14. rujna 2026. | Microsoft Windows | Active Directory | IT sigurnost

Nakon objave sigurnosnog ažuriranja KB5124008 za Windows 11 iz rujna 2026. sve je više prijava neobičnog problema u klasičnim okruženjima Active Directory.

Problem osobito pogađa klijentska računala sa sustavom Windows 11 koja su članovi lokalne domene Active Directory. Nakon instalacije ažuriranja može doći do oštećenja sigurnog kanala između računala i kontrolera domene.

Posljedica: računalo je i dalje fizički dostupno na mreži, ali prijava u domenu odjednom više ne funkcionira.

Što je KB5124008?

Microsoft je 8. rujna 2026. objavio KB5124008 kao sigurnosno ažuriranje za Windows 11 24H2 i 25H2.

Na sustavu Windows 11 25H2 ažuriranje podiže sustav na Build 26200.9445, a na sustavu Windows 11 24H2 na Build 26100.9445. Microsoft ažuriranje načelno opisuje kao sigurnosno ažuriranje i ažuriranje kvalitete.

Microsoft je već dokumentirao nekoliko poznatih problema povezanih s ažuriranjem KB5124008, uključujući probleme s uslugama Remote Desktop Services, USB audiouređajima i virtualnim računalima sa sustavom Linux koja se pokreću na platformi Hyper-V. Međutim, problem sa sigurnim kanalom u okruženju Active Directory zasad još nije naveden kao poznati problem u službenoj dokumentaciji za to ažuriranje.

U čemu je zapravo problem: sigurni kanal prema domeni

Domensko računalo ima vlastiti račun računala u servisu Active Directory.

Između računala i kontrolera domene postoji takozvani Secure Channel. On je, među ostalim, potreban za odnos povjerenja između računala i domene.

Ako se taj kanal ošteti, korisnik se u određenim okolnostima iznenada više ne može prijaviti u domenu.

Posebno je nezgodno sljedeće:

Korisničko ime i lozinka i dalje su ispravni.

Windows primjerice javlja:

„Korisničko ime ili lozinka nisu ispravni.“

No problem zapravo nije u korisničkoj lozinci, nego u odnosu povjerenja između računala i domene.

Tipični simptomi problema

U jednom slučaju koji je administrator javno opisao i koji se može reproducirati zabilježeno je sljedeće ponašanje:

• Windows 11 25H2

• Build 26200.9445

• Ažuriranje KB5124008

• klasična domena Active Directoryja

• domenski kontroler sa sustavom Windows Server 2019

Nakon instalacije ažuriranja prijava je isprva još funkcionirala. No nakon nekog vremena došlo je do narušavanja odnosa povjerenja.

Administrator je uspio reproducirati pogrešku na više uređaja: instalacija ažuriranja → problem se pojavljuje → uklanjanje ažuriranja → problem nestaje. Nakon ponovne instalacije ažuriranja KB5124008 pogreška se ponovno pojavila.

Zanimljivo je i da je još jedan administrator prijavio probleme s domenskim kontrolerima sa sustavom Windows Server 2022. U drugim izvješćima korisnika problem se opisuje čak i na različitim verzijama domenskih kontrolera. Stoga bi zasad bilo preuranjeno zaključiti da je pogreška ograničena isključivo na Windows Server 2019.

Kako provjeriti postoji li pogreška

Ako se pogođeno računalo još može pokrenuti s lokalnim administratorskim računom ili putem predmemoriranih vjerodajnica domene, veza Secure Channel može se provjeriti pomoću PowerShella.

Kao administrator:

Test-ComputerSecureChannel

Kod ispravnog Secure Channela trebala bi se vratiti vrijednost:

True

Kod pogođenog računala, naprotiv, može se pojaviti:

False

kao rezultat.

Dodatno se može provjeriti pomoću alata nltest:

nltest /sc_query:DOMAIN

Pritom se može pojaviti, primjerice, pogreška

ERROR_NO_TRUST_LSA_SECRET (1786)

pojaviti.

Upravo je ovakva slika pogreške dokumentirana u slučaju na Microsoft Q&A.

Važno: nemojte odmah resetirati korisničku lozinku

Ovakva slika pogreške navodi na to da se najprije resetira lozinka pogođenog korisnika.

U ovom slučaju to, međutim, obično nije pravi smjer.

Ako se više korisnika na istom računalu iznenada više ne može prijaviti putem domene, dok primjerice predmemorirana prijava izvan mreže i dalje funkcionira, najprije bi trebalo provjeriti odnos povjerenja računala.

Tipičan pokazatelj je:

Test-ComputerSecureChannel

vraća:

False

Mogući pokušaj popravka

Kao prvi pokušaj popravka može se ponovno uspostaviti Secure Channel:

Test-ComputerSecureChannel -Repair

po potrebi uz vjerodajnice domenskog računa s odgovarajućim ovlastima.

Druga je mogućnost ponovno postaviti lozinku računa računala pomoću alata PowerShell.

Pritom je ipak potreban oprez:

U dosad prijavljenim slučajevima popravak nije uvijek donio trajno rješenje.

