14 september 2026 | Microsoft Windows | Active Directory | IT-beveiliging
Sinds de beveiligingsupdate van september 2026 KB5124008 voor Windows 11 verschijnen er steeds meer meldingen over een ongebruikelijk probleem in klassieke Active Directory-omgevingen.
Het probleem treft vooral Windows 11-clients die lid zijn van een lokaal Active Directory-domein. Na de installatie van de update kan het beveiligde kanaal tussen de computer en de domeincontroller beschadigd raken.
Het gevolg: de computer is fysiek nog steeds bereikbaar via het netwerk, maar aanmelden bij het domein werkt plotseling niet meer.
Wat is KB5124008?
Microsoft heeft KB5124008 op 8 september 2026 uitgebracht als beveiligingsupdate voor Windows 11 24H2 en 25H2.
Met deze update krijgt Windows 11 25H2 build 26200.9445 en Windows 11 24H2 build 26100.9445. Microsoft omschrijft de update in algemene zin als een beveiligings- en kwaliteitsupdate.
Microsoft heeft inmiddels al verschillende bekende problemen met KB5124008 gedocumenteerd, waaronder problemen met Remote Desktop Services, USB-audioapparaten en Linux-VM's op basis van Hyper-V. Een probleem met het beveiligde kanaal van Active Directory staat momenteel echter nog niet als bekend probleem vermeld in de officiële KB-documentatie.
Het eigenlijke probleem: het beveiligde kanaal naar het domein
Een domeincomputer heeft een eigen computeraccount in Active Directory.
Tussen de computer en een domeincontroller bestaat een zogenaamd Secure Channel. Dit kanaal is onder meer nodig voor de vertrouwensrelatie tussen de computer en het domein.
Als dit kanaal beschadigd raakt, kan een gebruiker zich mogelijk plotseling niet meer bij het domein aanmelden.
Het bijzonder verraderlijke hieraan:
De gebruikersnaam en het wachtwoord zijn nog steeds correct.
Windows meldt bijvoorbeeld:
‘De gebruikersnaam of het wachtwoord is onjuist.’
In werkelijkheid ligt het probleem echter niet bij het wachtwoord van de gebruiker, maar bij de vertrouwensrelatie tussen de computer en het domein.
Typische symptomen
In een door een beheerder gepubliceerd en reproduceerbaar geval trad het volgende gedrag op:
Windows 11 25H2
Build 26200.9445
Update KB5124008
klassiek Active Directory-domein
domeincontroller met Windows Server 2019
Na de installatie van de update werkte het aanmelden aanvankelijk nog. Na enige tijd was de vertrouwensrelatie echter beschadigd.
De beheerder kon de fout op meerdere apparaten reproduceren: update installeren → probleem treedt op → update verwijderen → probleem verdwijnt. Na het opnieuw installeren van KB5124008 trad de fout opnieuw op.
Opvallend is verder dat ook een andere beheerder problemen met Windows Server 2022-domeincontrollers meldt. In andere ervaringsverslagen wordt het probleem zelfs bij verschillende versies van domeincontrollers beschreven. Dat pleit er voorlopig tegen om overhaast aan te nemen dat de fout uitsluitend bij Windows Server 2019 optreedt.
Zo controleert u of de fout optreedt
Als aanmelden op een getroffen computer nog mogelijk is met een lokaal beheerdersaccount of met in de cache opgeslagen domeinreferenties, kun je de Secure Channel-verbinding met PowerShell controleren.
Als beheerder:
Test-ComputerSecureChannel
Bij een werkend Secure Channel zou het volgende moeten worden teruggegeven:
True
Bij een getroffen computer kan daarentegen:
False
verschijnen.
Daarnaast kan met nltest worden gecontroleerd:
nltest /sc_query:DOMAIN
Daarbij kan bijvoorbeeld de fout
ERROR_NO_TRUST_LSA_SECRET (1786)
optreden.
Precies dit foutbeeld is in de Microsoft-Q&A-case gedocumenteerd.
Belangrijk: niet meteen het gebruikerswachtwoord resetten
Het foutbeeld verleidt ertoe om eerst het wachtwoord van de betreffende gebruiker te resetten.
In dit geval is dat echter normaal gesproken niet de juiste aanpak.
Als meerdere gebruikers op dezelfde pc plotseling niet meer via het domein kunnen aanmelden, terwijl bijvoorbeeld een in de cache opgeslagen aanmelding offline nog wel werkt, moet eerst de computervertrouwensrelatie worden gecontroleerd.
Een typische aanwijzing is:
Test-ComputerSecureChannel
geeft terug:
False
Mogelijke reparatiepoging
Als eerste reparatiepoging kan het Secure Channel opnieuw tot stand worden gebracht:
Test-ComputerSecureChannel -Repair
eventueel met de aanmeldgegevens van een domeinaccount met de juiste rechten.
Als alternatief kan het wachtwoord van het computeraccount met PowerShell worden gereset.
Daarbij is echter voorzichtigheid geboden:
In de tot nu toe gemelde gevallen biedt het herstel niet altijd een blijvende oplossing.
