14 септември 2026 | Microsoft Windows | Active Directory | ИТ-безбедност

Со безбедносното ажурирање од септември 2026, KB5124008 за Windows 11, во моментов се множат извештаите за невообичаен проблем во класичните Active Directory околини.

Засегнати се особено клиентите со Windows 11 кои се членови на локален Active Directory домен. По инсталирањето на ажурирањето, Secure Channel помеѓу компјутерот и Domain Controller може да се оштети.

Последицата: компјутерот и понатаму е физички достапен во мрежата, но најавувањето на доменот одеднаш престанува да функционира.

Што е KB5124008?

Microsoft го објави KB5124008 на 8 септември 2026 како безбедносно ажурирање за Windows 11 24H2 и 25H2.

Кај Windows 11 25H2 ажурирањето води до Build 26200.9445, а кај Windows 11 24H2 до Build 26100.9445. Microsoft во основа го опишува ажурирањето како безбедносно ажурирање и ажурирање на квалитетот.

Microsoft веќе документира повеќе познати проблеми поврзани со KB5124008, меѓу другото проблеми со Remote Desktop Services, USB-аудиоуреди и Linux виртуелни машини базирани на Hyper-V. Сепак, проблемот со Active Directory Secure Channel во моментов сè уште не е наведен како Known Issue во официјалната KB-документација.

Вистинскиот проблем: Secure Channel кон доменот

Еден домен компјутер има сопствена компјутерска сметка во Active Directory.

Помеѓу компјутерот и контролерот на домен постои таканаречен Secure Channel. Тој е потребен, меѓу другото, за односот на доверба помеѓу компјутерот и доменот.

Ако овој канал се оштети, корисникот под одредени околности одеднаш веќе не може да се најави на доменот.

Она што е особено подмолно:

Корисничкото име и лозинката и понатаму се точни.

Windows, на пример, пријавува:

„Корисничкото име или лозинката се неточни.“

Всушност, проблемот не е во корисничката лозинка, туку во довербата на компјутерот кон доменот.

Типична слика на грешката

Во еден случај објавен од администратор, кој може да се репродуцира, се појави следново однесување:

• Windows 11 25H2

• Билд 26200.9445

• Ажурирање KB5124008

• класичен Active Directory домен

• Domain Controller под Windows Server 2019

По инсталирањето на ажурирањето, најавувањето првично сè уште функционираше. По извесно време, меѓутоа, довербата беше оштетена.

Администраторот успеа да ја репродуцира грешката на повеќе уреди: инсталирање на ажурирањето → проблемот се појавува → отстранување на ажурирањето → проблемот исчезнува. По повторно инсталирање на KB5124008, грешката повторно се појави.

Интересно е и тоа што и друг администратор известува за проблеми со домен-контролерите на Windows Server 2022. Во други искуствени извештаи проблемот се опишува дури и кај различни верзии на домен-контролери. Тоа моментално зборува против исхитрено да се претпостави дека грешката е ограничена исклучиво на Windows Server 2019.

Вака може да се провери грешката

Ако засегнатиот компјутер сè уште може да се стартува со локална администраторска сметка или преку кеширани податоци за најавување на доменот, врската Secure Channel може да се провери со PowerShell.

Како администратор:

Test-ComputerSecureChannel

Кај функционален Secure Channel треба да се врати:

True

Кај засегнат компјутер, пак, може:

False

да се појави.

Дополнително може да се провери со nltest:

nltest /sc_query:DOMAIN

Притоа, на пример, може да се појави грешката

ERROR_NO_TRUST_LSA_SECRET (1786)

да се појави.

Токму оваа слика на грешката беше документирана во случајот на Microsoft Q&A.

Важно: не ресетирајте ја веднаш корисничката лозинка

Сликата на грешката наведува најпрво да се ресетира лозинката на засегнатиот корисник.

Меѓутоа, во овој случај тоа обично не е вистинската насока.

Ако повеќе корисници на ист компјутер одеднаш не можат повеќе да се најават преку доменот, додека, на пример, кеширана најава офлајн сè уште функционира, најпрво треба да се провери довербата на компјутерот со доменот.

Типичен показател е:

Test-ComputerSecureChannel

враќа:

False

Можен обид за поправка

Како прв обид за поправка, може повторно да се воспостави Secure Channel:

Test-ComputerSecureChannel -Repair

по потреба заедно со податоците за најава на доменска сметка со соодветни овластувања.

Алтернативно, лозинката на компјутерската сметка може да се ресетира со PowerShell.

