Microsoft está investigando informes de que la actualización de seguridad KB5124008 de Windows 11 podría provocar que algunos dispositivos empresariales unidos a un dominio pierdan su relación de confianza con Active Directory después de reiniciarse.
Administradores que publicaron en Microsoft Q&A y Reddit afirmaron que los sistemas Windows 11 25H2 afectados rechazaban credenciales de dominio válidas tras instalar la actualización. Según varios informes, los usuarios aún podían iniciar sesión con credenciales almacenadas en caché mientras estaban desconectados de la red, lo que sugiere que el problema afectaba a la autenticación de dominio y no a cambios en las contraseñas de los usuarios.
Informes de fallos del canal seguro
Los PC unidos a un dominio mantienen un canal seguro con los controladores de dominio mediante credenciales de cuenta de equipo. Cuando las credenciales almacenadas en un dispositivo ya no coinciden con la cuenta de equipo correspondiente de Active Directory, Windows puede mostrar errores de confianza de dominio o denegar los inicios de sesión de dominio.
Algunos administradores afirmaron haber confirmado que el canal seguro había fallado en los sistemas afectados. Informaron de que desinstalar KB5124008 y reparar la relación del equipo con el dominio restauraba el acceso, mientras que reinstalar la actualización hacía que el problema reapareciera. La cantidad de dispositivos afectados parece variar según el entorno, con informes que van desde un subconjunto de estaciones de trabajo hasta todos los sistemas Windows 11 actualizados de una organización.
Aislamiento de identidad de máquina bajo revisión
Las investigaciones de la comunidad han señalado la configuración de Aislamiento de identidad de máquina de Windows como un posible factor. La función está asociada con la seguridad basada en virtualización y Credential Guard, y está diseñada para proteger los secretos de cuentas de equipo utilizados para la autenticación de Active Directory.
Los administradores observaron que algunos endpoints afectados tenían la configuración MachineIdentityIsolation establecida en modo de aplicación tras la actualización. En ese modo, Windows puede colocar el secreto de la cuenta de equipo bajo las protecciones de Credential Guard y eliminar la copia anterior mantenida por la Autoridad de seguridad local.
Varios administradores afirmaron que deshabilitar la configuración y reparar el canal seguro resolvió su problema inmediato. Sin embargo, cambiar la configuración puede por sí mismo interrumpir la autenticación. La documentación de Microsoft advierte que los dispositivos que usaban previamente el modo de aplicación podrían tener que eliminarse de un dominio y volver a unirse a él si se deshabilita la función.
- Microsoft ha reconocido los informes y ha indicado que está investigando.
- La empresa no ha confirmado la causa raíz.
- No se ha publicado ninguna solución alternativa oficial.
Las organizaciones que experimenten el problema deben validar los cambios en un entorno controlado y seguir las directrices de Microsoft cuando estén disponibles.