14. septembra 2026 | Microsoft Windows | Active Directory | IT bezpečnosť

V súvislosti so septembrovou bezpečnostnou aktualizáciou KB5124008 pre Windows 11 z roku 2026 v súčasnosti pribúdajú hlásenia o nezvyčajnom probléme v klasických prostrediach Active Directory.

Postihnuté sú najmä klienty s Windows 11, ktoré sú členmi lokálnej domény Active Directory. Po inštalácii aktualizácie sa môže poškodiť zabezpečený kanál (Secure Channel) medzi počítačom a radičom domény.

Dôsledok: počítač je síce v sieti naďalej fyzicky dostupný, prihlásenie do domény však zrazu prestane fungovať.

Čo je KB5124008?

Microsoft vydal aktualizáciu KB5124008 8. septembra 2026 ako bezpečnostnú aktualizáciu pre Windows 11 24H2 a 25H2.

Vo Windows 11 25H2 aktualizácia povýši systém na build 26200.9445, vo Windows 11 24H2 na build 26100.9445. Microsoft aktualizáciu v zásade opisuje ako bezpečnostnú a kvalitatívnu aktualizáciu.

Microsoft už v súčasnosti dokumentuje viacero známych problémov súvisiacich s KB5124008, okrem iného problémy so službami Remote Desktop Services, USB zvukovými zariadeniami a linuxovými virtuálnymi počítačmi na platforme Hyper-V. Problém so zabezpečeným kanálom Active Directory však v oficiálnej dokumentácii KB zatiaľ nie je uvedený ako známy problém (Known Issue).

Skutočný problém: zabezpečený kanál k doméne

Doménový počítač má v Active Directory vlastné počítačové konto.

Medzi počítačom a radičom domény existuje takzvaný Secure Channel (zabezpečený kanál). Ten je okrem iného potrebný pre vzťah dôveryhodnosti medzi počítačom a doménou.

Ak sa tento kanál poškodí, používateľ sa za určitých okolností zrazu nemôže prihlásiť do domény.

Obzvlášť zákerné je:

Používateľské meno a heslo sú naďalej správne.

Windows hlási napríklad:

„Používateľské meno alebo heslo je nesprávne.“

V skutočnosti však problém nespočíva v hesle používateľa, ale vo vzťahu dôveryhodnosti počítača k doméne.

Typický obraz chyby

V prípade, ktorý zverejnil jeden správca a ktorý sa dá reprodukovať, sa vyskytlo nasledujúce správanie:

• Windows 11 25H2

• Build 26200.9445

• Aktualizácia KB5124008

• klasická doména Active Directory

• radič domény so systémom Windows Server 2019

Po inštalácii aktualizácie prihlasovanie spočiatku ešte fungovalo. Po určitom čase však bol vzťah dôveryhodnosti poškodený.

Administrátor dokázal chybu reprodukovať na viacerých zariadeniach: nainštalovať aktualizáciu → problém sa objaví → odstrániť aktualizáciu → problém zmizne. Po opätovnej inštalácii aktualizácie KB5124008 sa chyba objavila znova.

Zaujímavé je aj to, že problémy s doménovými radičmi Windows Server 2022 hlási aj iný správca. V ďalších správach o skúsenostiach je problém opísaný dokonca pri rôznych verziách doménových radičov. To momentálne hovorí proti unáhlenému záveru, že ide o chybu obmedzenú výlučne na Windows Server 2019.

Ako overiť, či ide o túto chybu

Ak sa dá postihnutý počítač ešte spustiť pomocou lokálneho konta správcu alebo cez uložené doménové prihlasovacie údaje, možno pripojenie Secure Channel overiť pomocou PowerShellu.

Ako správca:

Test-ComputerSecureChannel

Pri funkčnom Secure Channel by sa mala vrátiť hodnota:

True

Na postihnutom počítači sa naopak môže zobraziť hodnota:

False

sa zobraziť.

Dodatočne je možné vykonať kontrolu pomocou nástroja nltest:

nltest /sc_query:DOMAIN

Pritom sa môže vyskytnúť napríklad chyba

ERROR_NO_TRUST_LSA_SECRET (1786)

vyskytnúť.

Presne tento prejav chyby bol zdokumentovaný v prípade na Microsoft Q&A.

Dôležité: Neresetujte hneď heslo používateľa

Prejav chyby zvádza k tomu, aby sa najprv resetovalo heslo dotknutého používateľa.

V tomto prípade to však zvyčajne nie je správny smer.

Ak sa viacerí používatelia na tom istom PC zrazu nemôžu prihlásiť cez doménu, zatiaľ čo napríklad prihlásenie pomocou uložených prihlasovacích údajov offline ešte funguje, mal by sa najprv skontrolovať vzťah dôveryhodnosti počítača.

Typickým znakom je:

Test-ComputerSecureChannel

vráti:

False

Možný pokus o opravu

Ako prvý pokus o opravu možno znovu nadviazať Secure Channel:

Test-ComputerSecureChannel -Repair

prípadne spolu s prihlasovacími údajmi doménového účtu s príslušnými oprávneniami.

Alternatívne je možné resetovať heslo počítačového účtu pomocou PowerShellu.

Pritom je však potrebná opatrnosť:

V doteraz nahlásených prípadoch nebola oprava vždy trvalo úspešná.

