Microsoft onderzoekt meldingen dat de beveiligingsupdate KB5124008 voor Windows 11 25H2 op sommige bedrijfssystemen de domain trust-relatie kapot maakt. Getroffen gebruikers kunnen na een herstart niet meer inloggen met hun domeinaccount, ook niet met het juiste wachtwoord. Windows meldt dan dat de inloggegevens onjuist zijn, terwijl lokaal gecachte inloggegevens gewoon blijven werken. Dat wijst op een probleem met de domeinauthenticatie zelf, niet met het wachtwoord.
Beheerders melden wisselende schade. Sommigen zien het probleem bij een deel van hun apparaten, bijvoorbeeld 11 van de 256 machines, terwijl anderen hun hele 25H2-omgeving zien uitvallen. Op de getroffen systemen mislukt eerst de Kerberos-authenticatie, waarna Windows terugvalt op NTLM en Netlogon.
Het spoor leidt naar Machine Identity Isolation, een beveiligingsfunctie die machineaccountgegevens verplaatst naar Credential Guard en de kopie in de LSA verwijdert. De update lijkt deze functie op sommige systemen in enforcement-modus te zetten via de registerwaarde MachineIdentityIsolation, die dan op 2 komt te staan.
Een tijdelijke oplossing bestaat, maar is niet zonder risico. Beheerders zetten de registerwaarde terug naar 0, herstarten het systeem en herstellen het secure channel met het commando Test-ComputerSecureChannel -Repair -Credential (Get-Credential). Op systemen waar de functie al langer actief stond, kan het uitzetten ervan juist voor nieuwe inlogproblemen zorgen. Microsoft bevestigt het onderzoek, maar heeft nog geen officiële fix of oorzaak vrijgegeven.
Voor Nederlandse beheerders is voorzichtigheid geboden: test de registerwijziging eerst op een paar machines voordat je die breed uitrolt, en houd bij welke systemen Machine Identity Isolation al hadden ingeschakeld voor de update. Wie nog niet is geraakt, kan overwegen KB5124008 tijdelijk te pauzeren op domeingekoppelde Windows 11 25H2-systemen totdat Microsoft met een definitieve fix komt.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.