עדכוני האבטחה של ספטמבר 2026 ל-Windows 11 גורמים לכשל בהתחברות לדומיין בחלק מהארגונים — משתמשים מקבלים שגיאות אמון דומיין או פרטי גישה שגויים, למרות ששם המשתמש והסיסמה תקינים. מיקרוסופט אישרה את התקלה ופרסמה פתרון עוקף זמני.
מה קרה
הגורם לתקלה הוא מנגנון בשם Machine Identity Isolation, שנועד לחזק את האימות בין מחשבים לבקרי הדומיין. לפי מיקרוסופט, העדכונים KB5124008 (ל-Windows 11 24H2 ו-25H2) ו-KB5124012 (ל-Windows 11 26H1) לא מפעילים את התכונה מעצמם, אלא גורמים למערכת ההפעלה להתחיל לאכוף הגדרות שכבר הוגדרו מראש דרך מדיניות קבוצתית. התכונה נתמכת רק מול בקרי דומיין שרצים ברמת פונקציונליות Windows Server 2025 ומעלה — בכל סביבה עם בקר דומיין ישן יותר, האכיפה שוברת את יחסי האמון וגורמת לכשלי התחברות.
הפתרון הזמני שפרסמה מיקרוסופט הוא שינוי ערך רישום שמכבה את האכיפה: HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation או, אם הוגדר דרך מדיניות, HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation — משנים את הערך מ-2 ל-0, מאתחלים את המחשב, ובמקרים מסוימים נדרש גם תיקון ערוץ מאובטח באמצעות Test-ComputerSecureChannel -Repair.
נקודות לשים לב
- אם בארגון יש בקרי דומיין ברמת פונקציונליות נמוכה מ-Windows Server 2025, בדוק לפני התקנת KB5124008 או KB5124012 האם Machine Identity Isolation מופעל אצלך דרך GPO או Intune.
- אם כבר נתקלת בכשלי התחברות אחרי העדכון, השתמש בעקיפה של מיקרוסופט: כיבוי הערך ברישום ותיקון הערוץ המאובטח עם
Test-ComputerSecureChannel -Repair -Credential (Get-Credential). - העקיפה מכבה זמנית מנגנון אבטחה — ברגע שבקרי הדומיין עודכנו לרמה הנתמכת, כדאי להפעיל אותו מחדש ולא להשאיר אותו כבוי לצמיתות.
- מיקרוסופט לא פרסמה עדיין תיקון קבוע בתוך העדכון החודשי עצמו; זה פתרון ביניים, ויש לעקוב אחרי עדכון עתידי.
מקורות: BleepingComputer
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
