2026 m. rugsėjo 14 d. | Microsoft Windows | Active Directory | IT saugumas

Išleidus 2026 m. rugsėjo saugos naujinimą KB5124008, skirtą „Windows 11“, šiuo metu daugėja pranešimų apie neįprastą problemą klasikinėse „Active Directory“ aplinkose.

Problema ypač paveikia „Windows 11“ klientus, priklausančius vietiniam „Active Directory“ domenui. Įdiegus naujinimą, gali būti pažeistas saugus kanalas (Secure Channel) tarp kompiuterio ir domeno valdiklio.

Pasekmė: kompiuteris tinkle fiziškai tebėra pasiekiamas, tačiau prisijungti prie domeno staiga nebepavyksta.

Kas yra KB5124008?

„Microsoft“ išleido KB5124008 2026 m. rugsėjo 8 d. kaip saugos naujinimą, skirtą „Windows 11“ 24H2 ir 25H2.

„Windows 11“ 25H2 sistemoje naujinimas pakelia versiją iki Build 26200.9445, o „Windows 11“ 24H2 – iki Build 26100.9445. „Microsoft“ šį naujinimą iš esmės apibūdina kaip saugos ir kokybės naujinimą.

„Microsoft“ jau dabar dokumentuoja kelias žinomas su KB5124008 susijusias problemas, be kita ko, problemas su „Remote Desktop Services“, USB garso įrenginiais ir „Hyper-V“ pagrindu veikiančiomis „Linux“ virtualiosiomis mašinomis. Tačiau problema su „Active Directory“ saugiu kanalu oficialioje KB dokumentacijoje kol kas dar nenurodyta kaip žinoma problema (Known Issue).

Tikroji problema: saugus kanalas į domeną

Domeno kompiuteris „Active Directory“ kataloge turi savo kompiuterio paskyrą.

Tarp kompiuterio ir domeno valdiklio egzistuoja vadinamasis saugus kanalas (Secure Channel). Jis, be kita ko, reikalingas pasitikėjimo ryšiui tarp kompiuterio ir domeno palaikyti.

Jei šis kanalas pažeidžiamas, naudotojas tam tikromis aplinkybėmis gali staiga nebegalėti prisijungti prie domeno.

Ypač klastinga tai:

Naudotojo vardas ir slaptažodis tebėra teisingi.

„Windows“ pateikia, pavyzdžiui, tokį pranešimą:

„Naudotojo vardas arba slaptažodis neteisingas.“

Iš tikrųjų problema slypi ne naudotojo slaptažodyje, o kompiuterio pasitikėjimo ryšyje su domenu.

Tipiškas klaidos vaizdas

Vieno administratoriaus paskelbtu ir atkartojamu atveju pasireiškė toks elgesys:

• Windows 11 25H2

• Versija (Build) 26200.9445

• Naujinimas KB5124008

• klasikinis „Active Directory“ domenas

• Domeno valdiklis su „Windows Server 2019“

Įdiegus naujinimą, prisijungimas iš pradžių dar veikė. Tačiau po kurio laiko pasitikėjimo ryšys buvo pažeistas.

Administratorius galėjo atkurti klaidą keliuose įrenginiuose: įdiegiamas naujinimas → atsiranda problema → naujinimas pašalinamas → problema išnyksta. Iš naujo įdiegus KB5124008, klaida vėl pasikartojo.

Įdomu ir tai, kad kitas administratorius taip pat praneša apie problemas su „Windows Server 2022“ domeno valdikliais. Kitose patirties ataskaitose problema aprašoma net esant skirtingoms domeno valdiklių versijoms. Tai šiuo metu neleidžia skubotai teigti, kad klaida apsiriboja tik „Windows Server 2019“.

Kaip patikrinti, ar yra ši klaida

Jei paveiktą kompiuterį dar galima paleisti naudojant vietinę administratoriaus paskyrą arba talpykloje išsaugotus domeno prisijungimo duomenis, saugaus kanalo (Secure Channel) ryšį galima patikrinti naudojant „PowerShell“.

Administratoriaus teisėmis:

Test-ComputerSecureChannel

Jei saugusis kanalas (Secure Channel) veikia tinkamai, turėtų būti grąžinama:

True

Paveiktame kompiuteryje vietoj to gali pasirodyti:

False

pasirodyti.

Papildomai galima patikrinti naudojant nltest:

nltest /sc_query:DOMAIN

Tokiu atveju gali pasirodyti, pavyzdžiui, klaida

ERROR_NO_TRUST_LSA_SECRET (1786)

atsirasti.

Būtent tokia klaidos apraiška buvo dokumentuota „Microsoft Q&A“ atvejyje.

Svarbu: iš karto neatstatykite naudotojo slaptažodžio

Tokia klaidos apraiška skatina pirmiausia iš naujo nustatyti paveikto naudotojo slaptažodį.

Tačiau šiuo atveju tai paprastai nėra teisinga kryptis.

Jei keli naudotojai tame pačiame kompiuteryje staiga nebegali prisijungti per domeną, o, pavyzdžiui, talpykloje išsaugotas prisijungimas neprisijungus prie tinklo vis dar veikia, pirmiausia reikėtų patikrinti kompiuterio pasitikėjimo ryšį.

Tipiškas požymis:

Test-ComputerSecureChannel

grąžina:

False

Galimas taisymo bandymas

Kaip pirmą taisymo bandymą galima iš naujo užmegzti „Secure Channel“ ryšį:

Test-ComputerSecureChannel -Repair

prireikus kartu su atitinkamas teises turinčios domeno paskyros prisijungimo duomenimis.

Arba kompiuterio paskyros slaptažodį galima iš naujo nustatyti naudojant PowerShell.

