2026 წლის 14 სექტემბერი | Microsoft Windows | Active Directory | IT-უსაფრთხოება
Windows 11-ისთვის განკუთვნილ 2026 წლის სექტემბრის უსაფრთხოების განახლებასთან KB5124008 დაკავშირებით ამჟამად მატულობს შეტყობინებები კლასიკურ Active Directory-გარემოებში წარმოქმნილი უჩვეულო პრობლემის შესახებ.
პრობლემა განსაკუთრებით ეხება Windows 11-ის იმ კლიენტებს, რომლებიც ლოკალური Active Directory-დომენის წევრები არიან. განახლების დაყენების შემდეგ შესაძლოა დაზიანდეს Secure Channel კომპიუტერსა და დომენის კონტროლერს შორის.
შედეგი: კომპიუტერი ქსელში ფიზიკურად კვლავ ხელმისაწვდომია, მაგრამ დომენში შესვლა მოულოდნელად აღარ მუშაობს.
რა არის KB5124008?
Microsoft-მა KB5124008 2026 წლის 8 სექტემბერს გამოუშვა, როგორც უსაფრთხოების განახლება Windows 11 24H2-ისა და 25H2-ისთვის.
Windows 11 25H2-ზე განახლება სისტემას გადაჰყავს Build 26200.9445-ზე, ხოლო Windows 11 24H2-ზე — Build 26100.9445-ზე. Microsoft განახლებას ზოგადად უსაფრთხოებისა და ხარისხის განახლებად აღწერს.
Microsoft-ს KB5124008-თან დაკავშირებით უკვე რამდენიმე ცნობილი პრობლემა აქვს დოკუმენტირებული, მათ შორის პრობლემები Remote Desktop Services-თან, USB-აუდიომოწყობილობებთან და Hyper-V-ზე დაფუძნებულ Linux-ვირტუალურ მანქანებთან. თუმცა Active Directory-ის Secure Channel-თან დაკავშირებული პრობლემა ოფიციალურ KB-დოკუმენტაციაში ამჟამად ჯერ კიდევ არ არის ცნობილ პრობლემად (Known Issue) მითითებული.
ნამდვილი პრობლემა: Secure Channel დომენთან
დომენის კომპიუტერს Active Directory-ში საკუთარი კომპიუტერის ანგარიში აქვს.
კომპიუტერსა და დომენის კონტროლერს შორის არსებობს ე. წ. Secure Channel (დაცული არხი). ის, სხვა საკითხებთან ერთად, საჭიროა კომპიუტერსა და დომენს შორის ნდობის ურთიერთობისთვის.
თუ ეს არხი დაზიანდება, მომხმარებელმა შესაძლოა მოულოდნელად ვეღარ შეძლოს დომენში შესვლა.
განსაკუთრებით მზაკვრული ის არის, რომ:
მომხმარებლის სახელი და პაროლი კვლავ სწორია.
Windows, მაგალითად, აცხადებს:
„მომხმარებლის სახელი ან პაროლი არასწორია.“
სინამდვილეში კი პრობლემა მომხმარებლის პაროლში კი არა, კომპიუტერსა და დომენს შორის ნდობის ურთიერთობაშია.
შეცდომის ტიპური სურათი
ერთ-ერთი ადმინისტრატორის მიერ გამოქვეყნებულ და რეპროდუცირებად შემთხვევაში შემდეგი ქცევა დაფიქსირდა:
Windows 11 25H2
ბილდი 26200.9445
განახლება KB5124008
კლასიკური Active Directory-დომენი
დომენის კონტროლერი Windows Server 2019-ზე
განახლების დაყენების შემდეგ შესვლა თავდაპირველად კვლავ მუშაობდა. გარკვეული დროის შემდეგ კი ნდობის ურთიერთობა დაზიანდა.
ადმინისტრატორმა შეძლო შეცდომის რეპროდუცირება რამდენიმე მოწყობილობაზე: განახლების დაყენება → პრობლემა ჩნდება → განახლების წაშლა → პრობლემა ქრება. KB5124008-ის ხელახლა დაყენების შემდეგ შეცდომა კვლავ გამოვლინდა.
საინტერესოა ისიც, რომ კიდევ ერთი ადმინისტრატორი Windows Server 2022-ის დომენის კონტროლერებთან დაკავშირებულ პრობლემებზეც საუბრობს. სხვა მომხმარებელთა გამოცდილების მიხედვით, პრობლემა დომენის კონტროლერის სხვადასხვა ვერსიაზეც კი აღწერილია. ეს ამჟამად იმაზე მიუთითებს, რომ ნაჩქარევად არ უნდა ვივარაუდოთ, თითქოს შეცდომა მხოლოდ Windows Server 2019-ით შემოიფარგლება.
როგორ შევამოწმოთ შეცდომა
თუ დაზარალებული კომპიუტერის გაშვება ჯერ კიდევ შესაძლებელია ლოკალური ადმინისტრატორის ანგარიშით ან დომენის ქეშირებული შესვლის მონაცემებით, Secure Channel-ის კავშირის შემოწმება PowerShell-ით შეიძლება.
