2026. szeptember 14. | Microsoft Windows | Active Directory | IT-biztonság
A Windows 11-hez kiadott 2026. szeptemberi KB5124008 biztonsági frissítéssel kapcsolatban jelenleg egyre több bejelentés érkezik egy szokatlan problémáról, amely a klasszikus Active Directory-környezetekben jelentkezik.
A probléma különösen azokat a Windows 11-es klienseket érinti, amelyek helyi Active Directory-tartomány tagjai. A frissítés telepítése után megsérülhet a számítógép és a tartományvezérlő közötti Secure Channel.
A következmény: a gép fizikailag továbbra is elérhető a hálózaton, a tartományi bejelentkezés azonban hirtelen nem működik többé.
Mi az a KB5124008?
A Microsoft a KB5124008 frissítést 2026. szeptember 8-án adta ki biztonsági frissítésként a Windows 11 24H2 és 25H2 verzióihoz.
Windows 11 25H2 alatt a frissítés a 26200.9445-ös buildre, Windows 11 24H2 alatt pedig a 26100.9445-ös buildre emeli a rendszert. A Microsoft a frissítést alapvetően biztonsági és minőségi frissítésként írja le.
A Microsoft jelenleg már több ismert problémát dokumentál a KB5124008 frissítéssel összefüggésben, többek között a Remote Desktop Services szolgáltatással, az USB-s hangeszközökkel és a Hyper-V-alapú Linux virtuális gépekkel kapcsolatban. Az Active Directory Secure Channel problémája azonban a hivatalos KB-dokumentációban jelenleg még nem szerepel ismert hibaként (Known Issue).
A tényleges probléma: a tartományhoz vezető Secure Channel
Egy tartományi számítógép saját számítógépfiókkal rendelkezik az Active Directoryban.
A számítógép és egy tartományvezérlő között úgynevezett Secure Channel (biztonságos csatorna) áll fenn. Erre többek között a számítógép és a tartomány közötti megbízhatósági kapcsolathoz van szükség.
Ha ez a csatorna megsérül, előfordulhat, hogy a felhasználó hirtelen nem tud többé bejelentkezni a tartományba.
Ami különösen alattomos:
A felhasználónév és a jelszó továbbra is helyes.
A Windows például a következő üzenetet jeleníti meg:
„A felhasználónév vagy a jelszó helytelen.”
Valójában azonban a probléma nem a felhasználói jelszóval van, hanem a számítógép és a tartomány közötti megbízhatósági kapcsolattal.
Tipikus hibakép
Egy rendszergazda által közzétett és reprodukálható esetben a következő viselkedés jelentkezett:
Windows 11 25H2
Build: 26200.9445
KB5124008 frissítés
klasszikus Active Directory-tartomány
Windows Server 2019 alatt futó tartományvezérlő
A frissítés telepítése után a bejelentkezés eleinte még működött. Egy idő után azonban a megbízhatósági kapcsolat megsérült.
A rendszergazda több eszközön is reprodukálni tudta a hibát: frissítés telepítése → a probléma jelentkezik → frissítés eltávolítása → a probléma megszűnik. A KB5124008 ismételt telepítése után a hiba újra fellépett.
Érdekes továbbá, hogy egy másik rendszergazda is Windows Server 2022 tartományvezérlőkkel kapcsolatos problémákról számol be. További tapasztalati beszámolók a problémát akár eltérő tartományvezérlő-verziókon is leírják. Ez jelenleg ellene szól annak, hogy elhamarkodottan kizárólag a Windows Server 2019-re korlátozódó hibát feltételezzünk.
Így ellenőrizhető a hiba
Ha egy érintett gép még elindítható helyi rendszergazdai fiókkal vagy gyorsítótárazott tartományi hitelesítő adatokkal, a Secure Channel-kapcsolat PowerShell segítségével ellenőrizhető.
Rendszergazdaként:
Test-ComputerSecureChannel
Működő Secure Channel esetén a visszaadott értéknek ennek kell lennie:
True
Érintett számítógépen ezzel szemben a következő jelenhet meg:
False
érték.
Ezenkívül az nltest eszközzel is ellenőrizhető:
nltest /sc_query:DOMAIN
Ekkor például a következő hiba
ERROR_NO_TRUST_LSA_SECRET (1786)
léphet fel.
Pontosan ezt a hibajelenséget dokumentálták a Microsoft Q&A-esetben.
Fontos: ne állítsuk vissza azonnal a felhasználói jelszót
A hibajelenség arra csábít, hogy először az érintett felhasználó jelszavát állítsuk vissza.
Ebben az esetben azonban általában nem ez a helyes irány.
Ha ugyanazon a PC-n több felhasználó hirtelen nem tud többé a tartományon keresztül bejelentkezni, miközben például egy gyorsítótárazott bejelentkezés offline még működik, először a számítógép-megbízhatósági kapcsolatot kell ellenőrizni.
Tipikus jel:
Test-ComputerSecureChannel
parancs eredménye:
False
Lehetséges javítási kísérlet
Első javítási kísérletként újra létrehozhatjuk a Secure Channel kapcsolatot:
Test-ComputerSecureChannel -Repair
szükség esetén egy megfelelő jogosultsággal rendelkező tartományi fiók hitelesítő adataival együtt.
Alternatív megoldásként a számítógépfiók jelszava PowerShell segítségével is visszaállítható.
Itt azonban óvatosság szükséges:
Az eddig jelentett esetekben a javítás nem minden esetben bizonyult tartósan sikeresnek.
