14 вересня 2026 р. | Microsoft Windows | Active Directory | ІТ-безпека
Після виходу вересневого оновлення безпеки KB5124008 для Windows 11 дедалі частіше з'являються повідомлення про незвичну проблему в класичних середовищах Active Directory.
Проблема стосується насамперед клієнтів Windows 11, які є членами локального домену Active Directory. Після встановлення оновлення захищений канал (Secure Channel) між комп'ютером і контролером домену може бути пошкоджено.
Наслідок: комп'ютер, як і раніше, фізично доступний у мережі, проте вхід у домен раптово перестає працювати.
Що таке KB5124008?
Microsoft випустила KB5124008 8 вересня 2026 р. як оновлення безпеки для Windows 11 24H2 і 25H2.
У Windows 11 25H2 оновлення підвищує версію до збірки 26200.9445, а у Windows 11 24H2 — до збірки 26100.9445. Microsoft описує це оновлення як стандартне оновлення безпеки та якості.
Microsoft уже документує кілька відомих проблем, пов'язаних із KB5124008, зокрема проблеми зі службами віддаленого робочого стола (Remote Desktop Services), USB-аудіопристроями та віртуальними машинами Linux на базі Hyper-V. Однак проблема із захищеним каналом Active Directory в офіційній документації KB наразі ще не зазначена як відома (Known Issue).
Суть проблеми: захищений канал до домену
Доменний комп'ютер має власний обліковий запис комп'ютера в Active Directory.
Між комп'ютером і контролером домену існує так званий захищений канал (Secure Channel). Він потрібен, зокрема, для довірчих відносин між комп'ютером і доменом.
Якщо цей канал пошкоджено, користувач за певних обставин раптово втрачає можливість увійти в домен.
Особлива підступність полягає в тому, що:
Ім'я користувача та пароль залишаються правильними.
Windows, наприклад, повідомляє:
«Неправильне ім'я користувача або пароль.»
Насправді ж проблема полягає не в паролі користувача, а в довірчих відносинах між комп'ютером і доменом.
Типова картина помилки
В одному з випадків, опублікованому адміністратором і відтворюваному на практиці, спостерігалася така поведінка:
Windows 11 25H2
Збірка 26200.9445
Оновлення KB5124008
класичний домен Active Directory
контролер домену під керуванням Windows Server 2019
Після встановлення оновлення вхід у систему спочатку ще працював. Однак через деякий час довірчі відносини виявилися пошкодженими.
Адміністратор зміг відтворити помилку на кількох пристроях: встановити оновлення → проблема виникає → видалити оновлення → проблема зникає. Після повторного встановлення KB5124008 помилка з'явилася знову.
Цікаво також, що інший адміністратор повідомляє про проблеми з контролерами домену Windows Server 2022. В інших звітах про досвід проблему описують навіть для різних версій контролерів домену. Це наразі не на користь поспішного припущення, що помилка стосується виключно Windows Server 2019.
Як перевірити наявність помилки
Якщо уражений комп'ютер ще можна запустити за допомогою локального облікового запису адміністратора або кешованих облікових даних домену, з'єднання Secure Channel можна перевірити за допомогою PowerShell.
Від імені адміністратора:
Test-ComputerSecureChannel
Якщо захищений канал працює, має повернутися:
True
Натомість на ураженому комп’ютері може:
False
з’явитися.
Додатково можна перевірити за допомогою nltest:
nltest /sc_query:DOMAIN
При цьому може, наприклад, виникнути помилка
ERROR_NO_TRUST_LSA_SECRET (1786)
з'являтися.
Саме таку картину помилки було задокументовано у зверненні на Microsoft Q&A.
Важливо: не скидайте одразу пароль користувача
Така картина помилки спокушає спершу скинути пароль постраждалого користувача.
Однак у цьому випадку це зазвичай хибний шлях.
Якщо кілька користувачів на одному й тому самому ПК раптово більше не можуть увійти через домен, тоді як, наприклад, кешований вхід офлайн досі працює, слід спершу перевірити довірчі відносини комп'ютера.
Типова ознака:
Test-ComputerSecureChannel
повертає:
False
Можлива спроба відновлення
Як першу спробу відновлення можна заново встановити Secure Channel:
Test-ComputerSecureChannel -Repair
за потреби — разом з обліковими даними доменного облікового запису з відповідними правами.
Як альтернативу можна скинути пароль облікового запису комп’ютера за допомогою PowerShell.
Однак тут слід бути обережним:
У повідомлених досі випадках відновлення не завжди дає стійкий результат.
