14. september 2026 | Microsoft Windows | Active Directory | IT-varnost

Z varnostno posodobitvijo KB5124008 za Windows 11 iz septembra 2026 se trenutno množijo poročila o nenavadni težavi v klasičnih okoljih Active Directory.

Prizadeti so predvsem odjemalci z Windows 11, ki so člani lokalne domene Active Directory. Po namestitvi posodobitve se lahko varni kanal (Secure Channel) med računalnikom in krmilnikom domene poškoduje.

Posledica: računalnik je v omrežju sicer še vedno fizično dosegljiv, prijava v domeno pa nenadoma ne deluje več.

Kaj je KB5124008?

Microsoft je KB5124008 izdal 8. septembra 2026 kot varnostno posodobitev za Windows 11 24H2 in 25H2.

V sistemu Windows 11 25H2 posodobitev prinese gradnjo 26200.9445, v sistemu Windows 11 24H2 pa gradnjo 26100.9445. Microsoft posodobitev načeloma opisuje kot varnostno in kakovostno posodobitev.

Microsoft trenutno že dokumentira več znanih težav v zvezi s KB5124008, med drugim težave s storitvami Remote Desktop Services, zvočnimi napravami USB in virtualnimi stroji Linux na osnovi Hyper-V. Težava z varnim kanalom Active Directory pa v uradni dokumentaciji KB trenutno še ni navedena kot znana težava (Known Issue).

Dejanska težava: varni kanal do domene

Domenski računalnik ima v imeniku Active Directory svoj lastni računalniški račun.

Med računalnikom in domenskim krmilnikom obstaja tako imenovani varni kanal (Secure Channel). Ta je med drugim potreben za zaupanje med računalnikom in domeno.

Če je ta kanal poškodovan, se uporabnik v določenih okoliščinah nenadoma ne more več prijaviti v domeno.

Posebej zahrbtno je to:

Uporabniško ime in geslo sta še vedno pravilna.

Windows na primer javi:

„Uporabniško ime ali geslo je napačno.“

V resnici pa težava ni v uporabniškem geslu, temveč v zaupanju med računalnikom in domeno.

Značilna slika napake

V primeru, ki ga je objavil neki skrbnik in ga je mogoče ponoviti, se je pojavilo naslednje vedenje:

• Windows 11 25H2

• Različica (build) 26200.9445

• Posodobitev KB5124008

• klasična domena Active Directory

• domenski krmilnik v sistemu Windows Server 2019

Po namestitvi posodobitve je prijava sprva še delovala. Čez nekaj časa pa je bilo razmerje zaupanja poškodovano.

Administrator je napako lahko ponovil na več napravah: namestitev posodobitve → težava se pojavi → odstranitev posodobitve → težava izgine. Po ponovni namestitvi posodobitve KB5124008 se je napaka znova pojavila.

Zanimivo je tudi, da o težavah s domenskimi krmilniki Windows Server 2022 poroča še en administrator. V nadaljnjih poročilih o izkušnjah je težava celo opisana pri različnih različicah domenskih krmilnikov. To trenutno govori proti prehitremu sklepanju, da gre za napako, omejeno izključno na Windows Server 2019.

Kako preveriti napako

Če je prizadeti računalnik še mogoče zagnati z lokalnim skrbniškim računom ali s predpomnjenimi domenskimi poverilnicami, lahko povezavo Secure Channel preverite s PowerShellom.

Kot skrbnik:

Test-ComputerSecureChannel

Pri delujočem varnem kanalu (Secure Channel) bi moral biti vrnjen rezultat:

True

Pri prizadetem računalniku pa se lahko prikaže:

False

prikaže.

Dodatno je mogoče preveriti z orodjem nltest:

nltest /sc_query:DOMAIN

Pri tem se lahko na primer pojavi napaka

ERROR_NO_TRUST_LSA_SECRET (1786)

pojaviti.

Prav takšna napaka je bila dokumentirana v primeru iz Microsoftovega Q&A.

Pomembno: uporabniškega gesla ne ponastavljajte takoj

Slika napake nas zavede, da najprej ponastavimo geslo prizadetega uporabnika.

V tem primeru pa to običajno ni prava pot.

Če se več uporabnikov na istem računalniku nenadoma ne more več prijaviti prek domene, medtem ko na primer predpomnjena prijava brez povezave še deluje, je treba najprej preveriti zaupanje računalniškega računa.

Značilen znak je:

Test-ComputerSecureChannel

vrne:

False

Možen poskus popravila

Kot prvi poskus popravila lahko znova vzpostavimo varni kanal (Secure Channel):

Test-ComputerSecureChannel -Repair

po potrebi skupaj s poverilnicami ustrezno pooblaščenega domenskega računa.

Alternativno je mogoče geslo računalniškega računa ponastaviti s PowerShellom.

Pri tem pa je potrebna previdnost:

V doslej prijavljenih primerih popravilo ni vedno trajno uspešno.

