14 septembrie 2026 | Microsoft Windows | Active Directory | Securitate IT

Odată cu actualizarea de securitate din septembrie 2026 KB5124008 pentru Windows 11, se înmulțesc în prezent rapoartele despre o problemă neobișnuită în mediile clasice Active Directory.

Sunt afectate în special clienții Windows 11 care sunt membri ai unui domeniu Active Directory local. După instalarea actualizării, canalul securizat (Secure Channel) dintre computer și controlerul de domeniu poate fi deteriorat.

Consecința: computerul rămâne accesibil fizic în rețea, însă autentificarea în domeniu încetează brusc să mai funcționeze.

Ce este KB5124008?

Microsoft a publicat KB5124008 pe 8 septembrie 2026 ca actualizare de securitate pentru Windows 11 24H2 și 25H2.

Pe Windows 11 25H2, actualizarea duce la build-ul 26200.9445, iar pe Windows 11 24H2 la build-ul 26100.9445. Microsoft descrie actualizarea, în principiu, ca o actualizare de securitate și de calitate.

Microsoft documentează deja în prezent mai multe probleme cunoscute legate de KB5124008, printre care probleme cu Remote Desktop Services, cu dispozitivele audio USB și cu mașinile virtuale Linux bazate pe Hyper-V. O problemă legată de canalul securizat Active Directory nu este însă încă menționată ca Known Issue în documentația oficială KB.

Problema propriu-zisă: canalul securizat către domeniu

Un computer membru al domeniului are propriul cont de computer în Active Directory.

Între computer și un controler de domeniu există un așa-numit Secure Channel (canal securizat). Acesta este necesar, printre altele, pentru relația de încredere dintre computer și domeniu.

Dacă acest canal este deteriorat, este posibil ca un utilizator să nu se mai poată autentifica brusc în domeniu.

Partea cea mai înșelătoare:

Numele de utilizator și parola rămân în continuare corecte.

Windows afișează, de exemplu:

„Numele de utilizator sau parola este incorectă.”

În realitate, problema nu ține de parola utilizatorului, ci de relația de încredere dintre computer și domeniu.

Simptome tipice

Într-un caz publicat de un administrator și care a putut fi reprodus, a apărut următorul comportament:

• Windows 11 25H2

• Build 26200.9445

• Actualizarea KB5124008

• domeniu Active Directory clasic

• Domain Controller cu Windows Server 2019

După instalarea actualizării, autentificarea a funcționat inițial în continuare. După un timp, însă, relația de încredere a fost deteriorată.

Administratorul a putut reproduce eroarea pe mai multe dispozitive: instalarea actualizării → apare problema → eliminarea actualizării → problema dispare. După o nouă instalare a KB5124008, eroarea a apărut din nou.

Interesant este, de asemenea, că și un alt administrator raportează probleme cu controlerele de domeniu Windows Server 2022. În alte relatări de experiență, problema este descrisă chiar la versiuni diferite de controlere de domeniu. Acest lucru contravine, în prezent, presupunerii pripite că ar fi vorba de o eroare limitată exclusiv la Windows Server 2019.

Cum poate fi verificată eroarea

Dacă un computer afectat mai poate fi pornit cu un cont de administrator local sau prin intermediul datelor de autentificare de domeniu stocate în cache, conexiunea Secure Channel poate fi verificată cu PowerShell.

Ca administrator:

Test-ComputerSecureChannel

Dacă Secure Channel funcționează, ar trebui să se returneze:

True

În schimb, pe un computer afectat poate apărea:

False

.

În plus, se poate verifica și cu nltest:

nltest /sc_query:DOMAIN

În acest caz poate apărea, de exemplu, eroarea

ERROR_NO_TRUST_LSA_SECRET (1786)

să apară.

Exact această imagine a erorii a fost documentată în cazul de pe Microsoft Q&A.

Important: nu resetați imediat parola utilizatorului

Simptomele erorii te îndeamnă să resetezi mai întâi parola utilizatorului afectat.

Însă, în acest caz, de regulă nu aceasta este direcția corectă.

Dacă mai mulți utilizatori de pe același PC nu se mai pot autentifica brusc prin domeniu, în timp ce, de exemplu, o autentificare din cache funcționează în continuare offline, ar trebui verificată mai întâi relația de încredere a computerului.

Un indiciu tipic este:

Test-ComputerSecureChannel

returnează:

False

Posibilă încercare de reparare

Ca primă încercare de reparare, se poate restabili canalul securizat (Secure Channel):

Test-ComputerSecureChannel -Repair

eventual împreună cu datele de autentificare ale unui cont de domeniu cu drepturile corespunzătoare.

Alternativ, parola contului de computer poate fi resetată cu PowerShell.

Totuși, aici se impune prudență:

În cazurile raportate până acum, repararea nu a avut întotdeauna succes de durată.

