14 Eylül 2026 | Microsoft Windows | Active Directory | BT Güvenliği
Windows 11 için yayımlanan Eylül 2026 güvenlik güncelleştirmesi KB5124008 ile birlikte, klasik Active Directory ortamlarında görülen alışılmadık bir soruna ilişkin bildirimler şu sıralar giderek artıyor.
Sorundan özellikle yerel bir Active Directory etki alanına üye olan Windows 11 istemcileri etkileniyor. Güncelleştirme yüklendikten sonra bilgisayar ile etki alanı denetleyicisi arasındaki Secure Channel bozulabiliyor.
Sonuç: Bilgisayara ağ üzerinden fiziksel olarak hâlâ erişilebiliyor, ancak etki alanı oturum açma işlemi aniden çalışmaz hale geliyor.
KB5124008 nedir?
Microsoft, KB5124008'i 8 Eylül 2026 tarihinde Windows 11 24H2 ve 25H2 için güvenlik güncelleştirmesi olarak yayımladı.
Güncelleştirme, Windows 11 25H2'de Build 26200.9445, Windows 11 24H2'de ise Build 26100.9445 sürümüne yükseltme yapıyor. Microsoft, güncelleştirmeyi temel olarak bir güvenlik ve kalite güncelleştirmesi olarak tanımlıyor.
Microsoft, KB5124008 ile bağlantılı olarak şimdiden birden fazla bilinen sorunu belgelemiş durumda; bunlar arasında Remote Desktop Services, USB ses aygıtları ve Hyper-V tabanlı Linux sanal makineleriyle ilgili sorunlar yer alıyor. Ancak Active Directory Secure Channel ile ilgili bir sorun, resmi KB belgelerinde şu an için henüz bilinen sorun (Known Issue) olarak listelenmiş değil.
Asıl sorun: Etki alanına giden Secure Channel
Bir etki alanı bilgisayarı, Active Directory'de kendine ait bir bilgisayar hesabına sahiptir.
Bilgisayar ile bir etki alanı denetleyicisi (Domain Controller) arasında Secure Channel adı verilen güvenli bir kanal bulunur. Bu kanal, diğer şeylerin yanı sıra bilgisayar ile etki alanı arasındaki güven ilişkisi için gereklidir.
Bu kanal zarar gördüğünde, bir kullanıcı bazı durumlarda aniden etki alanında oturum açamaz hale gelebilir.
İşin özellikle sinsi yanı:
Kullanıcı adı ve parola hâlâ doğrudur.
Windows örneğin şu mesajı verir:
„Kullanıcı adı veya parola yanlış.“
Oysa sorun aslında kullanıcı parolasından değil, bilgisayarın etki alanıyla olan güven ilişkisinden kaynaklanmaktadır.
Tipik hata görünümü
Bir yönetici tarafından yayımlanan ve yeniden üretilebilen bir vakada şu davranış gözlemlendi:
Windows 11 25H2
Build 26200.9445
Güncelleştirme KB5124008
klasik Active Directory etki alanı
Windows Server 2019 üzerinde çalışan Domain Controller
Güncelleştirmenin yüklenmesinden sonra oturum açma başlangıçta hâlâ çalışıyordu. Ancak bir süre sonra güven ilişkisi bozulmuştu.
Yönetici hatayı birden fazla cihazda yeniden üretebildi: Güncelleştirmeyi yükle → sorun ortaya çıkıyor → güncelleştirmeyi kaldır → sorun kayboluyor. KB5124008 yeniden yüklendikten sonra hata tekrar ortaya çıktı.
Ayrıca başka bir yöneticinin de Windows Server 2022 etki alanı denetleyicileriyle ilgili sorunları bildirmesi ilginçtir. Diğer deneyim raporlarında sorun, farklı etki alanı denetleyicisi sürümlerinde bile tanımlanmaktadır. Bu durum, şu anda hatanın yalnızca Windows Server 2019 ile sınırlı olduğunu aceleyle varsaymaya karşı konuşuyor.