Primjerice, u izvornom slučaju opisanom na platformi Microsoft Q&A naredba Test-ComputerSecureChannel -Repair nije bila dovoljna. Računalo je na kraju trebalo ukloniti iz domene, a zatim ga ponovno pridružiti domeni.

Drugi administratori, međutim, navode da je naredba za popravak pomogla barem privremeno. Stoga se čini da se problem ne očituje jednako na svim pogođenim sustavima.

Ako popravak nije dovoljan

Ako sigurni kanal i dalje ne funkcionira, možda će biti potrebno ponovno pridružiti računalo domeni, što je zahtjevniji postupak.

Pojednostavljeno:

1. Omogućite lokalnu prijavu administratorskim računom

2. Ukloniti računalo iz domene

3. Ponovno pokrenuti računalo

4. Ponovno pridružiti računalo domeni

5. Još jednom ponovno pokrenite računalo

6. Provjerite prijavu u domenu

U dokumentiranom slučaju reprodukcije problema upravo je taj postupak bio potreban za trajno otklanjanje pogreške.

Treba li zasad odgoditi instalaciju ažuriranja KB5124008?

Ovdje valja razlikovati.

KB5124008 je sigurnosno ažuriranje i ne bi ga trebalo bez razmatranja okolnosti deinstalirati u svim okruženjima.

Istodobno bi administratori u klasičnim okruženjima Active Directory trenutačno trebali posebno pomno pratiti instalaciju.

Microsoft ažuriranjem KB5124008 donosi važna sigurnosna poboljšanja. Ažuriranje se distribuira i putem servisa Windows Update, Windows Update for Business i WSUS.

Za produkcijska okruženja stoga se preporučuje kontrolirano uvođenje:

Testna skupina → praćenje → veća skupina → potpuno uvođenje

a ne nužno:

Istodobno ažuriranje svih klijentskih računala.

Posebno na uređajima potrebnima za svakodnevnu prijavu korisnika trebalo bi osigurati i lokalni administratorski račun odnosno funkcionalnu mogućnost oporavka.

Što trenutačno preporučujemo

Tvrtkama s klasičnim okruženjem Active Directory trenutačno preporučujemo sljedeće:

1. Provjerite zahvaćene verzije sustava Windows 11

Na klijentskom računalu:

winver

ili:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Provjerite je li instalirano ažuriranje KB5124008

Get-HotFix -Id KB5124008

3. U slučaju problema s prijavom provjerite Secure Channel

Test-ComputerSecureChannel

4. Ako je rezultat False, najprije pokušajte s popravkom

Test-ComputerSecureChannel -Repair

5. Ako se problemi ponavljaju, dokumentirajte uzrok

Posebno bi trebalo zabilježiti sljedeće informacije:

• Verzija sustava Windows

• Broj međuverzije operacijskog sustava

• Instalirana ažuriranja KB

• Verzija kontrolera domene

• Vrijeme pojave problema

• Rezultat naredbe Test-ComputerSecureChannel

• Rezultat naredbe nltest /sc_query

• Događaji na klijentu i kontroleru domene

Time se znatno lakše može utvrditi postoji li doista povezanost s ažuriranjem.

Točan uzrok još nije potvrđen

Na ovom je mjestu potrebna važna ograda:

Povezanost između ažuriranja KB5124008 i oštećenih sigurnih kanala prema domeni (Domain Secure Channel) administratori trenutačno prijavljuju kao reproducibilnu, no prema sadašnjim saznanjima nije navedena kao odgovarajući poznati problem (Known Issue) u službenoj Microsoftovoj KB dokumentaciji.

Izvorno izvješće na Microsoft Q&A opisuje reproducibilnu situaciju sa sustavom Windows 11 25H2 i kontrolerima domene na Windows Serveru 2019. Drugi administratori prijavljuju slične probleme, među ostalim, i s Windows Serverom 2022.

I zbog toga ne bi trebalo prebrzo tvrditi da je KB5124008 definitivno uzrok svake trenutačne pogreške „Trust Relationship“.

Druge uzroke, poput problema s DNS-om, odstupanja vremena, problema s računalnim računom ili mrežnih/VPN komponenti, i dalje treba isključiti.

Zaključak

KB5124008 trenutačno treba posebno pozorno pratiti u okruženjima s Active Directoryjem.

Ako se nakon rujanskog ažuriranja više korisnika istog računala s Windowsom 11 odjednom više ne može prijaviti na domenu iako su vjerodajnice ispravne, vrijedi provjeriti odnos povjerenja računala s domenom.

Najvažniji prvi test glasi:

Test-ComputerSecureChannel

Ako naredba vrati False, vrlo je vjerojatno riječ o problemu sa sigurnim kanalom (Secure Channel) između računala i domene.

Budući da dosadašnji izvještaji pokazuju da jednostavan popravak ne pomaže trajno na svim sustavima, pogođene uređaje trebalo bi precizno dokumentirati i ne mijenjati prenagljeno korisničke račune ili lozinke.

Stanje ovog članka: 14. rujna 2026.

Pratimo razvoj situacije oko KB5124008 i ažurirat ćemo ovaj članak čim Microsoft objavi službeno priopćenje ili odgovarajući ispravak.