Tačiau čia reikia būti atsargiems:

Iki šiol praneštais atvejais taisymas ne visada būna sėkmingas ilgam.

Pavyzdžiui, pradiniu „Microsoft Q&A“ atveju Test-ComputerSecureChannel -Repair nepakako. Ten kompiuterį galiausiai teko pašalinti iš domeno ir paskui vėl prijungti prie domeno.

Kiti administratoriai, priešingai, praneša, kad komanda „Repair“ bent laikinai padėjo. Todėl atrodo, kad ne visose paveiktose sistemose klaidos vaizdas yra vienodas.

Jei taisymo nepakanka

Jei saugusis kanalas (Secure Channel) ir toliau neveikia, kaip sudėtingesnė priemonė gali būti reikalingas pakartotinis prijungimas prie domeno (Domain Join).

Supaprastintai:

1. Įjungti vietinį prisijungimą su administratoriaus paskyra

2. Pašalinti kompiuterį iš domeno

3. Iš naujo paleisti kompiuterį

4. Vėl prijungti kompiuterį prie domeno

5. Dar kartą paleisti iš naujo

6. Patikrinti prisijungimą prie domeno

Dokumentuotu atkūrimo atveju būtent ši procedūra buvo būtina, kad klaida būtų pašalinta visam laikui.

Ar KB5124008 šiuo metu reikėtų sulaikyti?

Čia reikėtų vertinti diferencijuotai.

KB5124008 yra saugos naujinimas, todėl jo nederėtų tiesiog visuotinai pašalinti visose aplinkose.

Kartu administratoriai, naudojantys klasikines „Active Directory“ aplinkas, šiuo metu turėtų ypač atidžiai stebėti šio naujinimo diegimą.

Su KB5124008 „Microsoft“ išleidžia svarbių saugumo patobulinimų. Be to, naujinimas platinamas per „Windows Update“, „Windows Update for Business“ ir WSUS.

Todėl produkcinėse aplinkose rekomenduojamas kontroliuojamas diegimas:

Testinė grupė → stebėjimas → didesnė grupė → visiškas diegimas

o nebūtinai:

Atnaujinti visus klientus vienu metu.

Ypač įrenginiuose, kurių reikia kasdieniam naudotojų prisijungimui, taip pat turėtų būti vietinė administratoriaus paskyra arba veikianti atkūrimo galimybė.

Ką šiuo metu rekomenduojame

Įmonėms, naudojančioms klasikinę „Active Directory“, šiuo metu rekomenduojame:

1. Patikrinti paveiktas „Windows 11“ versijas

Kliente:

winver

arba:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Patikrinkite, ar įdiegtas KB5124008

Get-HotFix -Id KB5124008

3. Kilus prisijungimo problemų, patikrinkite „Secure Channel“

Test-ComputerSecureChannel

4. Jei rezultatas „False“, pirmiausia pabandykite atlikti taisymą

Test-ComputerSecureChannel -Repair

5. Jei problemos kartojasi, dokumentuokite priežastį

Visų pirma reikėtų užfiksuoti šią informaciją:

• „Windows“ versija

• OS-Build

• įdiegti KB naujinimai

• domeno valdiklio versija

• problemos atsiradimo laikas

• „Test-ComputerSecureChannel“ rezultatas

• „nltest /sc_query“ rezultatas

• įvykiai kliente ir domeno valdiklyje

Taip galima gerokai tiksliau nustatyti, ar problema iš tikrųjų susijusi su naujinimu.

Galutinė priežastis dar nepatvirtinta

Čia būtina padaryti svarbią išlygą:

Apie ryšį tarp KB5124008 ir pažeistų domeno saugių kanalų (Secure Channel) administratoriai šiuo metu praneša kaip apie atkartojamą, tačiau, remiantis dabartine informacija, oficialioje „Microsoft“ KB dokumentacijoje jis nėra nurodytas kaip žinoma problema (Known Issue).

Pradinė „Microsoft Q&A“ ataskaita aprašo atkuriamą situaciją su „Windows 11 25H2“ ir „Windows Server 2019“ domeno valdikliais. Kiti administratoriai praneša apie panašias problemas, be kita ko, ir su „Windows Server 2022“.

Taip pat dėl šios priežasties nereikėtų skubotai teigti, kad KB5124008 tikrai yra kiekvienos šiuo metu pasitaikančios „Trust Relationship“ klaidos priežastis.

Kitas priežastis, pavyzdžiui, DNS problemas, laiko nesutapimus, kompiuterio paskyros problemas arba tinklo / VPN komponentų trikdžius, ir toliau būtina atmesti.

Išvada

Šiuo metu KB5124008 „Active Directory“ aplinkose reikėtų stebėti ypač atidžiai.

Jei po rugsėjo naujinimo keli „Windows 11“ kompiuterio naudotojai staiga nebegali prisijungti prie domeno, nors prisijungimo duomenys yra teisingi, verta patikrinti kompiuterio pasitikėjimo ryšį su domenu.

Svarbiausias pirmasis testas yra:

Test-ComputerSecureChannel

Jei komanda grąžina False, labai tikėtina, kad yra problema su kompiuterio saugiu kanalu (Secure Channel) į domeną.

Kadangi ligšioliniai pranešimai rodo, kad paprastas taisymas ne visose sistemose padeda ilgam, paveiktus įrenginius reikėtų tiksliai dokumentuoti ir neskubėti keisti naudotojų paskyrų ar slaptažodžių.

Straipsnio informacija atnaujinta: 2026 m. rugsėjo 14 d.

Stebime situaciją, susijusią su KB5124008, ir atnaujinsime šį straipsnį, kai tik „Microsoft“ paskelbs oficialų pareiškimą arba atitinkamą pataisą.