Hata bu şekilde kontrol edilebilir
Etkilenen bir bilgisayar hâlâ yerel bir yönetici hesabıyla veya önbelleğe alınmış etki alanı kimlik bilgileriyle başlatılabiliyorsa, Secure Channel bağlantısı PowerShell ile kontrol edilebilir.
Yönetici olarak:
Test-ComputerSecureChannel
Secure Channel düzgün çalışıyorsa şu değer döndürülmelidir:
True
Etkilenen bir bilgisayarda ise:
False
görünebilir.
Ayrıca nltest ile de kontrol edilebilir:
nltest /sc_query:DOMAIN
Bu sırada örneğin şu hata
ERROR_NO_TRUST_LSA_SECRET (1786)
hatası ortaya çıkabilir.
Tam olarak bu hata görüntüsü Microsoft Q&A vakasında belgelenmiştir.
Önemli: Kullanıcı parolasını hemen sıfırlamayın
Bu hata görüntüsü, ilk olarak etkilenen kullanıcının parolasını sıfırlamaya yöneltir.
Ancak bu durumda bu genellikle doğru yol değildir.
Aynı bilgisayardaki birden fazla kullanıcı aniden etki alanı üzerinden oturum açamıyorsa, örneğin önbelleğe alınmış bir oturum açma işlemi çevrimdışı hâlâ çalışıyorken, öncelikle bilgisayar güven ilişkisi kontrol edilmelidir.
Tipik bir belirti şudur:
Test-ComputerSecureChannel
şu sonucu verir:
False
Olası onarım denemesi
İlk onarım denemesi olarak Secure Channel yeniden oluşturulabilir:
Test-ComputerSecureChannel -Repair
gerekirse uygun yetkiye sahip bir etki alanı hesabının kimlik bilgileriyle birlikte.
Alternatif olarak bilgisayar hesabının parolası PowerShell ile sıfırlanabilir.
Ancak burada dikkatli olmak gerekir:
Şimdiye kadar bildirilen vakalarda onarım her zaman kalıcı olarak başarılı olmamıştır.
Örneğin Microsoft Q&A'daki ilk vakada Test-ComputerSecureChannel -Repair yeterli olmadı. Orada bilgisayarın sonunda etki alanından çıkarılması ve ardından yeniden etki alanına eklenmesi gerekti.
Buna karşılık başka yöneticiler, Repair komutunun en azından geçici olarak yardımcı olduğunu bildiriyor. Dolayısıyla sorun, etkilenen tüm sistemlerde aynı şekilde ortaya çıkmıyor gibi görünüyor.
Onarım yeterli olmazsa
Secure Channel hâlâ bozuksa, daha zahmetli bir önlem olarak bilgisayarın etki alanına yeniden katılması (Domain Join) gerekebilir.
Basitçe:
Bir yönetici hesabıyla yerel oturum açmayı etkinleştirin
Bilgisayarı etki alanından çıkarın
Bilgisayarı yeniden başlatın
Bilgisayarı yeniden etki alanına ekleyin
Tekrar yeniden başlatın
Etki alanı oturum açmasını test edin
Belgelenen yeniden üretme vakasında hatayı kalıcı olarak gidermek için tam olarak bu işlem gerekliydi.
KB5124008 şu an için ertelenmeli mi?
Burada ayrım yapmak gerekir.
KB5124008 bir güvenlik güncelleştirmesidir ve tüm ortamlarda öylece toptan kaldırılmamalıdır.
Aynı zamanda, klasik Active Directory ortamlarına sahip yöneticilerin kurulumu şu anda özellikle dikkatle izlemesi gerekir.
Microsoft, KB5124008 ile önemli güvenlik iyileştirmeleri yayımlıyor. Güncelleştirme ayrıca Windows Update, Windows Update for Business ve WSUS üzerinden dağıtılıyor.
