14 de setembro de 2026 | Microsoft Windows | Active Directory | Segurança informática
Com a atualização de segurança de setembro de 2026 KB5124008 para o Windows 11, multiplicam-se atualmente os relatos de um problema invulgar em ambientes clássicos de Active Directory.
São afetados sobretudo os clientes Windows 11 que são membros de um domínio Active Directory local. Após a instalação da atualização, o Secure Channel entre o computador e o Domain Controller pode ficar danificado.
A consequência: o computador continua fisicamente acessível na rede, mas o início de sessão no domínio deixa subitamente de funcionar.
O que é a KB5124008?
A Microsoft publicou a KB5124008 a 8 de setembro de 2026 como atualização de segurança para o Windows 11 24H2 e 25H2.
No Windows 11 25H2, a atualização leva à build 26200.9445 e, no Windows 11 24H2, à build 26100.9445. A Microsoft descreve a atualização, em termos gerais, como uma atualização de segurança e de qualidade.
A Microsoft documenta já atualmente vários problemas conhecidos relacionados com a KB5124008, entre os quais problemas com os Remote Desktop Services, dispositivos de áudio USB e VMs Linux baseadas em Hyper-V. No entanto, um problema com o Secure Channel do Active Directory ainda não consta, de momento, como Known Issue na documentação oficial da KB.
O verdadeiro problema: o Secure Channel para o domínio
Um computador de domínio possui a sua própria conta de computador no Active Directory.
Entre o computador e um controlador de domínio existe um chamado Secure Channel. Este é necessário, entre outras coisas, para a relação de confiança entre o computador e o domínio.
Se este canal ficar danificado, um utilizador pode, em determinadas circunstâncias, deixar subitamente de conseguir iniciar sessão no domínio.
O mais traiçoeiro:
O nome de utilizador e a palavra-passe continuam a estar corretos.
O Windows apresenta, por exemplo, a mensagem:
«O nome de utilizador ou a palavra-passe está incorreto.»
Na verdade, porém, o problema não está na palavra-passe do utilizador, mas sim na relação de confiança do computador com o domínio.
Sintomas típicos
Num caso publicado por um administrador e reproduzível, verificou-se o seguinte comportamento:
Windows 11 25H2
Compilação 26200.9445
Atualização KB5124008
domínio Active Directory clássico
Controlador de domínio com Windows Server 2019
Após a instalação da atualização, o início de sessão continuou inicialmente a funcionar. Passado algum tempo, porém, a relação de confiança ficou danificada.
O administrador conseguiu reproduzir o erro em vários dispositivos: instalar a atualização → o problema surge → remover a atualização → o problema desaparece. Após uma nova instalação da KB5124008, o erro voltou a ocorrer.
É também interessante que outro administrador relate igualmente problemas com controladores de domínio Windows Server 2022. Noutros relatos de experiência, o problema é descrito até com diferentes versões de controladores de domínio. Isto desaconselha, atualmente, concluir precipitadamente que se trata de um erro limitado exclusivamente ao Windows Server 2019.
Como verificar o erro
Se um computador afetado ainda puder ser iniciado com uma conta de administrador local ou através de credenciais de domínio em cache, a ligação do Secure Channel pode ser verificada com o PowerShell.
Como administrador:
Test-ComputerSecureChannel
Com um Secure Channel a funcionar corretamente, o resultado devolvido deverá ser:
True
Num computador afetado, pelo contrário, pode aparecer:
False
.
Adicionalmente, é possível verificar com o nltest:
nltest /sc_query:DOMAIN
Nesse caso, pode ocorrer, por exemplo, o erro
ERROR_NO_TRUST_LSA_SECRET (1786)
ocorrer.
Foi precisamente este padrão de erro que ficou documentado no caso do Microsoft Q&A.
Importante: não repor imediatamente a palavra-passe do utilizador
O padrão de erro leva a que se comece por repor a palavra-passe do utilizador afetado.
No entanto, neste caso, essa não é normalmente a abordagem correta.
Se vários utilizadores no mesmo PC deixarem subitamente de conseguir iniciar sessão através do domínio, enquanto, por exemplo, um início de sessão em cache continua a funcionar offline, deve verificar-se primeiro a relação de confiança do computador.
Um indício típico é:
Test-ComputerSecureChannel
devolve:
False
Possível tentativa de reparação
Como primeira tentativa de reparação, pode restabelecer-se o Secure Channel:
Test-ComputerSecureChannel -Repair
se necessário, em conjunto com as credenciais de uma conta de domínio com as permissões adequadas.
Em alternativa, a palavra-passe da conta de computador pode ser reposta com o PowerShell.
