14. september 2026 | Microsoft Windows | Active Directory | Upplýsingaöryggi

Með öryggisuppfærslunni KB5124008 fyrir Windows 11 frá september 2026 berast nú æ fleiri tilkynningar um óvenjulegt vandamál í hefðbundnum Active Directory-umhverfum.

Þetta hefur einkum áhrif á Windows 11-tölvur sem eru hluti af staðbundnu Active Directory-léni. Eftir að uppfærslan er sett upp getur öruggi samskiptakanallinn (Secure Channel) milli tölvunnar og lénsstýringarinnar (Domain Controller) skemmst.

Afleiðingin: Tölvan er áfram aðgengileg á netinu, en innskráning í lénið hættir skyndilega að virka.

Hvað er KB5124008?

Microsoft gaf KB5124008 út 8. september 2026 sem öryggisuppfærslu fyrir Windows 11 24H2 og 25H2.

Í Windows 11 25H2 færir uppfærslan kerfið upp í Build 26200.9445 og í Windows 11 24H2 upp í Build 26100.9445. Microsoft lýsir uppfærslunni í grundvallaratriðum sem öryggis- og gæðauppfærslu.

Microsoft hefur þegar skráð nokkur þekkt vandamál í tengslum við KB5124008, meðal annars vandamál með Remote Desktop Services, USB-hljóðtæki og Linux-sýndarvélar sem keyra á Hyper-V. Vandamál með Active Directory Secure Channel er hins vegar enn ekki skráð sem þekkt vandamál (Known Issue) í opinberu KB-skjölunum.

Raunverulega vandamálið: Secure Channel við lénið

Lénstölva hefur sinn eigin tölvureikning í Active Directory.

Milli tölvunnar og lénsstýringar (Domain Controller) er svokölluð Secure Channel-tenging. Hún er meðal annars nauðsynleg fyrir traustsambandið milli tölvunnar og lénsins.

Ef þessi rás skemmist getur notandi í sumum tilvikum skyndilega ekki lengur skráð sig inn á lénið.

Það sem er sérstaklega lúmskt:

Notandanafnið og lykilorðið eru áfram rétt.

Windows birtir til dæmis:

„Notandanafnið eða lykilorðið er rangt.“

Vandamálið liggur þó í raun ekki í lykilorði notandans heldur í traustsambandi tölvunnar við lénið.

Dæmigerð birtingarmynd villunnar

Í tilviki sem kerfisstjóri birti og hægt var að endurtaka kom eftirfarandi hegðun fram:

• Windows 11 25H2

• Build 26200.9445

• Uppfærsla KB5124008

• hefðbundið Active Directory-lén

• Lénsstýring (Domain Controller) með Windows Server 2019

Eftir að uppfærslan var sett upp virkaði innskráningin í fyrstu áfram. Eftir nokkurn tíma var traustsambandið hins vegar skemmt.

Kerfisstjórinn gat endurskapað villuna á mörgum tækjum: Uppfærsla sett upp → vandamálið kemur upp → uppfærsla fjarlægð → vandamálið hverfur. Eftir að KB5124008 var sett upp aftur kom villan upp á ný.

Áhugavert er einnig að annar kerfisstjóri greinir frá vandamálum með Windows Server 2022 lénsstýringar. Í fleiri reynslusögum er vandamálið jafnvel lýst með mismunandi útgáfum lénsstýringa. Það mælir sem stendur gegn því að álykta of fljótt að villan sé einungis bundin við Windows Server 2019.

Svona er hægt að kanna villuna

Ef enn er hægt að ræsa tölvu sem er fyrir áhrifum með staðbundnum stjórnandareikningi eða með vistuðum lénsinnskráningarupplýsingum er hægt að athuga Secure Channel-tenginguna með PowerShell.

Sem stjórnandi:

Test-ComputerSecureChannel

Ef Secure Channel-tengingin virkar rétt ætti skipunin að skila:

True

Á tölvu sem er fyrir áhrifum getur hins vegar birst:

False

birst.

Að auki er hægt að athuga tenginguna með nltest:

nltest /sc_query:DOMAIN

Þá getur til dæmis villan

ERROR_NO_TRUST_LSA_SECRET (1786)

komið upp.

Nákvæmlega þessi villumynd var skráð í Microsoft Q&A-tilvikinu.

Mikilvægt: Ekki endurstilla lykilorð notandans strax

Einkennin ýta undir að byrjað sé á því að endurstilla lykilorð viðkomandi notanda.

Í þessu tilviki er það þó yfirleitt ekki rétta leiðin.

Ef nokkrir notendur á sömu tölvu geta skyndilega ekki lengur skráð sig inn í gegnum lénið, á meðan t.d. innskráning með vistuðum auðkennum virkar enn án nettengingar, ætti fyrst að athuga traustsamband tölvunnar.

Dæmigerð vísbending er:

Test-ComputerSecureChannel

skilar:

False

Möguleg viðgerðartilraun

Sem fyrstu viðgerðartilraun má koma Secure Channel-tengingunni á að nýju:

Test-ComputerSecureChannel -Repair

eftir atvikum ásamt innskráningarupplýsingum lénsreiknings með viðeigandi réttindi.

Að öðrum kosti er hægt að endurstilla lykilorð tölvureikningsins með PowerShell.

Þó ber að fara varlega hér:

Í þeim tilvikum sem tilkynnt hefur verið um hingað til hefur viðgerðin ekki alltaf borið varanlegan árangur.