Bu nedenle üretim ortamları için kontrollü bir dağıtım önerilir:
Test grubu → gözlemleme → daha büyük grup → tam dağıtım
ve mutlaka şu şekilde değil:
Tüm istemcileri aynı anda güncelleştirmek.
Özellikle kullanıcıların günlük oturum açması için gereken cihazlarda ayrıca yerel bir yönetici hesabı veya çalışan bir kurtarma seçeneği bulunmalıdır.
Şu anda önerdiklerimiz
Klasik Active Directory kullanan şirketler için şu anda şunları öneriyoruz:
1. Etkilenen Windows 11 sürümlerini kontrol edin
Bir istemcide:
winver
veya:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. KB5124008'in yüklenip yüklenmediğini kontrol edin
Get-HotFix -Id KB5124008
3. Oturum açma sorunlarında Secure Channel'ı kontrol edin
Test-ComputerSecureChannel
4. Sonuç False ise önce onarım deneyin
Test-ComputerSecureChannel -Repair
5. Tekrarlayan sorunlarda nedeni belgeleyin
Özellikle aşağıdaki bilgiler kayıt altına alınmalıdır:
Windows sürümü
İşletim sistemi derlemesi
yüklü KB güncelleştirmeleri
Domain Controller sürümü
Sorunun ortaya çıktığı zaman
Test-ComputerSecureChannel sonucu
nltest /sc_query sonucu
İstemci ve Domain Controller üzerindeki olaylar
Böylece güncelleştirmeyle gerçekten bir bağlantı olup olmadığı çok daha sağlıklı bir şekilde tespit edilebilir.
Henüz kesin bir neden doğrulanmadı
Bu noktada önemli bir sınırlama belirtmek gerekiyor:
KB5124008 ile bozulan etki alanı güvenli kanalları (Domain Secure Channel) arasındaki bağlantı şu anda yöneticiler tarafından tekrarlanabilir şekilde bildiriliyor; ancak mevcut bilgilere göre resmi Microsoft KB belgelerinde bilinen bir sorun (Known Issue) olarak yer almıyor.
Microsoft Q&A'daki özgün rapor, Windows 11 25H2 ve Windows Server 2019 etki alanı denetleyicileriyle yeniden üretilebilir bir durumu tanımlıyor. Diğer yöneticiler de aralarında Windows Server 2022'nin de bulunduğu sistemlerde benzer sorunlar bildiriyor.
Bu nedenle de KB5124008'in güncel her „Trust Relationship“ hatasının kesin nedeni olduğunu aceleyle iddia etmemek gerekir.
DNS sorunları, saat farklılıkları, bilgisayar hesabıyla ilgili sorunlar veya ağ/VPN bileşenleri gibi diğer nedenlerin yine de dışlanması gerekir.
Sonuç
KB5124008, Active Directory ortamlarında şu anda özellikle dikkatle izlenmelidir.
Eylül güncellemesinden sonra bir Windows 11 bilgisayarındaki birden fazla kullanıcı, kimlik bilgileri doğru olmasına rağmen aniden etki alanına oturum açamaz hale gelirse, bilgisayarın güven ilişkisine göz atmakta fayda var.
En önemli ilk test şudur:
Test-ComputerSecureChannel
Komut False döndürüyorsa, büyük olasılıkla bilgisayarın etki alanıyla olan güvenli kanalında (Secure Channel) bir sorun vardır.
Şimdiye kadarki raporlar basit bir onarımın tüm sistemlerde kalıcı olarak işe yaramadığını gösterdiğinden, etkilenen cihazlar ayrıntılı biçimde belgelenmeli ve kullanıcı hesapları ya da parolalar aceleyle değiştirilmemelidir.
Bu yazının güncellik tarihi: 14 Eylül 2026.
KB5124008 ile ilgili gelişmeleri takip ediyoruz ve Microsoft resmi bir açıklama ya da ilgili bir düzeltme yayımlar yayımlamaz bu yazıyı güncelleyeceğiz.