14. september 2026 | Microsoft Windows | Active Directory | IT-sikkerhet

Med sikkerhetsoppdateringen KB5124008 for Windows 11 fra september 2026 kommer det for tiden stadig flere rapporter om et uvanlig problem i klassiske Active Directory-miljøer.

Spesielt berørt er Windows 11-klienter som er medlem av et lokalt Active Directory-domene. Etter installasjon av oppdateringen kan Secure Channel mellom datamaskinen og domenekontrolleren bli skadet.

Resultatet: Datamaskinen er fortsatt fysisk tilgjengelig i nettverket, men domenepålogging fungerer plutselig ikke lenger.

Hva er KB5124008?

Microsoft lanserte KB5124008 den 8. september 2026 som sikkerhetsoppdatering for Windows 11 24H2 og 25H2.

På Windows 11 25H2 fører oppdateringen til build 26200.9445, på Windows 11 24H2 til build 26100.9445. Microsoft beskriver i utgangspunktet oppdateringen som en sikkerhets- og kvalitetsoppdatering.

Microsoft dokumenterer allerede flere kjente problemer knyttet til KB5124008, blant annet problemer med Remote Desktop Services, USB-lydenheter og Hyper-V-baserte Linux-VM-er. Et problem med Active Directory Secure Channel er imidlertid foreløpig ikke oppført som Known Issue i den offisielle KB-dokumentasjonen.

Det egentlige problemet: Secure Channel til domenet

En domenedatamaskin har sin egen datamaskinkonto i Active Directory.

Mellom datamaskinen og en domenekontroller finnes det en såkalt Secure Channel. Denne brukes blant annet for klareringsforholdet mellom datamaskinen og domenet.

Hvis denne kanalen blir skadet, kan en bruker under visse omstendigheter plutselig ikke lenger logge på domenet.

Det spesielt lumske:

Brukernavnet og passordet er fortsatt riktige.

Windows melder for eksempel:

«Brukernavnet eller passordet er feil.»

I virkeligheten ligger problemet imidlertid ikke i brukerpassordet, men i datamaskinens klareringsforhold til domenet.

Typisk feilbilde

I et reproduserbart tilfelle publisert av en administrator oppsto følgende atferd:

• Windows 11 25H2

• Build 26200.9445

• Oppdatering KB5124008

• klassisk Active Directory-domene

• Domenekontroller på Windows Server 2019

Etter installasjonen av oppdateringen fungerte påloggingen i første omgang fortsatt. Etter en stund var imidlertid klareringsforholdet ødelagt.

Administratoren kunne reprodusere feilen på flere enheter: installere oppdateringen → problemet oppstår → fjerne oppdateringen → problemet forsvinner. Etter en ny installasjon av KB5124008 oppsto feilen på nytt.

Det er dessuten interessant at en annen administrator også rapporterer om problemer med Windows Server 2022-domenekontrollere. I flere erfaringsrapporter beskrives problemet til og med med ulike versjoner av domenekontrollere. Dette taler for øyeblikket mot å for raskt gå ut fra en feil som utelukkende er begrenset til Windows Server 2019.

Slik kan du kontrollere feilen

Hvis en berørt maskin fortsatt kan startes med en lokal administratorkonto eller via bufrede domenepåloggingsopplysninger, kan Secure Channel-forbindelsen kontrolleres med PowerShell.

Som administrator:

Test-ComputerSecureChannel

Hvis Secure Channel fungerer, skal dette returneres:

True

På en berørt maskin kan derimot:

False

vises.

I tillegg kan man kontrollere med nltest:

nltest /sc_query:DOMAIN

Da kan for eksempel feilen

ERROR_NO_TRUST_LSA_SECRET (1786)

oppstå.

Nøyaktig dette feilbildet ble dokumentert i Microsoft-Q&A-saken.

Viktig: Ikke tilbakestill brukerpassordet med en gang

Feilbildet frister til først å tilbakestille passordet til den berørte brukeren.

I dette tilfellet er det imidlertid normalt ikke riktig vei å gå.

Hvis flere brukere på samme PC plutselig ikke lenger kan logge på via domenet, mens for eksempel en bufret pålogging fortsatt fungerer frakoblet, bør datamaskinens klareringsforhold kontrolleres først.

Et typisk tegn er:

Test-ComputerSecureChannel

gir:

False

Mulig reparasjonsforsøk

Som et første reparasjonsforsøk kan man gjenopprette Secure Channel:

Test-ComputerSecureChannel -Repair

eventuelt sammen med påloggingsopplysningene til en domenekonto med tilstrekkelige rettigheter.

Alternativt kan passordet til datamaskinkontoen tilbakestilles med PowerShell.

Her bør man imidlertid være forsiktig:

I tilfellene som er rapportert så langt, har reparasjonen ikke alltid vært varig vellykket.