V prvotnem primeru iz Microsoftovega foruma Q&A ukaz Test-ComputerSecureChannel -Repair na primer ni zadostoval. Tam je bilo treba računalnik na koncu odstraniti iz domene in ga nato znova pridružiti domeni.

Drugi skrbniki pa poročajo, da je ukaz Repair vsaj začasno pomagal. Zdi se torej, da napaka ni enaka pri vseh prizadetih sistemih.

Če popravilo ne zadostuje

Če varni kanal (Secure Channel) ostaja okvarjen, je lahko kot zahtevnejši ukrep potrebna ponovna pridružitev domeni.

Poenostavljeno:

1. Omogočite lokalno prijavo s skrbniškim računom

2. Odstranite računalnik iz domene

3. Znova zaženite računalnik

4. Znova pridružite računalnik domeni

5. Ponovno znova zaženite računalnik

6. Preizkusite prijavo v domeno

V dokumentiranem primeru reprodukcije je bil za trajno odpravo napake potreben prav ta postopek.

Ali naj se posodobitev KB5124008 trenutno zadrži?

Tu je treba razlikovati.

KB5124008 je varnostna posodobitev in je ne bi smeli kar pavšalno odstraniti v vseh okoljih.

Hkrati pa bi morali administratorji s klasičnimi okolji Active Directory namestitev trenutno še posebej pozorno spremljati.

Microsoft s posodobitvijo KB5124008 izdaja pomembne varnostne izboljšave. Posodobitev se poleg tega distribuira prek storitev Windows Update, Windows Update for Business in WSUS.

Za produkcijska okolja se zato priporoča nadzorovana uvedba:

testna skupina → opazovanje → večja skupina → popolna uvedba

in ne nujno:

posodobitev vseh odjemalcev hkrati.

Zlasti pri napravah, ki jih uporabniki potrebujejo za vsakodnevno prijavo, bi moral biti poleg tega na voljo lokalni skrbniški račun oziroma delujoča možnost obnovitve.

Kaj trenutno priporočamo

Podjetjem s klasičnim okoljem Active Directory trenutno priporočamo:

1. Preverite prizadete različice sistema Windows 11

Na odjemalcu:

winver

ali:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Preverite, ali je bil KB5124008 nameščen

Get-HotFix -Id KB5124008

3. Ob težavah s prijavo preverite varni kanal (Secure Channel)

Test-ComputerSecureChannel

4. Pri rezultatu False najprej poskusite s popravilom

Test-ComputerSecureChannel -Repair

5. Pri ponavljajočih se težavah dokumentirajte vzrok

Zabeležiti je treba zlasti naslednje podatke:

• različica sistema Windows

• Različica OS (OS Build)

• nameščene posodobitve KB

• različica krmilnika domene

• čas pojava težave

• rezultat ukaza Test-ComputerSecureChannel

• rezultat ukaza nltest /sc_query

• dogodki na odjemalcu in krmilniku domene

Tako je mogoče bistveno bolje ugotoviti, ali je težava dejansko povezana s posodobitvijo.

Končni vzrok še ni potrjen

Na tem mestu je potreben pomemben pridržek:

Administratorji trenutno ponovljivo poročajo o povezavi med KB5124008 in poškodovanimi varnimi kanali domene, ki pa po trenutnem stanju ni navedena kot ustrezna znana težava (Known Issue) v uradni Microsoftovi dokumentaciji KB.

Izvirno poročilo na Microsoft Q&A opisuje ponovljivo situacijo z operacijskim sistemom Windows 11 25H2 in domenskimi krmilniki z operacijskim sistemom Windows Server 2019. Drugi skrbniki poročajo o podobnih težavah, med drugim tudi z operacijskim sistemom Windows Server 2022.

Tudi zato ne smemo prehitro trditi, da je KB5124008 zagotovo vzrok vsake trenutne napake »Trust Relationship«.

Druge vzroke, kot so težave z DNS, časovna odstopanja, težave z računalniškim računom ali omrežne/VPN-komponente, je treba še naprej izključiti.

Zaključek

KB5124008 je treba v okoljih Active Directory trenutno še posebej pozorno spremljati.

Če se po septembrski posodobitvi več uporabnikov računalnika z Windows 11 nenadoma ne more več prijaviti v domeno, čeprav so poverilnice pravilne, se splača preveriti zaupanje računalnika v domeno.

Najpomembnejši prvi preizkus je:

Test-ComputerSecureChannel

Če ukaz vrne False, gre zelo verjetno za težavo z varnim kanalom (Secure Channel) med računalnikom in domeno.

Ker dosedanja poročila kažejo, da preprosto popravilo ne pomaga trajno na vseh sistemih, je prizadete naprave priporočljivo natančno dokumentirati in ne prenagljeno spreminjati uporabniških računov ali gesel.

Zadnja posodobitev prispevka: 14. september 2026.

Dogajanje v zvezi s KB5124008 spremljamo in bomo ta prispevek posodobili, takoj ko bo Microsoft objavil uradno stališče ali ustrezen popravek.