14 de setembro de 2026 | Microsoft Windows | Active Directory | Seguridade informática
Coa actualización de seguridade de setembro de 2026 KB5124008 para Windows 11 estanse a multiplicar os informes sobre un problema pouco habitual en contornos clásicos de Active Directory.
Vense afectados sobre todo os clientes con Windows 11 que son membros dun dominio local de Active Directory. Tras a instalación da actualización, o Secure Channel entre o equipo e o Domain Controller pode quedar danado.
A consecuencia: o equipo segue sendo accesible fisicamente na rede, pero o inicio de sesión no dominio deixa de funcionar de súpeto.
Que é KB5124008?
Microsoft publicou KB5124008 o 8 de setembro de 2026 como actualización de seguridade para Windows 11 24H2 e 25H2.
En Windows 11 25H2 a actualización leva á compilación 26200.9445, e en Windows 11 24H2 á compilación 26100.9445. Microsoft describe a actualización, en principio, como unha actualización de seguridade e calidade.
Microsoft xa documenta actualmente varios problemas coñecidos relacionados con KB5124008, entre eles problemas con Remote Desktop Services, dispositivos de audio USB e máquinas virtuais Linux baseadas en Hyper-V. Porén, un problema co Secure Channel de Active Directory aínda non figura como Known Issue na documentación oficial da KB.
O verdadeiro problema: o Secure Channel co dominio
Un equipo unido a un dominio ten a súa propia conta de equipo en Active Directory.
Entre o computador e un controlador de dominio existe o que se coñece como Secure Channel (canle segura). Esta canle é necesaria, entre outras cousas, para a relación de confianza entre o computador e o dominio.
Se esta canle resulta danada, pode ocorrer que un usuario, de súpeto, xa non poida iniciar sesión no dominio.
O máis enganoso de todo:
O nome de usuario e o contrasinal seguen sendo correctos.
Windows mostra, por exemplo, esta mensaxe:
«O nome de usuario ou o contrasinal son incorrectos.»
En realidade, o problema non está no contrasinal do usuario, senón na relación de confianza do computador co dominio.
Síntomas típicos do erro
Nun caso publicado por un administrador, e que se puido reproducir, observouse o seguinte comportamento:
Windows 11 25H2
Compilación 26200.9445
Actualización KB5124008
dominio clásico de Active Directory
Controlador de dominio con Windows Server 2019
Tras instalar a actualización, o inicio de sesión aínda funcionaba ao principio. Porén, pasado un tempo, a relación de confianza quedou danada.
O administrador puido reproducir o erro en varios equipos: instalar a actualización → aparece o problema → desinstalar a actualización → desaparece o problema. Despois de volver instalar KB5124008, o erro apareceu de novo.
Resulta interesante, ademais, que outro administrador tamén informa de problemas con controladores de dominio con Windows Server 2022. Noutros relatos de experiencias descríbese o problema mesmo con distintas versións de controladores de dominio. Isto fai que, polo de agora, non conveña dar por feito á lixeira que se trate dun erro limitado exclusivamente a Windows Server 2019.
Como comprobar o erro
Se un equipo afectado aínda se pode iniciar cunha conta de administrador local ou mediante credenciais de dominio almacenadas na caché, pódese comprobar a conexión do Secure Channel con PowerShell.
Como administrador:
Test-ComputerSecureChannel
Cun Secure Channel que funcione correctamente debería devolverse:
True
Nun equipo afectado, pola contra, pode aparecer:
False
aparecer.
Ademais, pódese comprobar con nltest:
nltest /sc_query:DOMAIN
Nese caso pode producirse, por exemplo, o erro
ERROR_NO_TRUST_LSA_SECRET (1786)
aparecer.
Exactamente este cadro de erro foi o que se documentou no caso de Microsoft Q&A.
Importante: non restablecer de inmediato o contrasinal do usuario
O cadro de erro induce a restablecer primeiro o contrasinal do usuario afectado.
Porén, neste caso iso normalmente non é o camiño correcto.
Se varios usuarios do mesmo PC de súpeto xa non poden iniciar sesión a través do dominio, mentres que, por exemplo, un inicio de sesión almacenado na caché segue funcionando sen conexión, débese comprobar primeiro a relación de confianza do equipo.
Un indicio típico é que:
Test-ComputerSecureChannel
devolve:
False
Posible intento de reparación
Como primeiro intento de reparación, pódese restablecer o Secure Channel:
Test-ComputerSecureChannel -Repair
se é necesario, xunto coas credenciais dunha conta de dominio cos permisos axeitados.
Como alternativa, pódese restablecer o contrasinal da conta de equipo con PowerShell.
