עדכון ספטמבר של Windows 11 ניתק מחשבים מהדומיין: Microsoft מאשרת ומפרסמת עקיפה
אחרי התקנת KB5124008 חלק מהמחשבים הארגוניים איבדו את הקשר המאובטח עם Active Directory, והעובדים לא הצליחו להתחבר עם סיסמה נכונה. הסיבה: הגדרת Machine Identity Isolation שהעדכון התחיל לאכוף.
TL;DR בקצרה
- עדכון האבטחה KB5124008 מ-8 בספטמבר 2026 גרם במחשבי Windows 11 24H2 ו-25H2 מסוימים לשבירת יחסי האמון עם הדומיין.
- המשתמשים קיבלו הודעה ששם המשתמש או הסיסמה שגויים, גם כשהקלידו נכון. כניסה עם פרטים שמורים במצב לא מקוון המשיכה לעבוד.
- Microsoft הסבירה שהעדכון התחיל לכבד הגדרות קיימות של Machine Identity Isolation, תכונה שנתמכת רק בדומיין ברמת Windows Server 2025.
- העקיפה הרשמית: לכבות את התכונה, להפעיל מחדש ולתקן את הערוץ המאובטח. תיקון קבוע עוד בדרך.
עובד מדליק את המחשב בבוקר, מקליד את הסיסמה הרגילה, ומקבל הודעה שהסיסמה שגויה. אחרי כמה ניסיונות הוא פונה ל-IT, ושם מגלים שהבעיה בכלל לא בסיסמה. KB5124008, עדכון האבטחה של Windows 11 לספטמבר 2026, ניתק חלק מהמחשבים הארגוניים מהדומיין של Active Directory.
Microsoft אישרה ב-16 בספטמבר שזו בעיה מוכרת. היא פרסמה דרך לעקוף אותה.
מה קרה למחשבים אחרי KB5124008
העדכון KB5124008 שוחרר ב-8 בספטמבר למחשבי Windows 11 בגרסאות 24H2 ו-25H2. לפי Cyber Security News, חלק מהמחשבים איבדו את הערוץ המאובטח (Secure Channel) מול בקר הדומיין. זה קרה אחרי ההתקנה וההפעלה מחדש. הערוץ הוא הקשר שבזכותו השרת יודע שהמחשב הוא חלק מהארגון.
התוצאה: התחברות עם פרטי דומיין נכשלה, גם כשהסיסמה הייתה נכונה. לעומת זאת, כניסה עם פרטים שמורים במצב לא מקוון המשיכה לעבוד. זה יצר תמונה מבלבלת.
לפי BleepingComputer, מנהל מערכת אחד דיווח על הבעיה בארגון שלו. 11 מתוך כ-256 מחשבי Windows 11 25H2 איבדו את האמון מול הדומיין.
אחרים גילו שהסרת העדכון ובניית החיבור לדומיין מחדש פותרות את הבעיה. התקנה חוזרת של העדכון מחזירה אותה. לפי BleepingComputer, הבעיה פגעה גם במחשבי Windows 11 26H1 דרך העדכון המקביל KB5124012.
מה זה Machine Identity Isolation ולמה זה קרס
Machine Identity Isolation היא תכונה של Credential Guard. זה מנגנון ההגנה של Windows שמשתמש בווירטואליזציה כדי לבודד סודות רגישים. התכונה מעבירה את הסיסמה של חשבון המחשב לאזור מוגן. כך תוקף שהשתלט על המחשב יתקשה לגנוב אותה.
זה רעיון טוב, אבל יש לו תנאי. לדברי Microsoft, התכונה נתמכת רק כשבקרי הדומיין ברמת תפקוד של Windows Server 2025 ומעלה.
לפי ההסבר שפרסמה Microsoft, העדכון לא הפעיל את האכיפה בעצמו. הוא פשוט התחיל לכבד הגדרות שכבר היו קיימות במחשבים. ההגדרות הגיעו דרך מדיניות קבוצתית, Intune או ערך ברישום.
חלק מהארגונים הפעילו את התכונה בעבר, לפעמים בלי לשים לב, דרך תבנית אבטחה מומלצת. אם הדומיין שלהם עדיין לא ברמת Windows Server 2025, המחשבים פתאום לא הצליחו להזדהות.
העקיפה הרשמית לבעיה של KB5124008
Microsoft ממליצה לכבות את Machine Identity Isolation באותה דרך שבה הפעילו אותה. זה נעשה ב-Intune אם הוגדרה שם, או במדיניות קבוצתית.
אם ההגדרה נקבעה ישירות ברישום, יש לבדוק את הערך MachineIdentityIsolation. הערך יושב תחת HKLM\SYSTEM\CurrentControlSet\Control\Lsa ותחת HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard. אם הוא 2, יש לשנות ל-0. אחר כך מפעילים מחדש ומתקנים את הערוץ המאובטח עם הפקודה Test-ComputerSecureChannel -Repair ב-PowerShell. חלק מהמחשבים נזקקו בכל זאת להוצאה מהדומיין וצירוף מחדש.
מה זה אומר עבורכם
- בדקו את ההגדרה לפני שתתקלו בבעיה: עברו על מדיניות הקבוצה ועל תבניות האבטחה ב-Intune. עברו גם על הרישום במחשבי Windows 11. בדקו אם Machine Identity Isolation מוגדרת לאכיפה (ערך 2).
- בדקו את רמת הדומיין: בקרי הדומיין לא ברמת תפקוד של Windows Server 2025? התכונה לא נתמכת אצלכם. עדיף לכבות אותה עד שתשדרגו.
- אל תסירו את העדכון כפתרון: הסרת KB5124008 מחזירה את החיבור. אבל היא משאירה את המחשבים בלי תיקוני האבטחה של ספטמבר. העדיפו את העקיפה הרשמית.
- החזיקו גישת מנהל מקומית: ודאו שיש סיסמת מנהל מקומי זמינה בכל מחשב, למשל דרך LAPS. כך תוכלו לתקן מחשב שאיבד את הקשר לדומיין.
- עדכנו בגלים: התקינו עדכונים חודשיים תחילה על קבוצת מחשבים קטנה. רק אחרי כמה ימים בלי תקלות עדכנו את כל הארגון.
מה הלאה
Microsoft מסרה שהיא עובדת על תיקון בעדכון עתידי. התיקון ימנע זמנית את האכיפה של Machine Identity Isolation. החברה לא נקבה בתאריך.
עדכוני החירום שיצאו באמצע ספטמבר, כמו KB5129195 מ-14 בספטמבר, טיפלו בבעיות אחרות. הבעיות היו בשולחן עבודה מרחוק, ב-Hyper-V ובשמע ב-USB. הם לא טיפלו בבעיית הדומיין.
מקורות והרחבה
- Windows 11 KB5124008 update breaks domain trust for some usersBleepingComputer
- Microsoft releases workaround for Windows domain login authentication issuesBleepingComputer
- Windows 11 KB5124008 Update Breaks Domain Trust on Enterprise MachinesCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