Í upprunalega Microsoft-Q&A-tilvikinu dugði Test-ComputerSecureChannel -Repair til dæmis ekki til. Þar þurfti að lokum að fjarlægja tölvuna úr léninu og bæta henni síðan aftur inn í lénið.

Aðrir kerfisstjórar greina hins vegar frá því að Repair-skipunin hafi að minnsta kosti hjálpað tímabundið. Villumyndin virðist því ekki vera eins á öllum kerfum sem verða fyrir þessu.

Ef viðgerðin dugar ekki

Ef Secure Channel er áfram bilaður getur reynst nauðsynlegt að tengja tölvuna aftur við lénið (Domain Join), sem er umfangsmeiri aðgerð.

Í einfölduðu máli:

1. Gera kleift að skrá sig inn á vélina með staðværum stjórnandareikningi

2. Fjarlægja tölvuna úr léninu

3. Endurræsa tölvuna

4. Bæta tölvunni aftur við lénið

5. Endurræsa aftur

6. Prófa innskráningu í lénið

Í skjalfesta endurgerðartilvikinu var nákvæmlega þetta ferli nauðsynlegt til að laga villuna varanlega.

Ætti að halda KB5124008 í bið að svo stöddu?

Hér þarf að gera greinarmun.

KB5124008 er öryggisuppfærsla og ætti ekki að fjarlægja hana umhugsunarlaust í öllum umhverfum.

Á sama tíma ættu kerfisstjórar með hefðbundin Active Directory-umhverfi að fylgjast sérstaklega vel með uppsetningunni eins og er.

Með KB5124008 gefur Microsoft út mikilvægar öryggisendurbætur. Uppfærslunni er auk þess dreift í gegnum Windows Update, Windows Update for Business og WSUS.

Fyrir framleiðsluumhverfi er því mælt með stýrðri útsetningu:

Prófunarhópur → fylgjast með → stærri hópur → full útsetning

og ekki endilega:

Uppfæra allar biðlaravélar samtímis.

Sérstaklega á tækjum sem notendur þurfa til daglegrar innskráningar ætti auk þess að vera til staðar staðbundinn stjórnandareikningur eða virk endurheimtarleið.

Það sem við mælum með núna

Fyrir fyrirtæki með hefðbundið Active Directory mælum við eins og er með eftirfarandi:

1. Athuga hvaða Windows 11-útgáfur eru fyrir áhrifum

Á biðlara:

winver

eða:

Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber

2. Athuga hvort KB5124008 hafi verið sett upp

Get-HotFix -Id KB5124008

3. Athuga Secure Channel ef innskráningarvandamál koma upp

Test-ComputerSecureChannel

4. Ef niðurstaðan er False, reyna fyrst viðgerð

Test-ComputerSecureChannel -Repair

5. Skrá orsökina ef vandamálin koma endurtekið upp

Sérstaklega ætti að skrá eftirfarandi upplýsingar:

• Windows-útgáfa

• Útgáfunúmer stýrikerfis

• uppsettar KB-uppfærslur

• útgáfa lénstýringarinnar (Domain Controller)

• hvenær vandamálið kom upp

• niðurstaða Test-ComputerSecureChannel

• niðurstaða nltest /sc_query

• atburðir (events) á biðlara og lénstýringu

Þannig er mun auðveldara að ganga úr skugga um hvort raunverulega sé um tengsl við uppfærsluna að ræða.

Engin endanleg orsök staðfest enn

Hér er nauðsynlegt að gera mikilvægan fyrirvara:

Kerfisstjórar greina nú frá endurteknum tilvikum sem tengja KB5124008 við skemmdar öruggar rásir við lénið (Domain Secure Channel), en samkvæmt nýjustu upplýsingum er þetta ekki skráð sem þekkt vandamál (Known Issue) í opinberum KB-skjölum Microsoft.

Upprunalega Microsoft Q&A-skýrslan lýsir endurtakanlegum aðstæðum með Windows 11 25H2 og lénsstýringum með Windows Server 2019. Aðrir kerfisstjórar tilkynna um svipuð vandamál, meðal annars með Windows Server 2022.

Einnig þess vegna ætti ekki að fullyrða of fljótt að KB5124008 sé örugglega orsök allra „Trust Relationship“-villna sem nú koma upp.

Áfram þarf að útiloka aðrar orsakir, svo sem DNS-vandamál, tímafrávik, vandamál með tölvureikninginn eða net-/VPN-íhluti.

Niðurstaða

Fylgjast ætti sérstaklega vel með KB5124008 í Active Directory-umhverfum eins og er.

Ef margir notendur á sömu Windows 11-tölvu geta skyndilega ekki lengur skráð sig inn á lénið eftir septemberuppfærsluna, þótt innskráningarupplýsingarnar séu réttar, er vert að skoða traustssamband tölvunnar við lénið.

Mikilvægasta fyrsta prófunin er:

Test-ComputerSecureChannel

Ef skipunin skilar False er mjög líklega vandamál með örugga rás tölvunnar við lénið.

Þar sem fyrirliggjandi tilkynningar sýna að einföld viðgerð dugar ekki til frambúðar á öllum kerfum ætti að skrá tæki sem verða fyrir þessu nákvæmlega og forðast að breyta notendareikningum eða lykilorðum í fljótfærni.

Síðast uppfært: 14. september 2026.

Við fylgjumst með þróun mála í kringum KB5124008 og uppfærum þessa grein um leið og Microsoft birtir opinbera yfirlýsingu eða viðeigandi lagfæringu.