Cuando el parche rompe la red: el caso de la actualización KB5124008 y Active Directory

septiembre 16, 2026 Por fredyavila2


Por Fredy Avila             

El ciclo de parches mensuales representa un pilar indiscutible en la estrategia de seguridad de cualquier organización. Sin embargo, la implementación de la actualización acumulativa KB5124008 para Windows 11 (versiones 24H2 y 25H2), lanzada como parte del Patch Tuesday de septiembre de 2026, ha puesto a prueba a los departamentos de TI. Múltiples administradores de sistemas han reportado fallos críticos en los que las estaciones de trabajo pierden repentinamente la relación de confianza con Active Directory (Domain Trust), bloqueando el acceso a los usuarios del dominio.

Anatomía del problema: ¿Por qué falla el canal seguro?

En infraestructuras corporativas, cada equipo unido a Active Directory mantiene un canal seguro (secure channel) con los controladores de dominio mediante credenciales de cuenta de máquina almacenadas localmente. Cuando estas credenciales dejan de coincidir con los registros del controlador de dominio, el canal se rompe y el sistema rechaza los intentos de inicio de sesión, mostrando mensajes como "La relación de confianza entre esta estación de trabajo y el dominio primario falló" o indicando que las credenciales son incorrectas.

De acuerdo con análisis técnicos en foros de soporte y comunidades especializadas, el origen del fallo se concentra en dos factores principales:

  1. Aislamiento de identidad de máquina (Machine Identity Isolation): Esta característica, vinculada a la seguridad basada en virtualización (VBS) y Credential Guard, aísla el secreto de la cuenta de equipo fuera de la Autoridad de Seguridad Local (LSA) para evitar la extracción de credenciales desde el registro. Tras la instalación de KB5124008, algunas máquinas cambian el comportamiento de este parámetro, provocando la pérdida o incoherencia del secreto LSA tras reiniciar.

  2. Incompatibilidad en la negociación de Netlogon: La actualización introduce niveles de negociación más estrictos en el canal seguro de Netlogon. En entornos donde operan controladores de dominio bajo Windows Server 2019 o ciertas revisiones de Windows Server 2022, el canal no logra negociarse adecuadamente, derivando en fallos de autenticación Kerberos y caídas en cadena.

Síntomas recurrentes observados en producción

Los reportes de campo coinciden en un patrón de comportamiento que dificulta el diagnóstico inicial:

  • Inicios de sesión diferidos mediante caché: Las estaciones de trabajo afectadas continúan permitiendo el acceso con credenciales en caché mientras el equipo está desconectado de la red. El fallo se evidencia únicamente cuando el usuario intenta autenticarse contra el controlador de dominio o acceder a carpetas compartidas e impresoras de red.

  • Errores de eventos en controladores de dominio: Los registros de auditoría en los controladores de dominio generan eventos de autenticación fallida (Event ID 4625 con código de estado 0xC000006A) para la cuenta de equipo afectada.

  • Fallos en la validación por consola: Al verificar el estado de la comunicación mediante herramientas administrativas, la instrucción en PowerShell arroja un resultado negativo:

    PowerShell
    Test-ComputerSecureChannel
# Retorna: False

    Asimismo, la utilidad de línea de comandos nltest /sc_query devuelve el código de error ERROR_NO_TRUST_LSA_SECRET (1786).

Procedimiento de mitigación temporal

A la espera de un parche fuera de banda (Out-of-Band) por parte de Microsoft, los equipos de administración de red han estructurado una secuencia de remediación para recuperar la conectividad sin necesidad de retirar la totalidad de los parches de seguridad del sistema:

  1. Desactivar la directiva de Aislamiento de Identidad: Modificar el registro local para ajustar la clave de LSA o aplicar la directiva de grupo equivalente (System > Device Guard > Turn On Virtualization Based Security):

    PowerShell
    Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name 
    "MachineIdentityIsolation" -Value 0 -Type DWord

  2. Restablecer la clave de cuenta de equipo: Ejecutar la renovación de la contraseña de la máquina contra el controlador de dominio:

    PowerShell
    Reset-ComputerMachinePassword -Server "NombreControladorDominio" -Credential 
    (Get-Credential)

  3. Reparar el canal seguro: Restaura la relación de confianza ejecutando la reparación interactiva:

    PowerShell
    Test-ComputerSecureChannel -Server "NombreControladorDominio" -Repair -Credential 
    (Get-Credential)

Si los pasos anteriores no restablecen el canal, la alternativa inmediata consiste en remover temporalmente el equipo del dominio, reiniciar y unirse nuevamente a Active Directory. Paralelamente, se recomienda pausar el despliegue del paquete KB5124008 en las directivas de actualización corporativas (WSUS / Intune) para los anillos de producción que dependan de controladores de dominio Windows Server 2019.

Fuentes consultadas

Nota de transparencia: Para la estructuración y síntesis técnica de este artículo se utilizó el apoyo de herramientas de inteligencia artificial. El análisis del problema, la selección de fuentes especializadas, la verificación de comandos de comandos y la revisión técnica final fueron supervisados y validados directamente por el autor.

Para profundizar en el diagnóstico del canal seguro y ver paso a paso la aplicación de los comandos de reparación expuestos en el artículo, puedes consultar este tutorial en video: Reparación de la relación de confianza en Active Directory, el cual demuestra en un entorno de pruebas real el comportamiento del fallo tras instalar KB5124008.