Az eredeti Microsoft Q&A-esetben például a Test-ComputerSecureChannel -Repair parancs nem volt elegendő. Ott a számítógépet végül el kellett távolítani a tartományból, majd újra fel kellett venni a tartományba.
Más rendszergazdák ezzel szemben arról számolnak be, hogy a Repair parancs legalább átmenetileg segített. A hibakép tehát úgy tűnik, nem minden érintett rendszeren azonos.
Ha a javítás nem elegendő
Ha a Secure Channel továbbra is hibás, munkaigényesebb intézkedésként szükség lehet a tartományhoz való ismételt csatlakoztatásra (Domain Join).
Egyszerűsítve:
Helyi bejelentkezés engedélyezése egy rendszergazdai fiókkal
A számítógép eltávolítása a tartományból
A gép újraindítása
A gép ismételt felvétele a tartományba
Ismételt újraindítás
A tartományi bejelentkezés tesztelése
A dokumentált reprodukciós esetben pontosan erre az eljárásra volt szükség a hiba tartós megszüntetéséhez.
Vissza kell-e tartani jelenleg a KB5124008 frissítést?
Itt érdemes különbséget tenni.
A KB5124008 biztonsági frissítés, ezért nem szabad egyszerűen, általánosan minden környezetből eltávolítani.
Ugyanakkor a klasszikus Active Directory-környezeteket üzemeltető rendszergazdáknak jelenleg különösen figyelmesen érdemes nyomon követniük a telepítést.
A Microsoft a KB5124008 frissítéssel fontos biztonsági fejlesztéseket ad ki. A frissítés emellett a Windows Update, a Windows Update for Business és a WSUS útján is terjesztésre kerül.
Éles környezetekben ezért ellenőrzött, szakaszos bevezetés javasolt:
Tesztcsoport → megfigyelés → nagyobb csoport → teljes körű bevezetés
és nem feltétlenül:
Az összes kliens egyidejű frissítése.
Különösen azoknál az eszközöknél, amelyekre a felhasználók napi bejelentkezéséhez szükség van, emellett rendelkezésre kell állnia egy helyi rendszergazdai fióknak, illetve egy működő helyreállítási lehetőségnek.
Amit jelenleg javaslunk
A klasszikus Active Directoryt használó vállalatoknak jelenleg a következőket javasoljuk:
1. Az érintett Windows 11-verziók ellenőrzése
Egy kliensen:
winver
vagy:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Ellenőrizzük, hogy a KB5124008 telepítve van-e
Get-HotFix -Id KB5124008
3. Bejelentkezési problémák esetén ellenőrizzük a Secure Channelt
Test-ComputerSecureChannel
4. False eredmény esetén először próbáljunk meg javítást
Test-ComputerSecureChannel -Repair
5. Visszatérő problémák esetén dokumentáljuk az okot
Különösen a következő információkat érdemes rögzíteni:
Windows-verzió
OS build
telepített KB-frissítések
a tartományvezérlő verziója
az előfordulás időpontja
a Test-ComputerSecureChannel eredménye
az nltest /sc_query eredménye
események a kliensen és a tartományvezérlőn
Ezek alapján sokkal pontosabban megállapítható, hogy valóban van-e összefüggés a frissítéssel.
Végleges ok még nem igazolt
Itt egy fontos megszorítást kell tennünk:
A KB5124008 és a sérült tartományi biztonságos csatornák (Secure Channel) közötti összefüggést rendszergazdák jelenleg reprodukálhatóan jelentik, a jelenlegi állás szerint azonban ez nem szerepel ismert hibaként (Known Issue) a hivatalos Microsoft KB-dokumentációban.
Az eredeti Microsoft Q&A-bejelentés egy reprodukálható helyzetet ír le Windows 11 25H2 és Windows Server 2019 tartományvezérlők esetén. További rendszergazdák hasonló problémákról számolnak be többek között Windows Server 2022 esetén is.
Többek között ezért sem szabad elhamarkodottan azt állítani, hogy a KB5124008 egyértelműen minden jelenlegi „Trust Relationship” hiba oka.
Az egyéb okokat, például a DNS-problémákat, az időeltéréseket, a számítógépfiókkal kapcsolatos problémákat vagy a hálózati/VPN-összetevőket továbbra is ki kell zárni.
Összegzés
A KB5124008 frissítést Active Directory-környezetekben jelenleg különösen szorosan érdemes figyelemmel kísérni.
Ha a szeptemberi frissítés után egy Windows 11-es PC több felhasználója hirtelen nem tud bejelentkezni a tartományba, pedig a hitelesítő adatok helyesek, érdemes megvizsgálni a számítógép tartományi megbízhatósági kapcsolatát.
A legfontosabb első teszt:
Test-ComputerSecureChannel
Ha a parancs False értéket ad vissza, nagy valószínűséggel probléma van a számítógép és a tartomány közötti biztonságos csatornával (Secure Channel).
Mivel az eddigi jelentések azt mutatják, hogy egy egyszerű javítás nem minden rendszeren segít tartósan, az érintett eszközöket pontosan dokumentálni kell, és nem szabad elhamarkodottan módosítani a felhasználói fiókokat vagy a jelszavakat.
A cikk állapota: 2026. szeptember 14.
Figyelemmel kísérjük a KB5124008 körüli fejleményeket, és frissítjük ezt a cikket, amint a Microsoft hivatalos állásfoglalást vagy megfelelő javítást tesz közzé.