KB5124008 чупи доверието към домейна в Windows 11

Microsoft потвърди, че септемврийската security кръпка за Windows 11 KB5124008 може да разкъса доверителната връзка между компютъра и Active Directory домейна, след което потребителите не могат да влязат с напълно валидни данни за достъп. Компанията вписа проблема в Windows release health на 16 септември 2026 г. и веднага публикува временно решение — ъпдейтът засяга версии 24H2, 25H2 и 26H1, а трайна поправка се очаква в следващо издание.

Какво точно се случва

KB5124008 излезе на 8 септември 2026 г. и вдига 25H2 до build 26200.9445, а 24H2 — до 26100.9445. Съответният пакет за 26H1 е KB5124012.

След инсталация и рестарт част от домейн-присъединените машини губят сигурния канал (secure channel) с локалния Active Directory. Симптомите, които администраторите описват пред BleepingComputer, са еднакви:

• при интерактивен вход се появява съобщение, че доверителната връзка между устройството и домейна се е провалила;
• Windows връща „потребителското име или паролата са неправилни“ при абсолютно коректни данни;
• в журналите се трупат неуспешни Kerberos заявки, последвани от опити с NTLM и Netlogon.

Има и добра новина: офлайн входът с кеширани данни продължава да работи, а репликацията и услугите върху самите domain controller-и не са засегнати.

Защо се чупи: Machine Identity Isolation

Причината не е грешка в кода на кръпката, а в това кои настройки тя започва да зачита. Виновникът е Machine Identity Isolation — функция, която мести паролата на машинния акаунт от регистъра в защитената среда на Credential Guard, за да не може да бъде прочетена нито от администратор, нито от драйвер.

Формулировката на Microsoft в страницата за известните проблеми е показателна: ъпдейтът „не включва директно enforcement режима на Machine Identity Isolation, но кара Windows да започне да зачита всички съществуващи или зададени чрез политика настройки, които са го включили“.

Проблемът е, че функцията се поддържа само в среди с domain controller-и на Windows Server 2025 Domain Functional Level или по-нов. Всяко устройство, което е било конфигурирано за Machine Identity Isolation, но говори с по-стари контролери (например Server 2019), пада веднага щом кръпката спре да игнорира настройката.

Временното решение стъпка по стъпка

Логиката е проста — изключете функцията със същия инструмент, с който е била включена.

Ако настройката е зададена директно в регистъра, проверете тези два ключа:

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

Ако стойността на MachineIdentityIsolation е 2, сменете я на 0 и рестартирайте машината. След рестарта възстановете сигурния канал от PowerShell с администраторски права:

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Ако функцията е включена през Intune, изключете я от policy CSP-то за DeviceGuard; ако е през Group Policy — от съответната политика. Част от администраторите съобщават, че при най-упоритите случаи се е наложило пълно изваждане на машината от домейна, рестарт и повторно присъединяване.

Колко машини удря

Мащабът е неравномерен и зависи изцяло от това дали функцията е била включена предварително. Един администратор описва 11 засегнати устройства от около 256 машини с Windows 11 25H2 Enterprise, докато други съобщават за откази в целия периметър. Домашните потребители и машините извън домейн не са засегнати.

Какво следва

Microsoft отбелязва статуса като „mitigated“ и обещава трайно решение в бъдещ ъпдейт, като временно ще блокира enforcement режима на Machine Identity Isolation, докато функцията се доработва, пише BleepingComputer.

Това е четвъртият проблем от една и съща кръпка. KB5124008 вече счупи Remote Desktop Services, споделените папки в Hyper-V виртуални машини с Linux и USB Audio Class 1.0 устройствата — първите два бяха оправени с извънредния ъпдейт KB5129195 на 14 септември, а звукът е поправен само частично.

Заключение

Доверието към домейна е от онези неща, които или работят, или спират целия офис. Ако управлявате домейн с контролери отпреди Windows Server 2025 и някога сте пипали Credential Guard за машинни акаунти, проверете стойността на MachineIdentityIsolation, преди да пуснете септемврийската кръпка към останалите клиенти. За всички останали решението е изчакване — Microsoft ще изключи enforcement режима вместо вас.