2026. gada 14. septembris | Microsoft Windows | Active Directory | IT drošība

Līdz ar 2026. gada septembra drošības atjauninājumu KB5124008 operētājsistēmai Windows 11 pašlaik pieaug ziņojumu skaits par neparastu problēmu klasiskās Active Directory vidēs.

Īpaši skarti ir Windows 11 klientdatori, kas ir lokāla Active Directory domēna dalībnieki. Pēc atjauninājuma instalēšanas drošais kanāls (Secure Channel) starp datoru un domēna kontrolleri var tikt bojāts.

Sekas: dators gan joprojām ir fiziski sasniedzams tīklā, taču pieteikšanās domēnā pēkšņi vairs nedarbojas.

Kas ir KB5124008?

Microsoft izlaida KB5124008 2026. gada 8. septembrī kā drošības atjauninājumu operētājsistēmām Windows 11 24H2 un 25H2.

Operētājsistēmā Windows 11 25H2 atjauninājums paaugstina versiju līdz būvējumam 26200.9445, bet Windows 11 24H2 – līdz būvējumam 26100.9445. Microsoft šo atjauninājumu principā apraksta kā drošības un kvalitātes atjauninājumu.

Microsoft pašlaik jau ir dokumentējis vairākas zināmas problēmas saistībā ar KB5124008, tostarp problēmas ar Remote Desktop Services, USB audioierīcēm un uz Hyper-V balstītām Linux virtuālajām mašīnām. Taču problēma ar Active Directory drošo kanālu oficiālajā KB dokumentācijā pašlaik vēl nav norādīta kā zināma problēma (Known Issue).

Īstā problēma: drošais kanāls uz domēnu

Domēna datoram Active Directory ir savs datora konts.

Starp datoru un domēna kontrolleri pastāv tā sauktais drošais kanāls (Secure Channel). Tas cita starpā ir nepieciešams uzticamības attiecībām starp datoru un domēnu.

Ja šis kanāls tiek bojāts, lietotājs noteiktos apstākļos pēkšņi vairs nevar pieteikties domēnā.

Īpaši mānīgi ir tas, ka:

Lietotājvārds un parole joprojām ir pareizi.

Windows, piemēram, ziņo:

„Lietotājvārds vai parole nav pareiza.“

Patiesībā problēma ir nevis lietotāja parolē, bet gan datora uzticamības attiecībās ar domēnu.

Tipiskās kļūdas pazīmes

Kādā administratora publicētā un reproducējamā gadījumā novērota šāda uzvedība:

• Windows 11 25H2

• Būvējums 26200.9445

• Atjauninājums KB5124008

• klasisks Active Directory domēns

• Domēna kontrolleris ar Windows Server 2019

Pēc atjauninājuma instalēšanas pieteikšanās sākotnēji vēl darbojās. Taču pēc kāda laika uzticamības saite bija bojāta.

Administrators varēja reproducēt kļūdu vairākās ierīcēs: instalē atjauninājumu → rodas problēma → noņem atjauninājumu → problēma pazūd. Pēc atkārtotas KB5124008 instalēšanas kļūda parādījās no jauna.

Interesanti arī tas, ka cits administrators ziņo par problēmām ar Windows Server 2022 domēna kontrolieriem. Citos pieredzes pārskatos problēma tiek aprakstīta pat dažādām domēna kontrolieru versijām. Tas pašlaik runā pret pārsteidzīgu pieņēmumu, ka kļūda attiecas tikai uz Windows Server 2019.

Kā pārbaudīt, vai radusies šī kļūda

Ja skarto datoru vēl var startēt ar lokālo administratora kontu vai izmantojot kešatmiņā saglabātos domēna pieteikšanās datus, Secure Channel savienojumu var pārbaudīt ar PowerShell.

Kā administrators:

Test-ComputerSecureChannel

Ja drošais kanāls (Secure Channel) darbojas, būtu jāatgriež:

True

Savukārt skartā datorā var parādīties:

False

parādīties.

Papildus var pārbaudīt ar nltest:

nltest /sc_query:DOMAIN

Tādā gadījumā var parādīties, piemēram, kļūda

ERROR_NO_TRUST_LSA_SECRET (1786)

rasties.

Tieši šāda kļūdas aina ir dokumentēta Microsoft Q&A gadījumā.

Svarīgi: neatiestatiet lietotāja paroli uzreiz

Šāda kļūdas aina vedina vispirms atiestatīt skartā lietotāja paroli.

Tomēr šajā gadījumā tas parasti nav pareizais virziens.

Ja vairāki lietotāji vienā un tajā pašā datorā pēkšņi vairs nevar pieteikties, izmantojot domēnu, kamēr, piemēram, kešatmiņā saglabāta pieteikšanās bezsaistē joprojām darbojas, vispirms jāpārbauda datora uzticamības attiecības.

Tipiska pazīme ir šāda:

Test-ComputerSecureChannel

atgriež:

False

Iespējamais labošanas mēģinājums

Kā pirmo labošanas mēģinājumu var atjaunot Secure Channel savienojumu:

Test-ComputerSecureChannel -Repair

vajadzības gadījumā kopā ar attiecīgi pilnvarota domēna konta piekļuves datiem.

Alternatīvi datora konta paroli var atiestatīt ar PowerShell.

Tomēr šeit jāievēro piesardzība:

Līdz šim ziņotajos gadījumos labojums ne vienmēr ir bijis noturīgi veiksmīgs.