Con todo, aquí cómpre ter coidado:
Nos casos comunicados ata o momento, a reparación non sempre ten éxito de forma permanente.
No caso orixinal de Microsoft Q&A, por exemplo, Test-ComputerSecureChannel -Repair non foi suficiente. Alí houbo que retirar finalmente o equipo do dominio e volver incorporalo despois.
Outros administradores informan, pola contra, de que o comando de reparación axudou polo menos temporalmente. Polo tanto, o problema non parece ser idéntico en todos os sistemas afectados.
Se a reparación non abonda
Se o Secure Channel segue defectuoso, pode ser necesario, como medida máis laboriosa, volver unir o equipo ao dominio (Domain Join).
De forma simplificada:
Habilitar o inicio de sesión local cunha conta de administrador
Retirar o equipo do dominio
Reiniciar o equipo
Volver unir o equipo ao dominio
Reiniciar de novo
Probar o inicio de sesión no dominio
No caso de reprodución documentado foi necesario exactamente este procedemento para eliminar o erro de forma permanente.
Debería reterse KB5124008 polo momento?
Aquí convén diferenciar.
KB5124008 é unha actualización de seguridade e non se debería desinstalar sen máis de forma xeneralizada en todos os contornos.
Ao mesmo tempo, os administradores con contornas clásicas de Active Directory deberían observar actualmente a instalación con especial atención.
Microsoft publica con KB5124008 importantes melloras de seguridade. A actualización distribúese ademais a través de Windows Update, Windows Update for Business e WSUS.
Para contornas de produción recoméndase, polo tanto, un despregamento controlado:
Grupo de proba → observar → grupo máis grande → despregamento completo
e non necesariamente:
Actualizar todos os clientes ao mesmo tempo.
Especialmente nos dispositivos necesarios para o inicio de sesión diario dos usuarios, debería existir ademais unha conta de administrador local ou unha opción de recuperación operativa.
O que recomendamos actualmente
Para empresas con Active Directory clásico recomendamos actualmente:
1. Comprobar as versións de Windows 11 afectadas
Nun cliente:
winver
ou:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Comprobar se se instalou KB5124008
Get-HotFix -Id KB5124008
3. En caso de problemas de inicio de sesión, comprobar o Secure Channel
Test-ComputerSecureChannel
4. Se o resultado é False, tentar primeiro unha reparación
Test-ComputerSecureChannel -Repair
5. En caso de problemas recorrentes, documentar a causa
En particular, deberían rexistrarse os seguintes datos:
Versión de Windows
Compilación do SO
Actualizacións KB instaladas
Versión do controlador de dominio
Momento en que se produciu
Resultado de Test-ComputerSecureChannel
Resultado de nltest /sc_query
Eventos no cliente e no controlador de dominio
Con esta información resulta moito máis doado determinar se existe realmente unha relación coa actualización.
Aínda non se confirmou unha causa definitiva
Neste punto cómpre facer unha matización importante:
A relación entre KB5124008 e os Domain Secure Channels danados está a ser reportada actualmente por administradores de forma reproducible, pero, segundo o estado actual, non figura como Known Issue correspondente na documentación oficial da KB de Microsoft.
O informe orixinal de Microsoft Q&A describe unha situación reproducible con Windows 11 25H2 e controladores de dominio Windows Server 2019. Outros administradores informan de problemas semellantes, entre outros, con Windows Server 2022.
Tamén por iso non se debería afirmar precipitadamente que KB5124008 é definitivamente a causa de todos os erros actuais de «Trust Relationship».
Seguen tendo que descartarse outras causas, como problemas de DNS, desfases de hora, problemas coa conta do equipo ou compoñentes de rede/VPN.
Conclusión
Actualmente, KB5124008 debería vixiarse con especial atención en contornas de Active Directory.
Se, tras a actualización de setembro, varios usuarios dun PC con Windows 11 deixan de poder iniciar sesión no dominio de súpeto, a pesar de que as credenciais son correctas, paga a pena botar unha ollada á relación de confianza do equipo.
A primeira proba máis importante é:
Test-ComputerSecureChannel
Se o comando devolve False, moi probablemente existe un problema co Secure Channel do equipo co dominio.
Dado que os informes recibidos ata o momento amosan que unha simple reparación non resolve o problema de forma permanente en todos os sistemas, convén documentar con detalle os equipos afectados e non modificar precipitadamente contas de usuario nin contrasinais.
Estado deste artigo: 14 de setembro de 2026.
Seguimos de preto a evolución arredor de KB5124008 e actualizaremos este artigo en canto Microsoft publique unha declaración oficial ou unha corrección correspondente.