Наприклад, у початковому випадку з Microsoft Q&A команди Test-ComputerSecureChannel -Repair виявилося недостатньо. Там комп’ютер зрештою довелося вивести з домену, а потім знову приєднати до нього.
Інші адміністратори, навпаки, повідомляють, що команда Repair допомогла принаймні тимчасово. Тож, схоже, прояви проблеми не однакові на всіх уражених системах.
Якщо відновлення не допомагає
Якщо Secure Channel і далі залишається пошкодженим, може знадобитися складніший захід — повторне приєднання до домену (Domain Join).
Спрощено:
Увімкнути локальний вхід за допомогою облікового запису адміністратора
Вивести комп'ютер із домену
Перезавантажити комп'ютер
Знову приєднати комп'ютер до домену
Перезавантажити ще раз
Перевірити вхід у домен
У задокументованому випадку відтворення саме ця процедура була необхідна, щоб остаточно усунути помилку.
Чи варто наразі відкласти встановлення KB5124008?
Тут слід розрізняти ситуації.
KB5124008 — це оновлення безпеки, і його не варто просто так огульно видаляти в усіх середовищах.
Водночас адміністраторам із класичними середовищами Active Directory наразі варто особливо уважно стежити за встановленням цього оновлення.
Разом із KB5124008 Microsoft випускає важливі покращення безпеки. Крім того, оновлення поширюється через Windows Update, Windows Update for Business і WSUS.
Тому для продуктивних середовищ рекомендується контрольоване розгортання:
Тестова група → спостереження → більша група → повне розгортання
а не обов'язково:
Оновити всі клієнти одночасно.
Особливо на пристроях, які потрібні користувачам для щоденного входу в систему, має бути також локальний обліковий запис адміністратора або працездатний спосіб відновлення.
Що ми наразі рекомендуємо
Компаніям із класичним Active Directory ми наразі рекомендуємо:
1. Перевірити, які версії Windows 11 зачеплені
На клієнті:
winver
або:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Перевірити, чи встановлено KB5124008
Get-HotFix -Id KB5124008
3. У разі проблем із входом перевірити Secure Channel
Test-ComputerSecureChannel
4. Якщо результат False, спочатку спробувати відновлення
Test-ComputerSecureChannel -Repair
5. У разі повторюваних проблем задокументувати причину
Зокрема, слід зафіксувати таку інформацію:
версія Windows
Збірка ОС
встановлені оновлення KB
версія контролера домену
час виникнення проблеми
результат виконання Test-ComputerSecureChannel
результат виконання nltest /sc_query
події на клієнті та контролері домену
Це дає змогу значно точніше встановити, чи справді проблема пов'язана з оновленням.
Остаточну причину ще не підтверджено
Тут необхідно зробити важливе застереження:
Зв’язок між KB5124008 і пошкодженими захищеними каналами домену (Domain Secure Channel) наразі відтворювано повідомляють адміністратори, проте станом на сьогодні він не зазначений як відповідна відома проблема (Known Issue) в офіційній документації Microsoft KB.
Оригінальний звіт Microsoft Q&A описує відтворювану ситуацію з Windows 11 25H2 та контролерами домену Windows Server 2019. Інші адміністратори повідомляють про подібні проблеми, зокрема й у Windows Server 2022.
Саме тому не варто поспішно стверджувати, що KB5124008 є однозначною причиною кожної поточної помилки довірчих відносин («Trust Relationship»).
Інші причини, як-от проблеми з DNS, розбіжності в часі, проблеми з обліковим записом комп’ютера або мережеві/VPN-компоненти, слід і надалі виключати.
Висновок
За KB5124008 у середовищах Active Directory наразі слід стежити особливо уважно.
Якщо після вересневого оновлення кілька користувачів одного ПК з Windows 11 раптово не можуть увійти в домен, хоча облікові дані правильні, варто перевірити довірчі відносини комп’ютера з доменом.
Найважливіший перший тест такий:
Test-ComputerSecureChannel
Якщо команда повертає False, то, найімовірніше, існує проблема із захищеним каналом (Secure Channel) між комп’ютером і доменом.
Оскільки наявні повідомлення свідчать, що просте відновлення допомагає не на всіх системах надовго, слід ретельно документувати уражені пристрої та не поспішати змінювати облікові записи користувачів або паролі.
Інформація актуальна станом на 14 вересня 2026 року.
Ми стежимо за розвитком ситуації навколо KB5124008 і оновимо цю статтю, щойно Microsoft опублікує офіційну заяву або відповідне виправлення.