14. syyskuuta 2026 | Microsoft Windows | Active Directory | Tietoturva
Windows 11:n syyskuun 2026 tietoturvapäivityksen KB5124008 myötä on alkanut kertyä raportteja epätavallisesta ongelmasta perinteisissä Active Directory -ympäristöissä.
Ongelma koskee erityisesti Windows 11 -työasemia, jotka ovat paikallisen Active Directory -toimialueen jäseniä. Päivityksen asentamisen jälkeen tietokoneen ja toimialueen ohjauskoneen välinen suojattu kanava (Secure Channel) voi vaurioitua.
Seurauksena on, että tietokone on edelleen fyysisesti tavoitettavissa verkossa, mutta toimialueelle kirjautuminen lakkaa yhtäkkiä toimimasta.
Mikä KB5124008 on?
Microsoft julkaisi KB5124008:n 8. syyskuuta 2026 tietoturvapäivityksenä Windows 11:n versioille 24H2 ja 25H2.
Windows 11 25H2:ssa päivitys nostaa järjestelmän koontiversioon 26200.9445 ja Windows 11 24H2:ssa koontiversioon 26100.9445. Microsoft kuvaa päivitystä lähtökohtaisesti tietoturva- ja laatupäivitykseksi.
Microsoft on jo dokumentoinut useita KB5124008:aan liittyviä tunnettuja ongelmia, muun muassa Remote Desktop Services -palveluihin, USB-äänilaitteisiin ja Hyper-V-pohjaisiin Linux-virtuaalikoneisiin liittyviä ongelmia. Active Directoryn suojattuun kanavaan liittyvää ongelmaa ei kuitenkaan ole toistaiseksi mainittu virallisessa KB-dokumentaatiossa tunnettuna ongelmana (Known Issue).
Varsinainen ongelma: suojattu kanava toimialueeseen
Toimialueeseen liitetyllä tietokoneella on Active Directoryssa oma tietokonetili.
Tietokoneen ja toimialueen ohjauskoneen välillä on niin sanottu suojattu kanava (Secure Channel). Sitä tarvitaan muun muassa tietokoneen ja toimialueen välisen luottamussuhteen ylläpitämiseen.
Jos tämä kanava vaurioituu, käyttäjä ei välttämättä yhtäkkiä enää pysty kirjautumaan toimialueelle.
Erityisen salakavalaa on tämä:
Käyttäjätunnus ja salasana ovat edelleen oikein.
Windows ilmoittaa esimerkiksi:
”Käyttäjänimi tai salasana on virheellinen.”
Todellisuudessa ongelma ei kuitenkaan johdu käyttäjän salasanasta vaan tietokoneen ja toimialueen välisestä luottamussuhteesta.
Tyypilliset oireet
Eräässä järjestelmänvalvojan raportoimassa tapauksessa, jossa virhe oli toistettavissa, havaittiin seuraavaa:
Windows 11 25H2
Koontiversio 26200.9445
Päivitys KB5124008
perinteinen Active Directory -toimialue
Windows Server 2019 -käyttöjärjestelmää käyttävä toimialueen ohjauskone
Päivityksen asentamisen jälkeen kirjautuminen toimi aluksi normaalisti. Jonkin ajan kuluttua luottamussuhde kuitenkin rikkoutui.
Ylläpitäjä pystyi toistamaan virheen useilla laitteilla: päivitys asennetaan → ongelma ilmenee → päivitys poistetaan → ongelma katoaa. Kun KB5124008 asennettiin uudelleen, virhe ilmeni jälleen.
Kiinnostavaa on myös se, että toinenkin ylläpitäjä on raportoinut ongelmista Windows Server 2022 -toimialueen ohjauskoneiden kanssa. Muissa käyttäjäkokemuksissa ongelmaa on kuvattu jopa eri versioita käyttävillä toimialueen ohjauskoneilla. Näiden tietojen perusteella ei siis kannata vielä tehdä hätiköityä johtopäätöstä, että virhe koskisi ainoastaan Windows Server 2019:ää.