In het oorspronkelijke geval op Microsoft Q&A volstond Test-ComputerSecureChannel -Repair bijvoorbeeld niet. Daar moest de computer uiteindelijk uit het domein worden verwijderd en vervolgens opnieuw aan het domein worden toegevoegd.
Andere beheerders melden daarentegen dat de Repair-opdracht in elk geval tijdelijk heeft geholpen. Het probleem lijkt zich dus niet op alle getroffen systemen op dezelfde manier voor te doen.
Als het herstel niet voldoende is
Als het Secure Channel nog steeds defect is, kan als ingrijpender maatregel een nieuwe Domain Join nodig zijn.
In grote lijnen:
Lokaal aanmelden met een beheerdersaccount mogelijk maken
Computer uit het domein verwijderen
Computer opnieuw opstarten
Computer opnieuw aan het domein toevoegen
Nogmaals opnieuw opstarten
Domeinaanmelding testen
In het gedocumenteerde geval waarin het probleem werd gereproduceerd, was precies deze procedure nodig om de fout blijvend te verhelpen.
Moet de installatie van KB5124008 voorlopig worden uitgesteld?
Hier is enige nuance op zijn plaats.
KB5124008 is een beveiligingsupdate en moet niet zomaar in alle omgevingen worden verwijderd.
Tegelijkertijd moeten beheerders van klassieke Active Directory-omgevingen de installatie momenteel extra nauwlettend volgen.
Microsoft brengt met KB5124008 belangrijke beveiligingsverbeteringen uit. De update wordt bovendien verspreid via Windows Update, Windows Update for Business en WSUS.
Voor productieomgevingen is daarom een gecontroleerde uitrol aan te raden:
Testgroep → monitoren → grotere groep → volledige uitrol
en niet per se:
Alle clients tegelijk bijwerken.
Vooral op apparaten waarop gebruikers zich dagelijks moeten aanmelden, moet bovendien een lokaal beheerdersaccount of een werkende herstelmogelijkheid beschikbaar zijn.
Wat wij op dit moment aanbevelen
Voor organisaties met een klassieke Active Directory bevelen wij op dit moment het volgende aan:
1. Controleer de betrokken Windows 11-versies
Op een client:
winver
of:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Controleer of KB5124008 is geïnstalleerd
Get-HotFix -Id KB5124008
3. Controleer bij aanmeldproblemen het beveiligde kanaal
Test-ComputerSecureChannel
4. Probeer bij False eerst een reparatie uit te voeren
Test-ComputerSecureChannel -Repair
5. Documenteer de oorzaak bij terugkerende problemen
Leg met name de volgende gegevens vast:
Windows-versie
OS-build
geïnstalleerde KB-updates
Versie van de domeincontroller
Tijdstip waarop het probleem optrad
Resultaat van Test-ComputerSecureChannel
Resultaat van nltest /sc_query
Gebeurtenissen op de client en de domeincontroller
Daarmee is veel beter vast te stellen of er daadwerkelijk een verband met de update bestaat.
Nog geen definitieve oorzaak bevestigd
Hierbij is een belangrijke kanttekening op zijn plaats:
Het verband tussen KB5124008 en beschadigde domain secure channels wordt momenteel door beheerders als reproduceerbaar gemeld, maar staat op dit moment niet als bijbehorend Known Issue vermeld in de officiële KB-documentatie van Microsoft.
De oorspronkelijke melding op Microsoft Q&A beschrijft een reproduceerbare situatie met Windows 11 25H2 en Windows Server 2019-domeincontrollers. Andere beheerders melden vergelijkbare problemen met onder meer Windows Server 2022.
Ook daarom is het voorbarig om te stellen dat KB5124008 zonder twijfel de oorzaak is van elke actuele 'Trust Relationship'-fout.
Andere oorzaken, zoals DNS-problemen, tijdsafwijkingen, problemen met het computeraccount of netwerk-/VPN-componenten, moeten nog steeds worden uitgesloten.
Conclusie
KB5124008 moet momenteel in Active Directory-omgevingen extra goed in de gaten worden gehouden.
Als na de septemberupdate plotseling meerdere gebruikers van een Windows 11-pc zich niet meer bij het domein kunnen aanmelden terwijl hun aanmeldgegevens correct zijn, is het de moeite waard om de vertrouwensrelatie van de computer te controleren.
De belangrijkste eerste test is:
Test-ComputerSecureChannel
Geeft de opdracht False terug, dan is er zeer waarschijnlijk een probleem met het secure channel tussen de computer en het domein.
Omdat uit de meldingen tot nu toe blijkt dat een eenvoudige reparatie niet op alle systemen blijvend helpt, is het verstandig om getroffen apparaten nauwkeurig te documenteren en niet overhaast gebruikersaccounts of wachtwoorden te wijzigen.
Stand van dit artikel: 14 september 2026.
We volgen de ontwikkelingen rond KB5124008 en werken dit artikel bij zodra Microsoft een officiële verklaring of een bijbehorende fix publiceert.