain Controller) مبتنی بر Windows Server 2019
پس از نصب به‌روزرسانی، ورود به سیستم در ابتدا همچنان کار می‌کرد. اما پس از مدتی، رابطهٔ اعتماد (Trust) آسیب دیده بود.
مدیر سیستم توانست این خطا را روی چند دستگاه بازتولید کند: نصب به‌روزرسانی → بروز مشکل → حذف به‌روزرسانی → رفع مشکل. پس از نصب مجدد KB5124008، خطا دوباره ظاهر شد.
جالب این است که مدیر سیستم دیگری نیز از مشکلاتی با دامین کنترلرهای Windows Server 2022 گزارش می‌دهد. در گزارش‌های تجربی دیگر، این مشکل حتی در نسخه‌های مختلف دامین کنترلر نیز توصیف شده است. این موضوع در حال حاضر به زیان این فرض است که زود نتیجه بگیریم خطا فقط به Windows Server 2019 محدود می‌شود.
نحوهٔ بررسی این خطا
اگر رایانهٔ آسیب‌دیده هنوز با یک حساب مدیر محلی (Local Administrator) یا از طریق اطلاعات ورود ذخیره‌شدهٔ دامنه (Cached Credentials) قابل راه‌اندازی باشد، می‌توان اتصال Secure Channel را با PowerShell بررسی کرد.
با دسترسی مدیر (Administrator):
Test-ComputerSecureChannel
در صورت سالم بودن Secure Channel باید این مقدار برگردانده شود:
True
در مقابل، در یک رایانهٔ آسیب‌دیده ممکن است مقدار:
False
نمایش داده شود.
علاوه بر این، می‌توان با nltest نیز بررسی کرد:
nltest /sc_query:DOMAIN
در این حالت ممکن است برای مثال خطای
ERROR_NO_TRUST_LSA_SECRET (1786)
رخ دهد.
دقیقاً همین الگوی خطا در مورد مطرح‌شده در Microsoft Q&A مستند شده است.
مهم: گذرواژه کاربر را بلافاصله بازنشانی نکنید
این الگوی خطا وسوسه می‌کند که ابتدا گذرواژه کاربر آسیب‌دیده بازنشانی شود.
اما در این مورد، این معمولاً مسیر درستی نیست.
اگر چندین کاربر روی یک رایانه ناگهان دیگر نتوانند از طریق دامنه وارد شوند، در حالی که برای مثال ورود با اطلاعات ذخیره‌شده در حالت آفلاین همچنان کار می‌کند، ابتدا باید رابطه اعتماد رایانه بررسی شود.
یک نشانه معمول این است که:
Test-ComputerSecureChannel
مقدار زیر را برمی‌گرداند:
False
تلاش احتمالی برای رفع مشکل
به عنوان اولین تلاش برای رفع مشکل، می‌توان Secure Channel را دوباره برقرار کرد:
Test-ComputerSecureChannel -Repair
در صورت لزوم همراه با اطلاعات ورود یک حساب دامنه با مجوزهای کافی.
به‌عنوان راه‌حل جایگزین می‌توان رمز عبور حساب رایانه را با PowerShell بازنشانی کرد.
با این حال، در این کار باید احتیاط کرد:
در مواردی که تاکنون گزارش شده‌اند، این تعمیر همیشه به‌طور دائمی موفقیت‌آمیز نبوده است.
برای مثال، در مورد اصلی مطرح‌شده در Microsoft Q&A، دستور Test-ComputerSecureChannel -Repair کافی نبود. در آنجا در نهایت لازم شد رایانه از دامنه خارج و سپس دوباره به دامنه اضافه شود.
در مقابل، مدیران سیستم دیگری گزارش می‌دهند که دستور Repair دست‌کم به‌طور موقت کمک کرده است. بنابراین به نظر می‌رسد علائم خطا در همهٔ سیستم‌های آسیب‌دیده یکسان نباشد.
اگر تعمیر کافی نباشد
اگر Secure Channel همچنان معیوب باقی بماند، ممکن است به‌عنوان اقدامی پرزحمت‌تر، پیوستن مجدد به دامنه (Domain Join) لازم باشد.
به‌طور خلاصه:
فعال کردن امکان ورود محلی با یک حساب کاربری مدیر (Administrator)
حذف رایانه از دامنه
راه‌اندازی مجدد رایانه
افزودن دوباره رایانه به دامنه
راه‌اندازی مجدد دیگر رایانه
آزمایش ورود به دامنه
در مورد بازتولیدشده و مستندشده، دقیقاً همین روند برای رفع دائمی خطا لازم بود.
آیا در حال حاضر باید نصب KB5124008 را به تعویق انداخت؟
در اینجا باید میان موارد مختلف تمایز قائل شد.
KB5124008 یک به‌روزرسانی امنیتی است و نباید به‌طور کلی و بدون بررسی در همه محیط‌ها حذف شود.
