La actualización acumulativa KB5124008 para Windows 11 (versiones 24H2 y 25H2) está causando problemas en entornos con Active Directory. Aunque Microsoft no la ha listado oficialmente como “problema conocido”, administradores reportan fallos críticos de autenticación tras su instalación.
El síntoma más grave es la ruptura del canal seguro entre las estaciones de trabajo Windows 11 y los Controladores de Dominio, lo que impide el inicio de sesión de los usuarios con credenciales válidas.
¿Qué es el canal seguro y por qué se rompe?
El canal seguro (Secure Channel) es un mecanismo de confianza mutua entre un equipo unido a dominio y el Controlador de Dominio. Se basa en un secreto compartido (la contraseña de la cuenta de equipo) que ambos lados deben conocer y rotar periódicamente.
Cuando KB5124008 se instala, algo en la pila de Netlogon o en el manejo de secretos LSA hace que el cliente y el DC dejen de reconocer ese secreto compartido. El resultado es que el equipo pierde la confianza con el dominio.
Entornos afectados
| Componente | Versión afectada |
|---|---|
| Cliente | Windows 11 25H2 |
| Controlador de Dominio | Windows Server 2019 (principalmente) |
Nota: No todos los equipos se ven afectados, en un mismo dominio, algunos clientes fallan y otros no, lo que dificulta enormemente la detección temprana.
Síntomas principales
1. Fallo de inicio de sesión interactivo
Los usuarios ven el siguiente mensaje al intentar iniciar sesión:
“El nombre de usuario o la contraseña son incorrectos.”
A pesar de que las credenciales son correctas y funcionan en otros equipos.
2. Inicio de sesión en caché funciona
Si el equipo no tiene conectividad de red con el DC, el inicio de sesión con credenciales en caché sí funciona. Esto confirma que el problema no son las credenciales del usuario, sino la autenticación contra el dominio.
3. Acceso a recursos de red sigue funcionando
Curiosamente, la autenticación a recursos compartidos (por ejemplo, net use \\servidor\recurso) sigue operativa. Esto indica que el fallo está en el canal de la máquina (computer account), no en la cuenta de usuario.
Diagnóstico técnico
Comandos de verificación
Ejecuta los siguientes comandos en el equipo afectado (como administrador):
# Verificar estado del canal seguro
Test-ComputerSecureChannel
# Resultado esperado si hay fallo: False
nltest /sc_query:dominio.local
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlLsa" `
-Name "MachineIdentityIsolation" -Value 0 -Type DWord
# Reparar Secure Channel
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
# Ingresar credenciales de administrador del dominio
# Verificar si el enlace seguro está en True.
Publicación foro de Microsoft.
VIDEO COMPLETO
Update 14-09-2026.
Microsoft acaba de lanzar una actualización de emergencia (OOB) para solucionar los problemas en #Windows11 causados por las actualizaciones 
de septiembre de 2026.
Esta corrige los problemas:
Fallos de Escritorio Remoto
Problemas en maquinas virtuales Linux en Hyper-V con carpetas compartidas. (Usadas por Cowork)
Problemas de dispositivos de audio por USB.
La actualización para Windows 11 25H2 y 24H2 es KB5129195.
Descarga directa desde Windows Catalog: Microsoft Update Catalog
Update 16-09-2026
La actualizaciones lanzadas de emergencia OOB para Windows Cliente y Windows Server no corrigen el problema perdida del canal seguro entre equipos clientes y controladores de dominio. Se siguen manteniendo las mitigaciones propuestas en este articulo.
Microsoft aún sigue investigando este problema ocasionados por las actualizaciones de Septiembre de 2026.
Update 17-09-2026
Microsoft ha compartido una mitigación para solucionar el problema de perdida del Secure Channel de equipos con Windows 11 después de las actualizaciones de Septiembre de 2026.
La característica que ocasiona el problema es Machine Identity Isolation que hace parte de la seguridad basada en virtualización.
Equipos que tienen habilitada esta característica pueden perder el canal seguro, Microsoft publica que deshabilitar esta y luego reparar el canal seguro con Test-ComputerSecureChannel -Repair -Credential (Get-Credential)soluciona el problema.
Se debe deshabilitar Machine Identity Isolation por el mismo medio de administración que se habilitó.
Fuente: Windows 11, version 25H2 known issues and notifications | Microsoft Learn
VIDEO COMPLETO
