14 września 2026 | Microsoft Windows | Active Directory | Bezpieczeństwo IT
Wraz z wrześniową aktualizacją zabezpieczeń KB5124008 dla systemu Windows 11 z 2026 r. mnożą się obecnie doniesienia o nietypowym problemie występującym w klasycznych środowiskach Active Directory.
Problem dotyczy w szczególności klientów z systemem Windows 11, które są członkami lokalnej domeny Active Directory. Po zainstalowaniu aktualizacji bezpieczny kanał (Secure Channel) między komputerem a kontrolerem domeny może zostać uszkodzony.
Skutek: komputer jest wprawdzie nadal fizycznie osiągalny w sieci, ale logowanie do domeny nagle przestaje działać.
Czym jest KB5124008?
Microsoft opublikował KB5124008 8 września 2026 r. jako aktualizację zabezpieczeń dla systemu Windows 11 w wersjach 24H2 i 25H2.
W systemie Windows 11 25H2 aktualizacja podnosi system do kompilacji 26200.9445, a w systemie Windows 11 24H2 do kompilacji 26100.9445. Microsoft opisuje tę aktualizację zasadniczo jako aktualizację zabezpieczeń i jakości.
Microsoft dokumentuje już obecnie kilka znanych problemów związanych z KB5124008, m.in. problemy z usługami pulpitu zdalnego (Remote Desktop Services), urządzeniami audio USB oraz maszynami wirtualnymi z systemem Linux opartymi na Hyper-V. Problem z bezpiecznym kanałem Active Directory nie jest jednak obecnie jeszcze wymieniony w oficjalnej dokumentacji KB jako znany problem (Known Issue).
Sedno problemu: bezpieczny kanał do domeny
Komputer należący do domeny ma własne konto komputera w usłudze Active Directory.
Między komputerem a kontrolerem domeny istnieje tzw. Secure Channel (bezpieczny kanał). Jest on potrzebny m.in. do utrzymania relacji zaufania między komputerem a domeną.
Jeśli ten kanał zostanie uszkodzony, użytkownik może w pewnych okolicznościach nagle stracić możliwość logowania do domeny.
Co szczególnie podstępne:
Nazwa użytkownika i hasło nadal są poprawne.
Windows zgłasza na przykład:
„Nazwa użytkownika lub hasło są nieprawidłowe.”
W rzeczywistości problem nie leży jednak w haśle użytkownika, lecz w relacji zaufania między komputerem a domeną.
Typowy obraz błędu
W opublikowanym przez jednego z administratorów i możliwym do odtworzenia przypadku wystąpiło następujące zachowanie:
Windows 11 25H2
Kompilacja 26200.9445
Aktualizacja KB5124008
klasyczna domena Active Directory
kontroler domeny z systemem Windows Server 2019
Po zainstalowaniu aktualizacji logowanie początkowo jeszcze działało. Po pewnym czasie relacja zaufania została jednak uszkodzona.
Administrator był w stanie odtworzyć błąd na kilku urządzeniach: zainstalowanie aktualizacji → pojawienie się problemu → usunięcie aktualizacji → zniknięcie problemu. Po ponownym zainstalowaniu KB5124008 błąd wystąpił ponownie.
Interesujące jest ponadto to, że także inny administrator zgłasza problemy z kontrolerami domeny Windows Server 2022. W kolejnych relacjach z doświadczeń problem jest opisywany nawet przy różnych wersjach kontrolerów domeny. Przemawia to obecnie przeciwko pochopnemu zakładaniu błędu ograniczonego wyłącznie do Windows Server 2019.
Jak sprawdzić, czy wystąpił ten błąd
Jeśli dotknięty problemem komputer można jeszcze uruchomić przy użyciu lokalnego konta administratora lub zapisanych w pamięci podręcznej poświadczeń domenowych, połączenie Secure Channel można sprawdzić za pomocą programu PowerShell.
Jako administrator:
Test-ComputerSecureChannel
W przypadku prawidłowo działającego kanału Secure Channel polecenie powinno zwrócić:
True
Na komputerze dotkniętym problemem może natomiast pojawić się:
False
(zamiast True).
Dodatkowo można sprawdzić za pomocą narzędzia nltest:
nltest /sc_query:DOMAIN
Może przy tym wystąpić na przykład błąd
ERROR_NO_TRUST_LSA_SECRET (1786)
wystąpić.
Dokładnie taki obraz błędu został udokumentowany w zgłoszeniu w Microsoft Q&A.
Ważne: nie resetuj od razu hasła użytkownika
Obraz błędu kusi, aby w pierwszej kolejności zresetować hasło dotkniętego problemem użytkownika.
W tym przypadku zazwyczaj nie jest to jednak właściwy kierunek.
Jeśli kilku użytkowników na tym samym komputerze nagle nie może zalogować się przez domenę, podczas gdy na przykład logowanie z użyciem zapisanych w pamięci podręcznej poświadczeń nadal działa w trybie offline, należy najpierw sprawdzić relację zaufania komputera.
Typową wskazówką jest sytuacja, gdy:
Test-ComputerSecureChannel
zwraca:
False
Możliwa próba naprawy
Jako pierwszą próbę naprawy można ponownie nawiązać bezpieczny kanał (Secure Channel):
Test-ComputerSecureChannel -Repair
w razie potrzeby wraz z danymi logowania konta domenowego o odpowiednich uprawnieniach.
Alternatywnie można zresetować hasło konta komputera za pomocą PowerShell.