ადმინისტრატორის უფლებებით:
Test-ComputerSecureChannel
გამართულად მომუშავე Secure Channel-ის შემთხვევაში უნდა დაბრუნდეს:
True
პრობლემურ კომპიუტერზე კი, შესაძლოა, გამოჩნდეს:
False
გამოჩნდეს.
დამატებით შემოწმება შესაძლებელია nltest-ის საშუალებით:
nltest /sc_query:DOMAIN
ამ დროს, მაგალითად, შესაძლოა დაფიქსირდეს შეცდომა
ERROR_NO_TRUST_LSA_SECRET (1786)
წარმოიშვას.
სწორედ ეს შეცდომის სურათია დოკუმენტირებული Microsoft-ის Q&A-ს შემთხვევაში.
მნიშვნელოვანია: მომხმარებლის პაროლი დაუყოვნებლივ არ გადააყენოთ
შეცდომის სურათი იმისკენ გიბიძგებთ, რომ ჯერ დაზარალებული მომხმარებლის პაროლი გადააყენოთ.
ამ შემთხვევაში კი ეს, როგორც წესი, სწორი მიმართულება არ არის.
თუ ერთსა და იმავე კომპიუტერზე რამდენიმე მომხმარებელს მოულოდნელად აღარ შეუძლია დომენის მეშვეობით შესვლა, მაშინ როცა, მაგალითად, ქეშირებული შესვლა ოფლაინ რეჟიმში კვლავ მუშაობს, პირველ რიგში კომპიუტერის ნდობის კავშირი უნდა შემოწმდეს.
ტიპური ნიშანია:
Test-ComputerSecureChannel
აბრუნებს:
False
შესაძლო აღდგენის მცდელობა
აღდგენის პირველ მცდელობად შესაძლებელია Secure Channel-ის ხელახლა დამყარება:
Test-ComputerSecureChannel -Repair
საჭიროების შემთხვევაში შესაბამისი უფლებამოსილების მქონე დომენის ანგარიშის წვდომის მონაცემებთან ერთად.
ალტერნატიულად, კომპიუტერის ანგარიშის პაროლის აღდგენა შესაძლებელია PowerShell-ის საშუალებით.
თუმცა აქ სიფრთხილეა საჭირო:
აქამდე მოხსენებულ შემთხვევებში შეკეთება ყოველთვის არ იძლევა მდგრად შედეგს.
თავდაპირველ Microsoft-ის Q&A-ს შემთხვევაში, მაგალითად, Test-ComputerSecureChannel -Repair საკმარისი არ აღმოჩნდა. იქ კომპიუტერი საბოლოოდ დომენიდან უნდა ამოეღოთ და შემდეგ ხელახლა დაემატებინათ დომენში.
სხვა ადმინისტრატორები კი იუწყებიან, რომ Repair ბრძანებამ, სულ მცირე, დროებით მაინც უშველა. ამიტომ, როგორც ჩანს, პრობლემის სურათი ყველა დაზარალებულ სისტემაზე ერთნაირი არ არის.
თუ შეკეთება საკმარისი არ არის
თუ Secure Channel კვლავ დაზიანებულია, უფრო შრომატევად ღონისძიებად შესაძლოა საჭირო გახდეს დომენში ხელახლა შეერთება (Domain Join).
გამარტივებულად:
ადმინისტრატორის ანგარიშით ლოკალური შესვლის შესაძლებლობის უზრუნველყოფა
კომპიუტერის დომენიდან ამოღება
კომპიუტერის გადატვირთვა
კომპიუტერის ხელახლა დომენში შეყვანა
ხელახლა გადატვირთვა
დომენში შესვლის შემოწმება
დოკუმენტირებულ რეპროდუქციის შემთხვევაში შეცდომის სამუდამოდ აღმოსაფხვრელად სწორედ ეს პროცედურა იყო საჭირო.
უნდა შეჩერდეს თუ არა ამჟამად KB5124008-ის დაყენება?
აქ დიფერენცირებული მიდგომაა საჭირო.
KB5124008 უსაფრთხოების განახლებაა და არ უნდა იქნას უბრალოდ ყველა გარემოში ერთიანად წაშლილი.
ამავდროულად, კლასიკური Active Directory-გარემოს მქონე ადმინისტრატორებმა ამჟამად განსაკუთრებული ყურადღებით უნდა ადევნონ თვალი ამ განახლების ინსტალაციას.
Microsoft KB5124008-ით უსაფრთხოების მნიშვნელოვან გაუმჯობესებებს აქვეყნებს. გარდა ამისა, განახლება ვრცელდება Windows Update-ის, Windows Update for Business-ისა და WSUS-ის მეშვეობით.