I det opprinnelige Microsoft Q&A-tilfellet var for eksempel Test-ComputerSecureChannel -Repair ikke tilstrekkelig. Der måtte maskinen til slutt fjernes fra domenet og deretter legges til i domenet på nytt.

Andre administratorer melder derimot at Repair-kommandoen i det minste har hjulpet midlertidig. Feilbildet ser derfor ikke ut til å være identisk på alle berørte systemer.

Når reparasjonen ikke er nok

Hvis Secure Channel fortsatt er defekt, kan en ny domain join være nødvendig som et mer omfattende tiltak.

Forenklet:

1. Gjør det mulig å logge på lokalt med en administratorkonto

2. Fjern datamaskinen fra domenet

3. Start datamaskinen på nytt

4. Legg datamaskinen til i domenet igjen

5. Start på nytt en gang til

6. Test domenepålogging

I det dokumenterte reproduksjonstilfellet var nettopp denne fremgangsmåten nødvendig for å fjerne feilen permanent.

Bør KB5124008 holdes tilbake for øyeblikket?

Her bør man skille mellom ulike situasjoner.

KB5124008 er en sikkerhetsoppdatering og bør ikke uten videre avinstalleres i alle miljøer.

Samtidig bør administratorer med klassiske Active Directory-miljøer for tiden følge spesielt nøye med på installasjonen.

Med KB5124008 publiserer Microsoft viktige sikkerhetsforbedringer. Oppdateringen distribueres dessuten via Windows Update, Windows Update for Business og WSUS.

For produksjonsmiljøer anbefales derfor en kontrollert utrulling:

Testgruppe → observere → større gruppe → fullstendig utrulling

og ikke nødvendigvis:

Oppdatere alle klienter samtidig.

Særlig på enheter som brukerne trenger for den daglige påloggingen, bør det dessuten finnes en lokal administratorkonto eller en fungerende gjenopprettingsmulighet.

Hva vi anbefaler nå

For virksomheter med klassisk Active Directory anbefaler vi for tiden:

1. Kontroller berørte Windows 11-versjoner

På en klient:

winver

eller:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Sjekk om KB5124008 er installert

Get-HotFix -Id KB5124008

3. Sjekk Secure Channel ved påloggingsproblemer

Test-ComputerSecureChannel

4. Forsøk først en reparasjon ved False

Test-ComputerSecureChannel -Repair

5. Dokumenter årsaken ved gjentatte problemer

Spesielt bør følgende informasjon noteres:

• Windows-versjon

• OS-build

• installerte KB-oppdateringer

• Versjon av domenekontrolleren

• Tidspunkt for når problemet oppstod

• Resultat av Test-ComputerSecureChannel

• Resultat av nltest /sc_query

• Hendelser på klient og domenekontroller

Dermed blir det vesentlig enklere å fastslå om det faktisk finnes en sammenheng med oppdateringen.

Ingen endelig årsak bekreftet ennå

Her er det nødvendig med et viktig forbehold:

Sammenhengen mellom KB5124008 og ødelagte domene-secure-channels rapporteres for øyeblikket som reproduserbar av administratorer, men er per i dag ikke oppført som et tilsvarende kjent problem (Known Issue) i Microsofts offisielle KB-dokumentasjon.

Den opprinnelige Microsoft Q&A-rapporten beskriver en reproduserbar situasjon med Windows 11 25H2 og domenekontrollere med Windows Server 2019. Andre administratorer melder om lignende problemer, blant annet med Windows Server 2022.

Også derfor bør man ikke forhastet hevde at KB5124008 definitivt er årsaken til enhver aktuell «Trust Relationship»-feil.

Andre årsaker som DNS-problemer, tidsavvik, problemer med datamaskinkontoen eller nettverks-/VPN-komponenter må fortsatt utelukkes.

Konklusjon

KB5124008 bør for øyeblikket følges spesielt nøye med på i Active Directory-miljøer.

Hvis flere brukere av en Windows 11-PC plutselig ikke lenger kan logge på domenet etter september-oppdateringen, selv om påloggingsopplysningene er riktige, er det verdt å ta en titt på datamaskinens klareringsforhold.

Den viktigste første testen er:

Test-ComputerSecureChannel

Returnerer kommandoen False, er det svært sannsynlig et problem med datamaskinens secure channel til domenet.

Siden rapportene så langt viser at en enkel reparasjon ikke hjelper varig på alle systemer, bør man dokumentere berørte enheter nøye og ikke endre brukerkontoer eller passord forhastet.

Sist oppdatert: 14. september 2026.

Vi følger utviklingen rundt KB5124008 og oppdaterer denne artikkelen så snart Microsoft publiserer en offisiell uttalelse eller en tilhørende feilretting.