În cazul inițial din Microsoft Q&A, de exemplu, Test-ComputerSecureChannel -Repair nu a fost suficient. Acolo, computerul a trebuit în cele din urmă scos din domeniu și apoi reintrodus în domeniu.

În schimb, alți administratori raportează că comanda Repair a ajutat cel puțin temporar. Prin urmare, simptomele nu par să fie identice pe toate sistemele afectate.

Dacă repararea nu este suficientă

Dacă Secure Channel rămâne în continuare defect, poate fi necesară, ca măsură mai laborioasă, o nouă alăturare la domeniu (Domain Join).

Simplificat:

1. Permiteți autentificarea locală cu un cont de administrator

2. Scoateți computerul din domeniu

3. Reporniți computerul

4. Adăugați din nou computerul în domeniu

5. Reporniți din nou

6. Testați autentificarea în domeniu

În cazul de reproducere documentat, exact această procedură a fost necesară pentru a elimina definitiv eroarea.

Ar trebui ca KB5124008 să fie amânat în acest moment?

Aici trebuie făcută o distincție.

KB5124008 este o actualizare de securitate și nu ar trebui dezinstalată pur și simplu, în mod generalizat, în toate mediile.

În același timp, administratorii cu medii Active Directory clasice ar trebui să urmărească în prezent cu deosebită atenție instalarea acestuia.

Prin KB5124008, Microsoft publică îmbunătățiri importante de securitate. În plus, actualizarea este distribuită prin Windows Update, Windows Update for Business și WSUS.

Pentru mediile de producție se recomandă, prin urmare, un rollout controlat:

Grup de test → observare → grup mai mare → rollout complet

și nu neapărat:

Actualizarea tuturor clienților în același timp.

Mai ales în cazul dispozitivelor necesare pentru autentificarea zilnică a utilizatorilor, ar trebui să existe, de asemenea, un cont de administrator local sau o opțiune de recuperare funcțională.

Ce recomandăm în prezent

Pentru companiile cu Active Directory clasic recomandăm în prezent:

1. Verificați versiunile de Windows 11 afectate

Pe un client:

winver

sau:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Verificați dacă a fost instalat KB5124008

Get-HotFix -Id KB5124008

3. În cazul problemelor de autentificare, verificați Secure Channel

Test-ComputerSecureChannel

4. Dacă rezultatul este False, încercați mai întâi o reparare

Test-ComputerSecureChannel -Repair

5. În cazul problemelor recurente, documentați cauza

În special ar trebui reținute următoarele informații:

• Versiunea de Windows

• Versiune OS (OS-Build)

• actualizările KB instalate

• Versiunea controlerului de domeniu

• Momentul apariției problemei

• Rezultatul comenzii Test-ComputerSecureChannel

• Rezultatul comenzii nltest /sc_query

• Evenimentele de pe client și de pe controlerul de domeniu

Astfel se poate stabili mult mai bine dacă există într-adevăr o legătură cu actualizarea.

Cauza definitivă nu a fost încă confirmată

În acest punct este necesară o precizare importantă:

Legătura dintre KB5124008 și canalele securizate de domeniu (Domain Secure Channels) deteriorate este raportată în prezent de administratori ca fiind reproductibilă, dar, conform informațiilor actuale, nu figurează ca problemă cunoscută (Known Issue) corespunzătoare în documentația KB oficială Microsoft.

Raportul original Microsoft Q&A descrie o situație reproductibilă cu Windows 11 25H2 și controlere de domeniu Windows Server 2019. Alți administratori raportează probleme similare, printre altele cu Windows Server 2022.

Și din acest motiv nu ar trebui să se afirme pripit că KB5124008 este cu siguranță cauza fiecărei erori „Trust Relationship” apărute în prezent.

Alte cauze, precum problemele DNS, decalajele de timp, problemele cu contul de computer sau componentele de rețea/VPN, trebuie excluse în continuare.

Concluzie

KB5124008 ar trebui monitorizat în prezent cu deosebită atenție în mediile Active Directory.

Dacă, după actualizarea din septembrie, mai mulți utilizatori ai unui PC cu Windows 11 nu se mai pot autentifica brusc în domeniu, deși datele de acces sunt corecte, merită să verificați relația de încredere a computerului cu domeniul.

Cel mai important test inițial este:

Test-ComputerSecureChannel

Dacă comanda returnează False, foarte probabil există o problemă cu canalul securizat (Secure Channel) dintre computer și domeniu.

Deoarece rapoartele de până acum arată că o reparare simplă nu ajută în mod durabil pe toate sistemele, dispozitivele afectate ar trebui documentate cu atenție, iar conturile de utilizator sau parolele nu ar trebui modificate în grabă.

Ultima actualizare a acestui articol: 14 septembrie 2026.

Urmărim evoluția situației legate de KB5124008 și vom actualiza acest articol de îndată ce Microsoft va publica o declarație oficială sau o remediere corespunzătoare.