Näin virheen voi tarkistaa
Jos ongelmasta kärsivä tietokone voidaan vielä käynnistää paikallisella järjestelmänvalvojatilillä tai välimuistiin tallennetuilla toimialueen kirjautumistiedoilla, Secure Channel -yhteyden voi tarkistaa PowerShellillä.
Järjestelmänvalvojana:
Test-ComputerSecureChannel
Jos suojattu kanava toimii oikein, komennon pitäisi palauttaa:
True
Ongelmasta kärsivällä koneella sen sijaan voi näkyä:
False
.
Lisäksi tilanteen voi tarkistaa nltest-työkalulla:
nltest /sc_query:DOMAIN
Tällöin voi ilmetä esimerkiksi virhe
ERROR_NO_TRUST_LSA_SECRET (1786)
esiintyä.
Juuri nämä oireet dokumentoitiin Microsoft Q&A -palvelussa käsitellyssä tapauksessa.
Tärkeää: Älä nollaa käyttäjän salasanaa heti
Oireiden perusteella voi tuntua luontevalta nollata ensin kyseisen käyttäjän salasana.
Tässä tapauksessa se ei kuitenkaan yleensä ole oikea ratkaisu.
Jos useat käyttäjät eivät yhtäkkiä enää pysty kirjautumaan samalle tietokoneelle toimialuetunnuksilla, mutta esimerkiksi kirjautuminen välimuistiin tallennetuilla tunnuksilla onnistuu yhä ilman verkkoyhteyttä, on ensin tarkistettava tietokoneen ja toimialueen välinen luottamussuhde.
Tyypillinen merkki on:
Test-ComputerSecureChannel
palauttaa:
False
Mahdollinen korjausyritys
Ensimmäisenä korjauskeinona voi kokeilla suojatun kanavan muodostamista uudelleen:
Test-ComputerSecureChannel -Repair
tarvittaessa käyttämällä sellaisen toimialuetilin tunnuksia, jolla on tarvittavat käyttöoikeudet.
Vaihtoehtoisesti tietokonetilin salasanan voi palauttaa PowerShellin avulla.
Tässä on kuitenkin syytä olla varovainen:
Tähän mennessä ilmoitetuissa tapauksissa korjaus ei ole aina ratkaissut ongelmaa pysyvästi.
Esimerkiksi alkuperäisessä Microsoft Q&A:ssa kuvatussa tapauksessa Test-ComputerSecureChannel -Repair ei riittänyt. Tietokone oli lopulta poistettava toimialueesta ja liitettävä siihen uudelleen.
Muut järjestelmänvalvojat puolestaan kertovat, että Repair-komento on auttanut ainakin tilapäisesti. Ongelma ei siis näytä ilmenevän täysin samalla tavalla kaikissa järjestelmissä, joissa sitä esiintyy.
Jos korjaus ei riitä
Jos Secure Channel on edelleen rikki, voi olla tarpeen liittää tietokone uudelleen toimialueeseen, mikä on työläämpi toimenpide.
Yksinkertaistettuna:
Salli paikallinen kirjautuminen järjestelmänvalvojan tilillä
Poista tietokone toimialueesta
Käynnistä tietokone uudelleen
Liitä tietokone takaisin toimialueeseen
Käynnistä tietokone vielä kerran uudelleen
Testaa toimialueelle kirjautuminen
Dokumentoidussa tapauksessa, jossa virhe toistettiin, juuri nämä toimenpiteet olivat tarpeen virheen poistamiseksi pysyvästi.
Pitäisikö KB5124008-päivityksen asentamista toistaiseksi lykätä?
Asiaa on syytä arvioida tapauskohtaisesti.
KB5124008 on tietoturvapäivitys, eikä sitä pidä noin vain poistaa kaikista ympäristöistä.
Samalla perinteisiä Active Directory -ympäristöjä hallinnoivien ylläpitäjien kannattaa tällä hetkellä seurata päivityksen asennusta erityisen tarkasti.
Microsoft tuo KB5124008-päivityksellä tärkeitä tietoturvaparannuksia. Päivitystä jaetaan myös Windows Updaten, Windows Update for Businessin ja WSUS:n kautta.
