14 settembre 2026 | Microsoft Windows | Active Directory | Sicurezza IT
Con l'aggiornamento di sicurezza di settembre 2026 KB5124008 per Windows 11 si stanno moltiplicando le segnalazioni di un problema insolito negli ambienti Active Directory classici.
Sono interessati in particolare i client Windows 11 membri di un dominio Active Directory locale. Dopo l'installazione dell'aggiornamento, il Secure Channel tra il computer e il Domain Controller può risultare danneggiato.
Il risultato: il computer resta fisicamente raggiungibile in rete, ma l'accesso al dominio improvvisamente non funziona più.
Che cos'è KB5124008?
Microsoft ha rilasciato KB5124008 l'8 settembre 2026 come aggiornamento di sicurezza per Windows 11 24H2 e 25H2.
Su Windows 11 25H2 l'aggiornamento porta alla build 26200.9445, su Windows 11 24H2 alla build 26100.9445. Microsoft descrive l'aggiornamento genericamente come aggiornamento di sicurezza e qualità.
Microsoft documenta già diversi problemi noti legati a KB5124008, tra cui problemi con Remote Desktop Services, dispositivi audio USB e VM Linux basate su Hyper-V. Un problema relativo al Secure Channel di Active Directory, tuttavia, al momento non è ancora elencato come Known Issue nella documentazione KB ufficiale.
Il vero problema: il Secure Channel verso il dominio
Un computer di dominio possiede un proprio account computer in Active Directory.
Tra il computer e un domain controller esiste un cosiddetto Secure Channel. Questo canale è necessario, tra l'altro, per la relazione di trust tra il computer e il dominio.
Se questo canale viene danneggiato, un utente potrebbe improvvisamente non riuscire più ad accedere al dominio.
L'aspetto più insidioso:
Il nome utente e la password restano corretti.
Windows segnala, ad esempio:
«Nome utente o password non corretti.»
In realtà, però, il problema non riguarda la password dell'utente, bensì la relazione di trust tra il computer e il dominio.
Sintomi tipici
In un caso riproducibile pubblicato da un amministratore si è verificato il seguente comportamento:
Windows 11 25H2
Build 26200.9445
Aggiornamento KB5124008
dominio Active Directory classico
Domain controller con Windows Server 2019
Dopo l'installazione dell'aggiornamento, l'accesso inizialmente funzionava ancora. Dopo qualche tempo, però, la relazione di trust risultava danneggiata.
L'amministratore è riuscito a riprodurre l'errore su più dispositivi: installazione dell'aggiornamento → il problema si presenta → rimozione dell'aggiornamento → il problema scompare. Dopo una nuova installazione di KB5124008 l'errore si è ripresentato.
È interessante inoltre notare che anche un altro amministratore segnala problemi con i domain controller Windows Server 2022. In altre testimonianze il problema viene descritto addirittura con versioni diverse di domain controller. Ciò attualmente sconsiglia di presumere frettolosamente che si tratti di un errore limitato esclusivamente a Windows Server 2019.
Come verificare l'errore
Se un computer interessato può ancora essere avviato con un account amministratore locale o tramite credenziali di dominio memorizzate nella cache, è possibile verificare la connessione Secure Channel con PowerShell.
Come amministratore:
Test-ComputerSecureChannel
Con un Secure Channel funzionante dovrebbe essere restituito:
True
Su un computer interessato dal problema può invece comparire:
False
come risultato.
Inoltre è possibile effettuare una verifica con nltest:
nltest /sc_query:DOMAIN
In questo caso può verificarsi, ad esempio, l'errore
ERROR_NO_TRUST_LSA_SECRET (1786)
si verifichi.
Proprio questo quadro di errore è stato documentato nel caso del Microsoft Q&A.
Importante: non reimpostare subito la password dell'utente
Il quadro di errore induce a reimpostare per prima cosa la password dell'utente interessato.
In questo caso, però, di norma non è la direzione giusta.
Se più utenti sullo stesso PC improvvisamente non riescono più ad accedere tramite il dominio, mentre ad esempio un accesso memorizzato nella cache funziona ancora offline, è opportuno verificare per prima cosa la relazione di trust del computer.
Un indizio tipico è:
Test-ComputerSecureChannel
restituisce:
False
Possibile tentativo di riparazione
Come primo tentativo di riparazione è possibile ristabilire il Secure Channel:
Test-ComputerSecureChannel -Repair
eventualmente insieme alle credenziali di un account di dominio con le autorizzazioni necessarie.
In alternativa, la password dell'account computer può essere reimpostata con PowerShell.
È però necessaria una certa cautela:
Nei casi segnalati finora la riparazione non ha sempre avuto un esito duraturo.
