14. septembar 2026. | Microsoft Windows | Active Directory | IT bezbednost

Sa septembarskim bezbednosnim ažuriranjem KB5124008 za Windows 11 iz 2026. godine trenutno se gomilaju izveštaji o neuobičajenom problemu u klasičnim Active Directory okruženjima.

Pogođeni su pre svega Windows 11 klijenti koji su članovi lokalnog Active Directory domena. Nakon instalacije ažuriranja može doći do oštećenja sigurnog kanala (Secure Channel) između računara i domenskog kontrolera.

Posledica: računar je i dalje fizički dostupan u mreži, ali prijavljivanje na domen iznenada više ne funkcioniše.

Šta je KB5124008?

Microsoft je objavio KB5124008 8. septembra 2026. kao bezbednosno ažuriranje za Windows 11 24H2 i 25H2.

Pod Windows 11 25H2 ažuriranje vodi do builda 26200.9445, a pod Windows 11 24H2 do builda 26100.9445. Microsoft ovo ažuriranje u osnovi opisuje kao bezbednosno ažuriranje i ažuriranje kvaliteta.

Microsoft trenutno već dokumentuje više poznatih problema u vezi sa KB5124008, između ostalog probleme sa uslugama Remote Desktop Services, USB audio uređajima i Linux virtuelnim mašinama zasnovanim na Hyper-V-u. Problem sa Active Directory sigurnim kanalom (Secure Channel) u zvaničnoj KB dokumentaciji, međutim, trenutno još nije naveden kao poznati problem (Known Issue).

Pravi problem: sigurni kanal (Secure Channel) ka domenu

Domenski računar ima sopstveni računarski nalog u Active Directory-ju.

Između računara i kontrolera domena postoji takozvani Secure Channel (bezbedni kanal). On je, između ostalog, potreban za odnos poverenja između računara i domena.

Ako se ovaj kanal ošteti, korisnik pod određenim okolnostima iznenada više ne može da se prijavi na domen.

Ono što je posebno podmuklo:

Korisničko ime i lozinka su i dalje ispravni.

Windows, na primer, prijavljuje:

„Korisničko ime ili lozinka nisu ispravni.“

Međutim, problem zapravo nije u korisničkoj lozinci, već u odnosu poverenja između računara i domena.

Tipična slika greške

U jednom slučaju koji je objavio administrator i koji se može reprodukovati, javilo se sledeće ponašanje:

• Windows 11 25H2

• Build 26200.9445

• Ažuriranje KB5124008

• klasičan Active Directory domen

• Domain Controller pod Windows Server 2019

Nakon instalacije ažuriranja prijavljivanje je u početku još funkcionisalo. Posle nekog vremena, međutim, odnos poverenja je bio oštećen.

Administrator je uspeo da reprodukuje grešku na više uređaja: instalirati ažuriranje → problem se javlja → ukloniti ažuriranje → problem nestaje. Nakon ponovne instalacije ažuriranja KB5124008 greška se ponovo javila.

Zanimljivo je i to što i drugi administrator izveštava o problemima sa kontrolerima domena Windows Server 2022. U daljim iskustvenim izveštajima problem se čak opisuje i kod različitih verzija kontrolera domena. To trenutno govori protiv toga da se prenagljeno pretpostavi da je greška ograničena isključivo na Windows Server 2019.

Ovako se greška može proveriti

Ako se pogođeni računar još može pokrenuti pomoću lokalnog administratorskog naloga ili preko keširanih akreditiva za domen, Secure Channel veza se može proveriti pomoću PowerShell-a.

Kao administrator:

Test-ComputerSecureChannel

Kod ispravnog Secure Channel-a trebalo bi da bude vraćeno:

True

Kod pogođenog računara, nasuprot tome, može da se pojavi:

False

.

Dodatno se može proveriti pomoću nltest:

nltest /sc_query:DOMAIN

Pri tome se može pojaviti, na primer, greška

ERROR_NO_TRUST_LSA_SECRET (1786)

pojaviti.

Upravo ovakva slika greške dokumentovana je u slučaju iz Microsoft Q&A.

Važno: nemojte odmah resetovati korisničku lozinku

Ovakva slika greške navodi na to da se najpre resetuje lozinka pogođenog korisnika.

U ovom slučaju to, međutim, obično nije pravi put.

Ako više korisnika na istom računaru iznenada više ne može da se prijavi preko domena, dok, na primer, keširana prijava van mreže i dalje funkcioniše, najpre bi trebalo proveriti odnos poverenja računara.

Tipičan pokazatelj je:

Test-ComputerSecureChannel

vraća:

False

Mogući pokušaj popravke

Kao prvi pokušaj popravke može se ponovo uspostaviti Secure Channel:

Test-ComputerSecureChannel -Repair

po potrebi zajedno sa pristupnim podacima domenskog naloga sa odgovarajućim ovlašćenjima.

Alternativno, lozinka računarskog naloga može se resetovati pomoću PowerShell-a.

Pri tome je, međutim, potreban oprez:

U do sada prijavljenim slučajevima popravka nije uvek trajno uspešna.