در عین حال، مدیران سیستم در محیط‌های Active Directory کلاسیک باید در حال حاضر نصب این به‌روزرسانی را با دقت ویژه‌ای زیر نظر داشته باشند.
مایکروسافت با KB5124008 بهبودهای امنیتی مهمی را منتشر می‌کند. این به‌روزرسانی همچنین از طریق Windows Update، Windows Update for Business و WSUS توزیع می‌شود.
بنابراین برای محیط‌های عملیاتی، استقرار کنترل‌شده توصیه می‌شود:
گروه آزمایشی → مشاهده و بررسی → گروه بزرگ‌تر → استقرار کامل
و نه لزوماً:
به‌روزرسانی همه کلاینت‌ها به‌طور همزمان.
به‌ویژه در دستگاه‌هایی که برای ورود روزانه کاربران به سیستم لازم هستند، باید علاوه بر این یک حساب کاربری Administrator محلی یا یک راهکار بازیابی کارآمد نیز در دسترس باشد.
توصیه فعلی ما
برای سازمان‌هایی که از Active Directory کلاسیک استفاده می‌کنند، در حال حاضر موارد زیر را توصیه می‌کنیم:
۱. بررسی نسخه‌های تحت تأثیر Windows 11
روی یک کلاینت:
winver
یا:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
۲. بررسی کنید که آیا KB5124008 نصب شده است
Get-HotFix -Id KB5124008
۳. در صورت بروز مشکل در ورود به سیستم، Secure Channel را بررسی کنید
Test-ComputerSecureChannel
۴. در صورت دریافت نتیجهٔ False، ابتدا تعمیر را امتحان کنید
Test-ComputerSecureChannel -Repair
۵. در صورت تکرار مشکل، علت را مستند کنید
به‌ویژه اطلاعات زیر باید ثبت شوند:
نسخهٔ ویندوز
نسخهٔ بیلد سیستم‌عامل
به‌روزرسانی‌های KB نصب‌شده
نسخهٔ Domain Controller
زمان بروز مشکل
نتیجه‌ی Test-ComputerSecureChannel
نتیجهٔ nltest /sc_query
رویدادها (Events) روی کلاینت و Domain Controller
به این ترتیب می‌توان بسیار بهتر تشخیص داد که آیا واقعاً ارتباطی با این به‌روزرسانی وجود دارد یا خیر.
هنوز علت قطعی تأیید نشده است
در اینجا ذکر یک محدودیت مهم ضروری است:
ارتباط میان KB5124008 و آسیب‌دیدن Secure Channel دامنه در حال حاضر به‌صورت قابل تکرار از سوی مدیران سیستم گزارش می‌شود، اما طبق وضعیت فعلی، به‌عنوان یک مشکل شناخته‌شده (Known Issue) در مستندات رسمی KB مایکروسافت ذکر نشده است.
گزارش اصلی Microsoft Q&A وضعیتی قابل بازتولید را با Windows 11 25H2 و دامین کنترلرهای Windows Server 2019 توصیف می‌کند. مدیران دیگر نیز مشکلات مشابهی را گزارش می‌دهند، از جمله با Windows Server 2022.
به همین دلیل نیز نباید با عجله ادعا کرد که KB5124008 قطعاً علت هر خطای «Trust Relationship» فعلی است.
علت‌های دیگری مانند مشکلات DNS، اختلاف زمان، مشکلات حساب رایانه یا اجزای شبکه/VPN همچنان باید رد شوند.
جمع‌بندی
KB5124008 در حال حاضر باید در محیط‌های Active Directory با دقت ویژه‌ای زیر نظر گرفته شود.
اگر پس از به‌روزرسانی سپتامبر، ناگهان چند کاربر یک رایانه ویندوز 11 دیگر نتوانند به دامنه وارد شوند، در حالی که اطلاعات ورود آن‌ها صحیح است، بررسی رابطه اعتماد (Trust Relationship) رایانه ارزشمند است.
مهم‌ترین آزمایش اولیه این است:
Test-ComputerSecureChannel
اگر این دستور مقدار False برگرداند، به احتمال زیاد مشکلی در Secure Channel رایانه با دامنه وجود دارد.
از آنجا که گزارش‌های موجود نشان می‌دهند یک تعمیر ساده در همهٔ سیستم‌ها به‌طور دائمی کارساز نیست، بهتر است دستگاه‌های آسیب‌دیده را به‌دقت مستند کرد و در تغییر حساب‌های کاربری یا گذرواژه‌ها شتاب‌زده عمل نکرد.
آخرین به‌روزرسانی این مطلب: ۱۴ سپتامبر ۲۰۲۶.
ما روند تحولات مربوط به KB5124008 را دنبال می‌کنیم و به محض اینکه مایکروسافت بیانیهٔ رسمی یا اصلاحیهٔ مربوطه را منتشر کند، این مطلب را به‌روزرسانی خواهیم کرد.