При тоа, сепак, потребна е претпазливост:

Во досега пријавените случаи поправката не е секогаш трајно успешна.

Во првичниот случај од Microsoft Q&A, на пример, Test-ComputerSecureChannel -Repair не беше доволен. Таму компјутерот на крајот мораше да биде отстранет од доменот и потоа повторно приклучен кон доменот.

Други администратори, напротив, известуваат дека командата Repair помогнала барем привремено. Затоа изгледа дека проблемот не е идентичен кај сите засегнати системи.

Кога поправката не е доволна

Ако Secure Channel и понатаму е оштетен, како посложена мерка може да биде потребно повторно приклучување кон доменот (Domain Join).

Поедноставено:

1. Овозможете локално најавување со администраторска сметка

2. Отстранете го компјутерот од доменот

3. Рестартирајте го компјутерот

4. Повторно приклучете го компјутерот во доменот

5. Повторно рестартирајте

6. Тестирајте го најавувањето на доменот

Во документираниот случај на репродукција, токму оваа постапка беше неопходна за трајно отстранување на грешката.

Дали инсталирањето на KB5124008 во моментов треба да се одложи?

Овде треба да се прави разлика.

KB5124008 е безбедносно ажурирање и не треба едноставно паушално да се деинсталира во сите околини.

Истовремено, администраторите со класични Active Directory околини во моментов треба особено внимателно да ја следат инсталацијата.

Со KB5124008 Microsoft објавува важни безбедносни подобрувања. Ажурирањето дополнително се дистрибуира преку Windows Update, Windows Update for Business и WSUS.

Затоа за продукциски околини се препорачува контролирано воведување:

Тест-група → набљудување → поголема група → целосно воведување

а не нужно:

Ажурирање на сите клиенти истовремено.

Особено кај уредите што се потребни за секојдневното најавување на корисниците, дополнително треба да постои локална администраторска сметка, односно функционална можност за обновување.

Што препорачуваме во моментов

За компании со класичен Active Directory во моментов препорачуваме:

1. Проверете ги засегнатите верзии на Windows 11

На клиент:

winver

или:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Проверете дали е инсталиран KB5124008

Get-HotFix -Id KB5124008

3. При проблеми со најавување проверете го Secure Channel

Test-ComputerSecureChannel

4. Ако резултатот е False, најпрво обидете се со поправка

Test-ComputerSecureChannel -Repair

5. При повторливи проблеми документирајте ја причината

Особено треба да се забележат следниве информации:

• Верзија на Windows

• Верзија на оперативниот систем (OS Build)

• инсталирани KB-ажурирања

• Верзија на Domain Controller-от

• Време на појавување

• Резултат од Test-ComputerSecureChannel

• Резултат од nltest /sc_query

• Настани на клиентот и на Domain Controller-от

Така многу подобро може да се утврди дали навистина постои поврзаност со ажурирањето.

Сè уште нема потврдена конечна причина

На ова место е потребна една важна ограда:

Врската меѓу KB5124008 и оштетените Domain Secure Channels во моментов администраторите ја пријавуваат како репродуцирлива, но според сегашната состојба не е наведена како соодветен Known Issue во официјалната Microsoft KB документација.

Оригиналниот извештај на Microsoft Q&A опишува повторлива ситуација со Windows 11 25H2 и домен контролери со Windows Server 2019. Други администратори пријавуваат слични проблеми, меѓу другото и со Windows Server 2022.

И затоа не треба избрзано да се тврди дека KB5124008 дефинитивно е причината за секоја актуелна грешка „Trust Relationship“.

Другите причини, како DNS проблеми, временски отстапувања, проблеми со компјутерската сметка или мрежни/VPN компоненти, и понатаму мора да се исклучат.

Заклучок

KB5124008 во моментов треба особено внимателно да се следи во Active Directory околини.

Ако по септемвриското ажурирање одеднаш повеќе корисници на еден Windows 11 компјутер веќе не можат да се најават на доменот, иако податоците за најава се точни, вреди да се провери довербата на компјутерот со доменот.

Најважниот прв тест гласи:

Test-ComputerSecureChannel

Ако командата врати False, многу веројатно постои проблем со Secure Channel на компјутерот кон доменот.

Бидејќи досегашните извештаи покажуваат дека едноставната поправка не помага трајно кај сите системи, засегнатите уреди треба прецизно да се документираат и не треба избрзано да се менуваат корисничките сметки или лозинките.

Состојба на овој напис: 14 септември 2026 г.

Го следиме развојот на настаните околу KB5124008 и ќе го ажурираме овој напис штом Microsoft објави официјален став или соодветна поправка.