U prvobitnom slučaju sa Microsoft Q&A, na primer, Test-ComputerSecureChannel -Repair nije bio dovoljan. Tamo je računar na kraju morao da bude uklonjen iz domena i zatim ponovo pridružen domenu.

Drugi administratori, nasuprot tome, izveštavaju da je komanda Repair pomogla bar privremeno. Čini se, dakle, da slika greške nije identična na svim pogođenim sistemima.

Kada popravka nije dovoljna

Ako je Secure Channel i dalje neispravan, kao zahtevnija mera može biti potrebno ponovno pridruživanje domenu (Domain Join).

Pojednostavljeno:

1. Omogućiti lokalnu prijavu pomoću administratorskog naloga

2. Ukloniti računar iz domena

3. Ponovo pokrenuti računar

4. Ponovo pridružiti računar domenu

5. Još jednom ponovo pokrenuti

6. Testirati prijavu na domen

U dokumentovanom slučaju reprodukcije upravo je ovaj postupak bio neophodan da bi se greška trajno otklonila.

Da li trenutno treba odložiti instalaciju ažuriranja KB5124008?

Ovde treba praviti razliku.

KB5124008 je bezbednosno ažuriranje i ne bi ga trebalo jednostavno paušalno deinstalirati u svim okruženjima.

Istovremeno bi administratori sa klasičnim Active Directory okruženjima trenutno trebalo da posebno pažljivo prate instalaciju.

Microsoft sa KB5124008 objavljuje važna bezbednosna poboljšanja. Ažuriranje se pored toga distribuira putem Windows Update, Windows Update for Business i WSUS.

Za produkcione sisteme se stoga preporučuje kontrolisano uvođenje:

Test grupa → posmatranje → veća grupa → potpuno uvođenje

a ne nužno:

Ažurirati sve klijente istovremeno.

Naročito kod uređaja koji su potrebni za svakodnevnu prijavu korisnika trebalo bi, osim toga, da postoji lokalni administratorski nalog, odnosno funkcionalna mogućnost oporavka.

Šta trenutno preporučujemo

Za preduzeća sa klasičnim Active Directory sistemom trenutno preporučujemo:

1. Proveriti pogođene verzije sistema Windows 11

Na klijentu:

winver

ili:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Proveriti da li je KB5124008 instaliran

Get-HotFix -Id KB5124008

3. U slučaju problema sa prijavom proveriti Secure Channel

Test-ComputerSecureChannel

4. Ako je rezultat False, prvo pokušati popravku

Test-ComputerSecureChannel -Repair

5. Kod ponavljajućih problema dokumentovati uzrok

Posebno bi trebalo zabeležiti sledeće informacije:

• Verzija Windowsa

• Verzija OS build-a

• instalirana KB ažuriranja

• Verzija domenskog kontrolera

• Vreme pojave problema

• Rezultat komande Test-ComputerSecureChannel

• Rezultat komande nltest /sc_query

• Događaji na klijentu i domenskom kontroleru

Na taj način se znatno lakše može utvrditi da li zaista postoji veza sa ažuriranjem.

Konačan uzrok još nije potvrđen

Na ovom mestu je neophodna jedna važna ograda:

Vezu između KB5124008 i oštećenih Secure Channel veza sa domenom administratori trenutno prijavljuju kao ponovljivu, ali prema sadašnjim saznanjima ona nije navedena kao odgovarajući poznati problem (Known Issue) u zvaničnoj Microsoft KB dokumentaciji.

Originalni Microsoft Q&A izveštaj opisuje ponovljivu situaciju sa sistemom Windows 11 25H2 i kontrolerima domena sa sistemom Windows Server 2019. Drugi administratori prijavljuju slične probleme, između ostalog i sa sistemom Windows Server 2022.

I zbog toga ne bi trebalo prenagljeno tvrditi da je KB5124008 definitivno uzrok svake aktuelne greške „Trust Relationship“.

Drugi uzroci, kao što su problemi sa DNS-om, odstupanja u vremenu, problemi sa računarskim nalogom ili mrežne/VPN komponente, i dalje moraju da se isključe.

Zaključak

KB5124008 bi trenutno u Active Directory okruženjima trebalo posebno pažljivo pratiti.

Ako nakon septembarskog ažuriranja više korisnika jednog Windows 11 računara iznenada više ne može da se prijavi na domen, iako su pristupni podaci ispravni, vredi proveriti odnos poverenja računara sa domenom.

Najvažniji prvi test glasi:

Test-ComputerSecureChannel

Ako komanda vrati False, vrlo verovatno postoji problem sa Secure Channel vezom računara prema domenu.

Budući da dosadašnji izveštaji pokazuju da jednostavna popravka ne pomaže trajno na svim sistemima, pogođene uređaje treba precizno dokumentovati i ne menjati ishitreno korisničke naloge ili lozinke.

Stanje ovog članka: 14. septembar 2026.

Pratimo razvoj situacije u vezi sa KB5124008 i ažuriraćemo ovaj članak čim Microsoft objavi zvanično saopštenje ili odgovarajuću ispravku.