V pôvodnom prípade z Microsoft Q&A napríklad príkaz Test-ComputerSecureChannel -Repair nestačil. Počítač bolo nakoniec potrebné z domény odstrániť a následne ho do domény znova pridať.

Iní administrátori naopak uvádzajú, že príkaz Repair aspoň dočasne pomohol. Zdá sa teda, že prejavy chyby nie sú na všetkých postihnutých systémoch rovnaké.

Keď oprava nestačí

Ak je Secure Channel naďalej poškodený, môže byť ako náročnejšie opatrenie potrebné opätovné pripojenie počítača do domény (Domain Join).

Zjednodušene:

1. Umožniť lokálne prihlásenie pomocou konta správcu

2. Odstrániť počítač z domény

3. Reštartovať počítač

4. Znova pridať počítač do domény

5. Znova reštartovať

6. Otestovať prihlásenie do domény

V zdokumentovanom prípade reprodukcie bol na trvalé odstránenie chyby potrebný presne tento postup.

Mala by sa inštalácia aktualizácie KB5124008 v súčasnosti pozastaviť?

Tu treba rozlišovať.

KB5124008 je bezpečnostná aktualizácia a nemala by sa jednoducho paušálne odinštalovať vo všetkých prostrediach.

Správcovia s klasickými prostrediami Active Directory by však zároveň mali inštaláciu v súčasnosti sledovať obzvlášť pozorne.

Microsoft s aktualizáciou KB5124008 vydáva dôležité bezpečnostné vylepšenia. Aktualizácia sa okrem toho distribuuje cez Windows Update, Windows Update for Business a WSUS.

Pre produkčné prostredia sa preto odporúča kontrolované nasadzovanie:

Testovacia skupina → sledovanie → väčšia skupina → úplné nasadenie

a nie nevyhnutne:

Aktualizovať všetkých klientov naraz.

Najmä pri zariadeniach, ktoré používatelia potrebujú na každodenné prihlasovanie, by mal byť okrem toho k dispozícii lokálny účet správcu, respektíve funkčná možnosť obnovy.

Čo v súčasnosti odporúčame

Firmám s klasickým Active Directory v súčasnosti odporúčame:

1. Skontrolovať dotknuté verzie Windows 11

Na klientovi:

winver

alebo:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Skontrolujte, či bola nainštalovaná aktualizácia KB5124008

Get-HotFix -Id KB5124008

3. Pri problémoch s prihlásením skontrolujte Secure Channel

Test-ComputerSecureChannel

4. Pri výsledku False najskôr skúste opravu

Test-ComputerSecureChannel -Repair

5. Pri opakujúcich sa problémoch zdokumentujte príčinu

Zaznamenať by sa mali najmä tieto informácie:

• Verzia systému Windows

• Zostavenie OS

• nainštalované aktualizácie KB

• Verzia radiča domény

• Čas výskytu

• Výsledok príkazu Test-ComputerSecureChannel

• Výsledok príkazu nltest /sc_query

• Udalosti na klientovi a radiči domény

Tým sa dá podstatne lepšie zistiť, či skutočne existuje súvislosť s aktualizáciou.

Definitívna príčina zatiaľ nie je potvrdená

Na tomto mieste je potrebné dôležité upozornenie:

Súvislosť medzi aktualizáciou KB5124008 a poškodenými zabezpečenými kanálmi domény (Domain Secure Channel) v súčasnosti administrátori reprodukovateľne hlásia, podľa aktuálneho stavu však nie je uvedená ako zodpovedajúci známy problém (Known Issue) v oficiálnej dokumentácii Microsoft KB.

Pôvodná správa na Microsoft Q&A opisuje reprodukovateľnú situáciu s Windows 11 25H2 a radičmi domény Windows Server 2019. Ďalší správcovia hlásia podobné problémy, okrem iného aj so systémom Windows Server 2022.

Aj preto by sa nemalo unáhlene tvrdiť, že KB5124008 je definitívne príčinou každej aktuálnej chyby „Trust Relationship“.

Naďalej je potrebné vylúčiť iné príčiny, ako sú problémy s DNS, časové odchýlky, problémy s počítačovým účtom alebo sieťové/VPN komponenty.

Záver

KB5124008 by sa v prostrediach s Active Directory mala v súčasnosti sledovať obzvlášť pozorne.

Ak sa po septembrovej aktualizácii zrazu viacerí používatelia počítača s Windows 11 nedokážu prihlásiť do domény, hoci sú prihlasovacie údaje správne, oplatí sa skontrolovať vzťah dôveryhodnosti počítača.

Najdôležitejší prvý test znie:

Test-ComputerSecureChannel

Ak príkaz vráti hodnotu False, s veľkou pravdepodobnosťou ide o problém so zabezpečeným kanálom (Secure Channel) počítača voči doméne.

Keďže doterajšie správy ukazujú, že jednoduchá oprava nepomáha trvalo na všetkých systémoch, odporúča sa postihnuté zariadenia dôkladne zdokumentovať a nemeniť unáhlene používateľské kontá ani heslá.

Stav tohto príspevku: 14. septembra 2026.

Vývoj okolo aktualizácie KB5124008 sledujeme a tento príspevok aktualizujeme hneď, ako Microsoft zverejní oficiálne stanovisko alebo príslušnú opravu.