Tuotantoympäristöissä suositellaan siksi hallittua käyttöönottoa:
Testiryhmä → seuranta → laajempi ryhmä → täysi käyttöönotto
eikä välttämättä:
Kaikki työasemat päivitetään samanaikaisesti.
Erityisesti laitteissa, joita käyttäjät tarvitsevat päivittäiseen kirjautumiseen, tulisi lisäksi olla paikallinen järjestelmänvalvojatili tai toimiva palautusmahdollisuus.
Tämänhetkiset suosituksemme
Perinteistä Active Directorya käyttäville yrityksille suosittelemme tällä hetkellä seuraavaa:
1. Tarkista Windows 11 -versiot, joita ongelma koskee
Asiakaskoneella:
winver
tai:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Tarkista, onko KB5124008 asennettu
Get-HotFix -Id KB5124008
3. Tarkista kirjautumisongelmissa Secure Channel -yhteys
Test-ComputerSecureChannel
4. Jos tulos on False, yritä ensin korjausta
Test-ComputerSecureChannel -Repair
5. Jos ongelmat toistuvat, dokumentoi niiden syy
Erityisesti seuraavat tiedot tulisi kirjata muistiin:
Windows-versio
Käyttöjärjestelmän koontiversio
asennetut KB-päivitykset
Toimialueen ohjauskoneen versio
Ongelman ilmenemisajankohta
Test-ComputerSecureChannel-komennon tulos
nltest /sc_query -komennon tulos
Työaseman ja toimialueen ohjauskoneen tapahtumat
Näiden tietojen avulla on huomattavasti helpompi selvittää, liittyykö ongelma todella päivitykseen.
Lopullista syytä ei ole vielä vahvistettu
Tässä kohtaa on tehtävä tärkeä varaus:
Ylläpitäjät ovat raportoineet toistettavista havainnoista, jotka viittaavat KB5124008-päivityksen ja toimialueen suojattujen kanavien vioittumisen väliseen yhteyteen, mutta tämänhetkisten tietojen mukaan ongelmaa ei ole mainittu tunnettuna ongelmana Microsoftin virallisessa KB-dokumentaatiossa.
Alkuperäisessä Microsoft Q&A -raportissa kuvataan toistettavissa oleva tilanne ympäristössä, jossa käytetään Windows 11 25H2:ta ja Windows Server 2019 -toimialueen ohjauskoneita. Muut ylläpitäjät ovat raportoineet samankaltaisista ongelmista myös muun muassa Windows Server 2022 -ympäristöissä.
Myös tästä syystä ei pidä hätiköiden väittää, että KB5124008 on varmasti syynä jokaiseen tämänhetkiseen ”Trust Relationship” -virheeseen.
Muut mahdolliset syyt, kuten DNS-ongelmat, kellonaikojen erot sekä tietokonetiliin tai verkko- ja VPN-komponentteihin liittyvät ongelmat, on edelleen suljettava pois.
Yhteenveto
KB5124008-päivityksen vaikutuksia on tällä hetkellä syytä seurata erityisen tarkasti Active Directory -ympäristöissä.
Jos useat Windows 11 -tietokoneen käyttäjät eivät syyskuun päivityksen jälkeen yhtäkkiä enää pysty kirjautumaan toimialueelle oikeista kirjautumistiedoista huolimatta, kannattaa tarkistaa tietokoneen ja toimialueen välinen luottamussuhde.
Tärkein ensimmäinen testi on:
Test-ComputerSecureChannel
Jos komento palauttaa arvon False, tietokoneen ja toimialueen välisessä suojatussa kanavassa on hyvin todennäköisesti ongelma.
Koska tähänastiset raportit osoittavat, ettei yksinkertainen korjaus auta kaikissa järjestelmissä pysyvästi, ongelmalliset laitteet kannattaa dokumentoida tarkasti eikä käyttäjätilejä tai salasanoja pidä muuttaa hätiköiden.
Artikkelin tiedot ovat ajan tasalla 14. syyskuuta 2026.
Seuraamme KB5124008-päivitykseen liittyvää kehitystä ja päivitämme tätä artikkelia heti, kun Microsoft julkaisee virallisen kannanoton tai asiaa koskevan korjauksen.