No entanto, é necessário ter cuidado:
Nos casos comunicados até agora, a reparação nem sempre é bem-sucedida de forma duradoura.
No caso original do Microsoft Q&A, por exemplo, o Test-ComputerSecureChannel -Repair não foi suficiente. Aí, o computador acabou por ter de ser removido do domínio e, em seguida, novamente adicionado ao domínio.
Outros administradores relatam, pelo contrário, que o comando de reparação ajudou, pelo menos temporariamente. Por isso, o problema parece não ser idêntico em todos os sistemas afetados.
Quando a reparação não é suficiente
Se o Secure Channel continuar danificado, pode ser necessária, como medida mais trabalhosa, uma nova adesão ao domínio (Domain Join).
De forma simplificada:
Permitir o início de sessão local com uma conta de administrador
Remover o computador do domínio
Reiniciar o computador
Voltar a adicionar o computador ao domínio
Reiniciar novamente
Testar o início de sessão no domínio
No caso de reprodução documentado, foi precisamente este procedimento que se revelou necessário para eliminar o erro de forma permanente.
A KB5124008 deve ser retida por agora?
Aqui convém fazer uma distinção.
A KB5124008 é uma atualização de segurança e não deve ser simplesmente desinstalada de forma generalizada em todos os ambientes.
Ao mesmo tempo, os administradores com ambientes clássicos de Active Directory devem, neste momento, acompanhar a instalação com especial atenção.
Com a KB5124008, a Microsoft disponibiliza melhorias de segurança importantes. Além disso, a atualização é distribuída através do Windows Update, do Windows Update for Business e do WSUS.
Por isso, para ambientes de produção recomenda-se uma implementação controlada:
Grupo de teste → observar → grupo maior → implementação completa
e não necessariamente:
Atualizar todos os clientes em simultâneo.
Sobretudo nos dispositivos necessários para o início de sessão diário dos utilizadores, deve existir ainda uma conta de administrador local ou uma opção de recuperação funcional.
O que recomendamos atualmente
Para empresas com Active Directory clássico, recomendamos atualmente:
1. Verificar as versões do Windows 11 afetadas
Num cliente:
winver
ou:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Verificar se a KB5124008 foi instalada
Get-HotFix -Id KB5124008
3. Em caso de problemas de início de sessão, verificar o Secure Channel
Test-ComputerSecureChannel
4. Se o resultado for False, tentar primeiro uma reparação
Test-ComputerSecureChannel -Repair
5. Em caso de problemas recorrentes, documentar a causa
Devem ser registadas, em particular, as seguintes informações:
Versão do Windows
Compilação do SO
atualizações KB instaladas
Versão do controlador de domínio
Momento da ocorrência
Resultado de Test-ComputerSecureChannel
Resultado de nltest /sc_query
Eventos no cliente e no controlador de domínio
Assim, torna-se muito mais fácil determinar se existe efetivamente uma relação com a atualização.
Ainda não há uma causa definitiva confirmada
Neste ponto, é necessária uma ressalva importante:
A relação entre a KB5124008 e canais seguros de domínio danificados está atualmente a ser reportada de forma reproduzível por administradores, mas, segundo o estado atual, não consta como Known Issue correspondente na documentação oficial da KB da Microsoft.
O relatório original do Microsoft Q&A descreve uma situação reproduzível com o Windows 11 25H2 e controladores de domínio Windows Server 2019. Outros administradores reportam problemas semelhantes, nomeadamente com o Windows Server 2022.
Também por isso não se deve afirmar precipitadamente que a KB5124008 é definitivamente a causa de todos os erros atuais de «Trust Relationship».
Outras causas, como problemas de DNS, desvios de hora, problemas com a conta de computador ou componentes de rede/VPN, continuam a ter de ser excluídas.
Conclusão
A KB5124008 deve, neste momento, ser observada com especial atenção em ambientes Active Directory.
Se, após a atualização de setembro, vários utilizadores de um PC com Windows 11 deixarem subitamente de conseguir iniciar sessão no domínio, apesar de as credenciais estarem corretas, vale a pena verificar a relação de confiança do computador.
O primeiro teste mais importante é:
Test-ComputerSecureChannel
Se o comando devolver False, é muito provável que exista um problema com o canal seguro entre o computador e o domínio.
Como os relatos existentes mostram que uma simples reparação não resolve o problema de forma duradoura em todos os sistemas, convém documentar com rigor os dispositivos afetados e não alterar precipitadamente contas de utilizador ou palavras-passe.
Última atualização deste artigo: 14 de setembro de 2026.
Estamos a acompanhar a evolução em torno da KB5124008 e atualizaremos este artigo assim que a Microsoft publicar uma declaração oficial ou a respetiva correção.