14. september 2026 | Microsoft Windows | Active Directory | IT-turvalisus

Windows 11 2026. aasta septembri turvavärskenduse KB5124008 kohta tuleb praegu üha rohkem teateid ebatavalisest probleemist klassikalistes Active Directory keskkondades.

Probleem puudutab eelkõige Windows 11 klientarvuteid, mis kuuluvad kohalikku Active Directory domeeni. Pärast värskenduse installimist võib arvuti ja domeenikontrolleri vaheline turvaline kanal kahjustuda.

Selle tagajärjel on arvuti küll endiselt võrgus füüsiliselt kättesaadav, kuid domeeni sisselogimine lakkab ootamatult töötamast.

Mis on KB5124008?

Microsoft avaldas KB5124008 8. septembril 2026 turvavärskendusena Windows 11 versioonidele 24H2 ja 25H2.

Windows 11 25H2 puhul viib värskendus järgule 26200.9445, Windows 11 24H2 puhul järgule 26100.9445. Microsoft kirjeldab värskendust üldiselt kui turva- ja kvaliteedivärskendust.

Microsoft on juba praegu dokumenteerinud mitu KB5124008-ga seotud teadaolevat probleemi, muu hulgas probleeme Remote Desktop Services'i, USB-heliseadmete ja Hyper-V-põhiste Linuxi virtuaalmasinatega. Active Directory turvalise kanaliga seotud probleemi ei ole ametlikus KB-dokumentatsioonis praegu aga veel teadaoleva probleemina (Known Issue) loetletud.

Tegelik probleem: turvaline kanal domeeniga

Domeeni kuuluval arvutil on Active Directorys oma arvutikonto.

Arvuti ja domeenikontrolleri vahel on nn turvaline kanal (Secure Channel). Seda on muu hulgas vaja arvuti ja domeeni vahelise usaldussuhte tagamiseks.

Kui see kanal saab kahjustada, ei pruugi kasutaja ühtäkki enam domeeni sisse logida saada.

Eriti salakaval on see:

Kasutajanimi ja parool on endiselt õiged.

Windows teatab näiteks:

„Kasutajanimi või parool on vale.“

Tegelikult ei ole aga probleem kasutaja paroolis, vaid arvuti ja domeeni vahelises usaldussuhtes.

Probleemi tüüpilised tunnused

Ühes administraatori avaldatud ja reprodutseeritavas juhtumis ilmnes järgmine käitumine:

• Windows 11 25H2

• Build 26200.9445

• Värskendus KB5124008

• klassikaline Active Directory domeen

• Windows Server 2019-ga domeenikontroller

Pärast värskenduse installimist töötas sisselogimine esialgu veel. Mõne aja pärast oli usaldussuhe aga kahjustatud.

Administraator suutis vea mitmel seadmel reprodutseerida: värskenduse installimine → probleem tekib → värskenduse eemaldamine → probleem kaob. Pärast KB5124008 uuesti installimist ilmnes viga taas.

Huvitav on ka see, et üks teinegi administraator teatab probleemidest Windows Server 2022-ga domeenikontrolleritega. Teistes kogemuslugudes kirjeldatakse sama probleemi isegi domeenikontrollerite eri versioonide puhul. Seetõttu ei tasu praegu rutakalt järeldada, et viga puudutab ainult Windows Server 2019.

Kuidas viga kontrollida

Kui mõjutatud arvutit saab veel käivitada kohaliku administraatorikonto või vahemällu salvestatud domeeni sisselogimisandmete abil, saab Secure Channeli ühendust kontrollida PowerShelliga.

Administraatorina:

Test-ComputerSecureChannel

Kui turvaline kanal toimib, peaks tagastatav väärtus olema:

True

Probleemist mõjutatud arvutis võib seevastu:

False

ilmuda.

Lisaks saab kontrollimiseks kasutada käsku nltest:

nltest /sc_query:DOMAIN

Seejuures võib ilmneda näiteks viga

ERROR_NO_TRUST_LSA_SECRET (1786)

esineda.

Just selliseid sümptomeid kirjeldati Microsofti Q&A juhtumis.

Tähtis: ärge lähtestage kohe kasutaja parooli

Need sümptomid võivad ajendada esmalt lähtestama selle kasutaja parooli, kellel probleem esineb.

Sel juhul pole see aga tavaliselt õige lahendus.

Kui mitu kasutajat ei saa äkki samas arvutis enam domeenikontoga sisse logida, kuid näiteks vahemällu salvestatud sisselogimisandmetega saab võrguühenduseta endiselt sisse logida, tuleks esmalt kontrollida arvuti ja domeeni vahelist usaldussuhet.

Tüüpiline märk probleemist on järgmine:

Test-ComputerSecureChannel

tagastab:

False

Võimalik parandamiskatse

Esimese parandamiskatsena saab turvakanali (Secure Channel) uuesti luua:

Test-ComputerSecureChannel -Repair

vajaduse korral koos vastavate õigustega domeenikonto sisselogimisandmetega.

Teise võimalusena saab arvutikonto parooli lähtestada PowerShelli abil.

Seejuures tuleb siiski olla ettevaatlik:

Seni teatatud juhtumite puhul ei ole parandamine alati andnud püsivat tulemust.