ამიტომ საწარმოო გარემოსთვის რეკომენდებულია კონტროლირებადი დანერგვა:
სატესტო ჯგუფი → დაკვირვება → უფრო დიდი ჯგუფი → სრული დანერგვა
და არა აუცილებლად:
ყველა კლიენტის ერთდროულად განახლება.
განსაკუთრებით იმ მოწყობილობებზე, რომლებიც მომხმარებლების ყოველდღიური ავტორიზაციისთვისაა საჭირო, ასევე უნდა არსებობდეს ლოკალური ადმინისტრატორის ანგარიში ან მუშა აღდგენის საშუალება.
რას გირჩევთ ამჟამად
კლასიკური Active Directory-ის მქონე კომპანიებს ამჟამად ვურჩევთ შემდეგს:
1. შეამოწმეთ Windows 11-ის დაზარალებული ვერსიები
კლიენტზე:
winver
ან:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. შეამოწმეთ, დაინსტალირდა თუ არა KB5124008
Get-HotFix -Id KB5124008
3. ავტორიზაციის პრობლემების შემთხვევაში შეამოწმეთ Secure Channel
Test-ComputerSecureChannel
4. თუ შედეგი არის False, ჯერ სცადეთ აღდგენა
Test-ComputerSecureChannel -Repair
5. განმეორებადი პრობლემების შემთხვევაში დააფიქსირეთ მიზეზი
განსაკუთრებით უნდა ჩაიწეროს შემდეგი ინფორმაცია:
Windows-ის ვერსია
ოპერაციული სისტემის ბილდი
დაინსტალირებული KB-განახლებები
Domain Controller-ის ვერსია
პრობლემის გამოვლენის დრო
Test-ComputerSecureChannel-ის შედეგი
nltest /sc_query-ის შედეგი
მოვლენები კლიენტსა და Domain Controller-ზე
ამით გაცილებით უკეთ დადგინდება, არსებობს თუ არა ნამდვილად კავშირი განახლებასთან.
საბოლოო მიზეზი ჯერ დადასტურებული არ არის
აქ აუცილებელია ერთი მნიშვნელოვანი დათქმა:
კავშირს KB5124008-სა და დაზიანებულ დომენის Secure Channel-ებს შორის ადმინისტრატორები ამჟამად რეპროდუცირებად პრობლემად აღწერენ, თუმცა დღევანდელი მდგომარეობით ის Microsoft-ის ოფიციალურ KB-დოკუმენტაციაში შესაბამის ცნობილ პრობლემად (Known Issue) არ არის მითითებული.
Microsoft Q&A-ზე გამოქვეყნებული თავდაპირველი ანგარიში აღწერს რეპროდუცირებად სიტუაციას Windows 11 25H2-სა და Windows Server 2019 დომენის კონტროლერებთან. სხვა ადმინისტრატორები მსგავს პრობლემებს, მათ შორის, Windows Server 2022-თანაც აფიქსირებენ.
სწორედ ამიტომ არ უნდა ვიჩქაროთ იმის მტკიცება, რომ KB5124008 ნამდვილად არის ყველა ახლანდელი „Trust Relationship“-შეცდომის მიზეზი.
სხვა შესაძლო მიზეზები, როგორიცაა DNS-პრობლემები, დროის გადახრები, კომპიუტერის ანგარიშის პრობლემები ან ქსელის/VPN-კომპონენტები, კვლავაც უნდა გამოირიცხოს.
დასკვნა
KB5124008-ს Active Directory-ის გარემოებში ამჟამად განსაკუთრებით ყურადღებით უნდა დააკვირდეთ.
თუ სექტემბრის განახლების შემდეგ Windows 11 კომპიუტერის რამდენიმე მომხმარებელი მოულოდნელად ვეღარ ახერხებს დომენში შესვლას, მიუხედავად იმისა, რომ მათი სააღრიცხვო მონაცემები სწორია, ღირს კომპიუტერის ნდობის ურთიერთობის (Trust Relationship) შემოწმება.
ყველაზე მნიშვნელოვანი პირველი ტესტია:
Test-ComputerSecureChannel
თუ ბრძანება False-ს აბრუნებს, დიდი ალბათობით პრობლემა კომპიუტერის დომენთან Secure Channel-შია.
ვინაიდან აქამდე არსებული ანგარიშები აჩვენებს, რომ მარტივი აღდგენა ყველა სისტემაზე მუდმივად არ ეხმარება, დაზარალებული მოწყობილობები ზუსტად უნდა იქნას დოკუმენტირებული და მომხმარებლის ანგარიშები ან პაროლები ნაჩქარევად არ უნდა შეიცვალოს.
ამ სტატიის მდგომარეობა: 2026 წლის 14 სექტემბერი.
ჩვენ ვაკვირდებით KB5124008-თან დაკავშირებულ მოვლენებს და განვაახლებთ ამ სტატიას, როგორც კი Microsoft გამოაქვეყნებს ოფიციალურ განცხადებას ან შესაბამის გამოსწორებას.