Nel caso originale documentato su Microsoft Q&A, ad esempio, Test-ComputerSecureChannel -Repair non è stato sufficiente. Lì, alla fine, è stato necessario rimuovere il computer dal dominio e poi aggiungerlo nuovamente.
Altri amministratori riferiscono invece che il comando di riparazione ha aiutato, almeno temporaneamente. Il quadro del problema sembra quindi non essere identico su tutti i sistemi interessati.
Se la riparazione non basta
Se il Secure Channel continua a essere danneggiato, come misura più onerosa può rendersi necessario un nuovo join al dominio.
In sintesi:
Abilitare l'accesso locale con un account amministratore
Rimuovere il computer dal dominio
Riavviare il computer
Aggiungere nuovamente il computer al dominio
Riavviare di nuovo
Testare l'accesso al dominio
Nel caso di riproduzione documentato è stata necessaria proprio questa procedura per eliminare definitivamente l'errore.
Conviene al momento rinviare l'installazione di KB5124008?
Qui occorre fare una distinzione.
KB5124008 è un aggiornamento di sicurezza e non dovrebbe essere semplicemente disinstallato in modo indiscriminato in tutti gli ambienti.
Allo stesso tempo, gli amministratori di ambienti Active Directory classici dovrebbero attualmente seguire l'installazione con particolare attenzione.
Con KB5124008 Microsoft rilascia importanti miglioramenti di sicurezza. L'aggiornamento viene inoltre distribuito tramite Windows Update, Windows Update for Business e WSUS.
Per gli ambienti di produzione si consiglia quindi un rollout controllato:
Gruppo di test → osservazione → gruppo più ampio → rollout completo
e non necessariamente:
Aggiornare tutti i client contemporaneamente.
Soprattutto sui dispositivi necessari per l'accesso quotidiano degli utenti, dovrebbe inoltre essere disponibile un account amministratore locale o comunque una possibilità di ripristino funzionante.
Cosa consigliamo al momento
Per le aziende con un Active Directory classico, al momento consigliamo:
1. Verificare le versioni di Windows 11 interessate
Su un client:
winver
oppure:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Verificare se KB5124008 è stato installato
Get-HotFix -Id KB5124008
3. In caso di problemi di accesso, verificare il Secure Channel
Test-ComputerSecureChannel
4. Se il risultato è False, tentare prima una riparazione
Test-ComputerSecureChannel -Repair
5. In caso di problemi ricorrenti, documentare la causa
In particolare, dovrebbero essere registrate le seguenti informazioni:
Versione di Windows
Build del sistema operativo
Aggiornamenti KB installati
Versione del Domain Controller
Momento in cui si è verificato il problema
Risultato di Test-ComputerSecureChannel
Risultato di nltest /sc_query
Eventi su client e Domain Controller
In questo modo è molto più facile stabilire se esiste davvero una correlazione con l'aggiornamento.
Nessuna causa definitiva ancora confermata
A questo punto è necessaria un'importante precisazione:
Il collegamento tra KB5124008 e i Domain Secure Channel danneggiati viene attualmente segnalato dagli amministratori come riproducibile, ma allo stato attuale non figura come Known Issue corrispondente nella documentazione KB ufficiale di Microsoft.
Il report originale di Microsoft Q&A descrive una situazione riproducibile con Windows 11 25H2 e domain controller Windows Server 2019. Altri amministratori segnalano problemi analoghi, tra l'altro con Windows Server 2022.
Anche per questo motivo non si dovrebbe affermare con troppa fretta che KB5124008 sia sicuramente la causa di ogni errore di tipo "Trust Relationship" che si verifica attualmente.
Altre cause come problemi DNS, discrepanze dell'orario, problemi con l'account computer o componenti di rete/VPN devono comunque essere escluse.
Conclusione
KB5124008 dovrebbe attualmente essere tenuto sotto particolare osservazione negli ambienti Active Directory.
Se dopo l'aggiornamento di settembre più utenti di un PC Windows 11 non riescono improvvisamente più ad accedere al dominio, nonostante le credenziali siano corrette, vale la pena controllare la relazione di trust del computer.
Il primo test più importante è:
Test-ComputerSecureChannel
Se il comando restituisce False, molto probabilmente c'è un problema con il Secure Channel tra il computer e il dominio.
Poiché le segnalazioni finora raccolte mostrano che una semplice riparazione non risolve il problema in modo permanente su tutti i sistemi, è opportuno documentare con precisione i dispositivi interessati e non modificare in modo affrettato account utente o password.
Articolo aggiornato al 14 settembre 2026.
Continuiamo a seguire gli sviluppi relativi a KB5124008 e aggiorneremo questo articolo non appena Microsoft pubblicherà una dichiarazione ufficiale o un fix corrispondente.