Näiteks algses Microsoft Q&A juhtumis ei piisanud käsust Test-ComputerSecureChannel -Repair. Seal tuli arvuti lõpuks domeenist eemaldada ja seejärel uuesti domeeniga liita.

Teised administraatorid aga teatavad, et paranduskäsk on vähemalt ajutiselt aidanud. Seega ei paista probleem avalduvat kõigis mõjutatud süsteemides ühtemoodi.

Kui parandamisest ei piisa

Kui turvakanal (Secure Channel) on endiselt katki, võib töömahukama meetmena olla vajalik arvuti uuesti domeeniga liitmine (Domain Join).

Lihtsustatult:

1. Võimaldage kohalik sisselogimine administraatorikontoga

2. Eemaldage arvuti domeenist

3. Taaskäivitage arvuti

4. Liitke arvuti uuesti domeeniga

5. Taaskäivitage arvuti veel kord

6. Testige domeeni sisselogimist

Dokumenteeritud vea taasesitamise juhtumis oli vea püsivaks kõrvaldamiseks vaja teha just need toimingud.

Kas KB5124008 paigaldamine tuleks praegu edasi lükata?

Siin tuleks lähtuda konkreetsest olukorrast.

KB5124008 on turvavärskendus ja seda ei tohiks lihtsalt kõigist keskkondadest valimatult eemaldada.

Samal ajal peaksid klassikaliste Active Directory keskkondade administraatorid uuenduse paigaldamist praegu eriti tähelepanelikult jälgima.

Microsoft avaldab uuendusega KB5124008 olulisi turvatäiendusi. Peale selle levitatakse uuendust Windows Update'i, Windows Update for Businessi ja WSUS-i kaudu.

Seetõttu on tootmiskeskkondades soovitatav kontrollitud kasutuselevõtt:

Testrühm → jälgimine → suurem rühm → täielik kasutuselevõtt

ja mitte tingimata:

Kõigi klientarvutite korraga värskendamine.

Eriti seadmete puhul, mida kasutajad vajavad igapäevaseks sisselogimiseks, peaks lisaks olemas olema kohalik administraatorikonto või toimiv taastevõimalus.

Meie praegused soovitused

Klassikalist Active Directoryt kasutavatele ettevõtetele soovitame praegu järgmist:

1. Kontrollige mõjutatud Windows 11 versioone

Klientarvutis:

winver

või:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Kontrollige, kas KB5124008 on installitud

Get-HotFix -Id KB5124008

3. Sisselogimisprobleemide korral kontrollige turvalist kanalit (Secure Channel)

Test-ComputerSecureChannel

4. Kui tulemus on False, proovige esmalt parandada

Test-ComputerSecureChannel -Repair

5. Korduvate probleemide korral dokumenteerige põhjus

Eelkõige tuleks kirja panna järgmised andmed:

• Windowsi versioon

• Operatsioonisüsteemi järgunumber

• paigaldatud KB-värskendused

• Domeenikontrolleri versioon

• Probleemi ilmnemise aeg

• Käsu Test-ComputerSecureChannel tulemus

• Käsu nltest /sc_query tulemus

• Sündmused klientarvutis ja domeenikontrolleris

Nii saab märksa paremini kindlaks teha, kas probleem on tõepoolest värskendusega seotud.

Lõplikku põhjust pole veel kinnitatud

Siinkohal tuleb teha oluline täpsustus:

Administraatorid teatavad praegu KB5124008 ja domeeni turvakanalite kahjustumise vahelisest seosest, mida on õnnestunud korduvalt esile kutsuda, kuid praeguse seisuga ei ole seda Microsofti ametlikus KB-dokumentatsioonis teadaoleva probleemina loetletud.

Algses Microsoft Q&A postituses kirjeldatakse korratavat olukorda Windows 11 25H2 ja Windows Server 2019 domeenikontrolleritega. Teised administraatorid teatavad sarnastest probleemidest muu hulgas ka Windows Server 2022 puhul.

Ka seetõttu ei tohiks ennatlikult väita, et KB5124008 on kindlasti kõigi praegu esinevate usaldussuhte vigade põhjus.

Endiselt tuleb välistada muud põhjused, nagu DNS-i probleemid, kellaaja erinevused ning probleemid arvutikonto või võrgu- ja VPN-komponentidega.

Kokkuvõte

KB5124008 tuleks Active Directory keskkondades praegu eriti tähelepanelikult jälgida.

Kui pärast septembri värskendust ei saa ühe Windows 11 arvuti mitu kasutajat ootamatult enam domeeni sisse logida, kuigi sisselogimisandmed on õiged, tasub üle vaadata arvuti usaldussuhe domeeniga.

Kõige olulisem esmane test on järgmine:

Test-ComputerSecureChannel

Kui käsk tagastab väärtuse False, on suure tõenäosusega probleem arvuti ja domeeni vahelise turvakanaliga.

Kuna seniste teadete põhjal ei anna lihtne parandamine kõigis süsteemides püsivat tulemust, tuleks probleemidest mõjutatud seadmed hoolikalt dokumenteerida ning vältida kasutajakontode või paroolide ennatlikku muutmist.

Artikli seis: 14. september 2026.

Jälgime KB5124008-ga seotud arenguid ja ajakohastame seda artiklit niipea, kui Microsoft avaldab ametliku seisukoha või vastava paranduse.