Sākotnējā Microsoft Q&A gadījumā, piemēram, ar Test-ComputerSecureChannel -Repair nepietika. Tur datoru galu galā nācās izņemt no domēna un pēc tam atkal pievienot domēnam.

Citi administratori savukārt ziņo, ka Repair komanda vismaz īslaicīgi ir palīdzējusi. Tāpēc šķiet, ka kļūdas aina ne visās skartajās sistēmās ir identiska.

Ja ar labojumu nepietiek

Ja Secure Channel joprojām ir bojāts, kā sarežģītāks pasākums var būt nepieciešama atkārtota pievienošana domēnam (Domain Join).

Vienkāršoti:

1. Nodrošināt iespēju pieteikties lokāli ar administratora kontu

2. Izņemt datoru no domēna

3. Restartēt datoru

4. Atkal pievienot datoru domēnam

5. Vēlreiz restartēt

6. Pārbaudīt pieteikšanos domēnā

Dokumentētajā reproducēšanas gadījumā tieši šī procedūra bija nepieciešama, lai kļūdu novērstu noturīgi.

Vai KB5124008 pašlaik vajadzētu aizturēt?

Šeit jāskatās diferencēti.

KB5124008 ir drošības atjauninājums, un to nevajadzētu vienkārši bez izšķirības atinstalēt visās vidēs.

Vienlaikus administratoriem ar klasiskām Active Directory vidēm pašlaik vajadzētu īpaši uzmanīgi sekot līdzi instalēšanai.

Ar KB5124008 Microsoft izlaiž svarīgus drošības uzlabojumus. Turklāt atjauninājums tiek izplatīts, izmantojot Windows Update, Windows Update for Business un WSUS.

Tāpēc produktīvajās vidēs ieteicama kontrolēta ieviešana:

Testa grupa → novērošana → lielāka grupa → pilnīga ieviešana

un ne obligāti:

Atjaunināt visus klientus vienlaikus.

Tieši ierīcēm, kas nepieciešamas lietotāju ikdienas pieteikšanās vajadzībām, turklāt vajadzētu būt pieejamam lokālam administratora kontam vai funkcionējošai atkopšanas iespējai.

Ko mēs pašlaik iesakām

Uzņēmumiem ar klasisku Active Directory mēs pašlaik iesakām:

1. Pārbaudīt skartās Windows 11 versijas

Klienta datorā:

winver

vai:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Pārbaudīt, vai ir instalēts KB5124008

Get-HotFix -Id KB5124008

3. Pieteikšanās problēmu gadījumā pārbaudīt drošo kanālu (Secure Channel)

Test-ComputerSecureChannel

4. Ja rezultāts ir False, vispirms mēģināt veikt labošanu

Test-ComputerSecureChannel -Repair

5. Atkārtotu problēmu gadījumā dokumentēt cēloni

Jo īpaši būtu jāfiksē šāda informācija:

• Windows versija

• OS būvējums

• instalētie KB atjauninājumi

• domēna kontrollera versija

• problēmas rašanās laiks

• Test-ComputerSecureChannel rezultāts

• nltest /sc_query rezultāts

• notikumi klientā un domēna kontrollerī

Tādējādi var daudz precīzāk noteikt, vai patiešām pastāv saistība ar atjauninājumu.

Galīgais cēlonis vēl nav apstiprināts

Šeit nepieciešama svarīga atruna:

Par saistību starp KB5124008 un bojātiem domēna drošajiem kanāliem administratori pašlaik ziņo kā par reproducējamu, taču pēc pašreizējās informācijas tā nav norādīta kā attiecīga zināmā problēma (Known Issue) oficiālajā Microsoft KB dokumentācijā.

Sākotnējais Microsoft Q&A ziņojums apraksta atkārtojamu situāciju ar Windows 11 25H2 un Windows Server 2019 domēna kontrolieriem. Citi administratori ziņo par līdzīgām problēmām, tostarp ar Windows Server 2022.

Arī tāpēc nevajadzētu pārsteidzīgi apgalvot, ka KB5124008 noteikti ir katras pašreizējās „Trust Relationship“ kļūdas cēlonis.

Joprojām ir jāizslēdz citi cēloņi, piemēram, DNS problēmas, laika nobīdes, problēmas ar datora kontu vai tīkla/VPN komponentiem.

Secinājums

Active Directory vidēs KB5124008 pašlaik būtu jānovēro īpaši uzmanīgi.

Ja pēc septembra atjauninājuma vairāki Windows 11 datora lietotāji pēkšņi vairs nevar pieteikties domēnā, lai gan piekļuves dati ir pareizi, ir vērts pārbaudīt datora uzticamības attiecības.

Svarīgākais pirmais tests ir šāds:

Test-ComputerSecureChannel

Ja komanda atgriež False, ļoti iespējams, ka pastāv problēma ar datora drošo kanālu uz domēnu.

Tā kā līdzšinējie ziņojumi liecina, ka vienkāršs remonts ne visās sistēmās palīdz ilgstoši, skartās ierīces vajadzētu rūpīgi dokumentēt un nesteigties mainīt lietotāju kontus vai paroles.

Šī raksta informācija aktuāla uz 2026. gada 14. septembri.

Mēs sekojam līdzi notikumu attīstībai saistībā ar KB5124008 un atjaunināsim šo rakstu, tiklīdz Microsoft publicēs oficiālu paziņojumu vai atbilstošu labojumu.