Należy jednak zachować ostrożność:
W dotychczas zgłoszonych przypadkach naprawa nie zawsze przynosi trwały efekt.
W pierwotnym przypadku opisanym w Microsoft Q&A polecenie Test-ComputerSecureChannel -Repair na przykład nie wystarczyło. Komputer trzeba było ostatecznie usunąć z domeny, a następnie ponownie do niej dołączyć.
Inni administratorzy informują natomiast, że polecenie Repair pomogło przynajmniej tymczasowo. Wygląda więc na to, że objawy nie są identyczne we wszystkich dotkniętych systemach.
Gdy naprawa nie wystarcza
Jeśli Secure Channel nadal jest uszkodzony, bardziej pracochłonnym rozwiązaniem może być ponowne dołączenie komputera do domeny.
W uproszczeniu:
Umożliwić logowanie lokalne na konto administratora
Usunąć komputer z domeny
Uruchomić ponownie komputer
Ponownie dołączyć komputer do domeny
Jeszcze raz uruchomić ponownie
Przetestować logowanie do domeny
W udokumentowanym przypadku odtworzenia błędu właśnie ta procedura była konieczna, aby trwale usunąć problem.
Czy należy obecnie wstrzymać instalację KB5124008?
Tutaj warto rozróżnić kilka kwestii.
KB5124008 to aktualizacja zabezpieczeń i nie należy jej bezrefleksyjnie odinstalowywać we wszystkich środowiskach.
Jednocześnie administratorzy klasycznych środowisk Active Directory powinni obecnie szczególnie uważnie obserwować przebieg instalacji.
Wraz z KB5124008 Microsoft publikuje istotne poprawki zabezpieczeń. Aktualizacja jest ponadto dystrybuowana za pośrednictwem Windows Update, Windows Update for Business oraz WSUS.
W środowiskach produkcyjnych zaleca się zatem kontrolowane wdrożenie:
Grupa testowa → obserwacja → większa grupa → pełne wdrożenie
a niekoniecznie:
Aktualizacja wszystkich klientów jednocześnie.
Zwłaszcza na urządzeniach, które są niezbędne do codziennego logowania użytkowników, powinno być ponadto dostępne lokalne konto administratora lub działająca procedura odzyskiwania.
Co obecnie zalecamy
Firmom korzystającym z klasycznego Active Directory zalecamy obecnie:
1. Sprawdzenie, które wersje Windows 11 są objęte problemem
Na kliencie:
winver
lub:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Sprawdzenie, czy zainstalowano KB5124008
Get-HotFix -Id KB5124008
3. W przypadku problemów z logowaniem sprawdzenie Secure Channel
Test-ComputerSecureChannel
4. Przy wyniku False najpierw próba naprawy
Test-ComputerSecureChannel -Repair
5. Przy powtarzających się problemach udokumentowanie przyczyny
W szczególności należy odnotować następujące informacje:
Wersja systemu Windows
Kompilacja systemu operacyjnego
zainstalowane aktualizacje KB
Wersja kontrolera domeny
Czas wystąpienia problemu
Wynik polecenia Test-ComputerSecureChannel
Wynik polecenia nltest /sc_query
Zdarzenia na kliencie i kontrolerze domeny
Dzięki temu można znacznie łatwiej ustalić, czy problem rzeczywiście ma związek z aktualizacją.
Ostateczna przyczyna nie została jeszcze potwierdzona
W tym miejscu konieczne jest ważne zastrzeżenie:
Związek między KB5124008 a uszkodzonymi bezpiecznymi kanałami domeny (Secure Channel) jest obecnie zgłaszany przez administratorów jako odtwarzalny, ale według aktualnego stanu wiedzy nie figuruje jako znany problem (Known Issue) w oficjalnej dokumentacji KB firmy Microsoft.
Oryginalne zgłoszenie w Microsoft Q&A opisuje powtarzalną sytuację z Windows 11 25H2 i kontrolerami domeny Windows Server 2019. Inni administratorzy zgłaszają podobne problemy, między innymi z Windows Server 2022.
Również z tego powodu nie należy pochopnie twierdzić, że KB5124008 jest na pewno przyczyną każdego obecnie występującego błędu „Trust Relationship”.
Nadal trzeba wykluczyć inne przyczyny, takie jak problemy z DNS, rozbieżności czasu, problemy z kontem komputera lub komponenty sieciowe/VPN.
Podsumowanie
W środowiskach Active Directory aktualizację KB5124008 należy obecnie obserwować szczególnie uważnie.
Jeśli po wrześniowej aktualizacji nagle kilku użytkowników komputera z systemem Windows 11 nie może zalogować się do domeny, mimo że dane logowania są poprawne, warto sprawdzić relację zaufania komputera z domeną.
Najważniejszy pierwszy test to:
Test-ComputerSecureChannel
Jeśli polecenie zwraca False, najprawdopodobniej występuje problem z bezpiecznym kanałem (Secure Channel) między komputerem a domeną.
Ponieważ dotychczasowe doniesienia pokazują, że prosta naprawa nie we wszystkich systemach pomaga trwale, warto dokładnie dokumentować dotknięte problemem urządzenia i nie zmieniać pochopnie kont użytkowników ani haseł.
Stan tego wpisu: 14 września 2026 r.
Obserwujemy rozwój sytuacji wokół KB5124008 i zaktualizujemy ten wpis, gdy tylko Microsoft opublikuje oficjalne stanowisko lub odpowiednią poprawkę.