Windows 11 KB5124008 Dilaporkan Merusak Domain Trust pada Sejumlah Perangkat Enterprise

Microsoft tengah menyelidiki laporan mengenai pembaruan keamanan Windows 11 KB5124008 yang diduga menyebabkan hubungan kepercayaan atau domain trust relationship dengan Active Directory terputus pada sebagian perangkat enterprise. Masalah tersebut membuat pengguna tidak dapat login menggunakan kredensial domain yang sebenarnya masih valid.

Laporan dari sejumlah administrator sistem menunjukkan bahwa masalah mulai muncul setelah perangkat Windows 11 menerima KB5124008 dan melakukan reboot. Pada sistem yang terdampak, komputer kehilangan secure channel dengan domain controller sehingga proses autentikasi domain gagal.

Microsoft telah mengonfirmasi bahwa mereka mengetahui laporan tersebut dan masih melakukan investigasi.

“Microsoft aware of these reports and is investigating. We will share guidance as it becomes available.”

Hingga saat ini, Microsoft belum mengonfirmasi penyebab utama masalah maupun menyediakan workaround resmi.

KB5124008 Memicu Kegagalan Autentikasi Domain

Pada lingkungan Active Directory, komputer yang bergabung ke domain menggunakan kredensial machine account untuk mempertahankan secure channel dengan domain controller. Hubungan ini diperlukan agar perangkat dapat melakukan autentikasi dan berkomunikasi secara aman dengan Active Directory.

Jika kredensial machine account yang tersimpan secara lokal tidak lagi sesuai dengan yang tercatat pada Active Directory, secure channel dapat rusak. Dampaknya, pengguna dapat menerima pesan seperti “The trust relationship between this workstation and the primary domain failed” atau bahkan dianggap memasukkan username maupun password yang salah.

Salah satu administrator Windows melaporkan bahwa workstation Windows 11 25H2 sebelumnya berfungsi normal. Setelah KB5124008 dipasang dan perangkat direboot, pengguna mulai mengalami kegagalan login menggunakan akun domain.

Menariknya, cached credentials masih dapat digunakan ketika komputer berada dalam kondisi offline. Hal tersebut mengindikasikan bahwa permasalahan bukan berasal dari password pengguna, melainkan dari proses autentikasi perangkat terhadap domain controller.

Pengujian administrator tersebut juga menunjukkan bahwa secure channel komputer dengan Active Directory memang mengalami kerusakan. Masalah dapat direproduksi secara konsisten dengan memasang kembali KB5124008 setelah pembaruan tersebut dihapus.

Puluhan Perangkat Dilaporkan Mengalami Domain Trust Error

Laporan serupa juga muncul dari administrator enterprise lainnya.

Dalam salah satu kasus, 11 dari sekitar 256 perangkat Windows 11 25H2 Enterprise kehilangan domain trust setelah menerima pembaruan. Administrator tersebut juga menemukan sejumlah kegagalan autentikasi Kerberos yang kemudian diikuti fallback ke NTLM dan Netlogon pada sistem yang terdampak.

Administrator lain melaporkan kondisi yang lebih luas, dengan workstation Windows 11 25H2 di lingkungannya mulai menolak kredensial domain yang valid setelah pembaruan dipasang.

Pola tersebut menjadi perhatian karena kegagalan tidak terjadi sekadar pada satu komputer atau satu akun pengguna, tetapi dapat muncul pada perangkat yang berada dalam lingkungan Active Directory yang sama.

Machine Identity Isolation Diduga Berkaitan dengan Masalah

Investigasi yang dilakukan administrator kemudian menemukan indikasi keterkaitan dengan fitur keamanan Windows bernama Machine Identity Isolation.

Pada beberapa perangkat yang bermasalah, nilai konfigurasi MachineIdentityIsolation ditemukan berada pada nilai 2, yang menunjukkan mode enforcement.

Fitur tersebut merupakan bagian dari konfigurasi keamanan berbasis Virtualization-Based Security (VBS) dan Credential Guard. Tujuannya adalah meningkatkan perlindungan terhadap kredensial machine account yang digunakan perangkat domain-joined untuk melakukan autentikasi ke Active Directory.

Dalam mode enforcement, kredensial machine account dipindahkan ke lingkungan yang dilindungi Credential Guard. Salinan kredensial yang sebelumnya berada di LSA kemudian dihapus.

Konfigurasi fitur tersebut dapat ditemukan melalui registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

MachineIdentityIsolation

Sejumlah administrator melaporkan bahwa setelah fitur tersebut dinonaktifkan, perangkat dapat kembali mempertahankan secure channel tanpa harus menghapus KB5124008.

Secure Channel Dapat Diperbaiki dengan PowerShell

Dalam beberapa kasus yang dilaporkan, administrator berhasil memulihkan hubungan komputer dengan domain setelah mengubah konfigurasi Machine Identity Isolation dan melakukan reboot.

Setelah itu, secure channel dapat diperbaiki menggunakan PowerShell dengan perintah berikut yang dijalankan menggunakan hak Administrator:

Test-ComputerSecureChannel -Repair -Credential(Get-Credential)

Perintah tersebut akan meminta kredensial yang memiliki hak untuk memperbaiki hubungan komputer dengan domain.

Salah satu administrator mengatakan bahwa setelah Machine Identity Isolation dinonaktifkan dan secure channel diperbaiki, komputer dapat kembali berjalan tanpa kehilangan hubungan domain setelah reboot berikutnya.

Namun, langkah tersebut tidak dapat dianggap sebagai workaround universal.

Microsoft Memperingatkan Agar Machine Identity Isolation Tidak Sembarangan Dinonaktifkan

Administrator perlu berhati-hati sebelum mengubah nilai MachineIdentityIsolation.

Dalam laporan lain, perubahan konfigurasi dari mode audit atau enforcement menjadi disabled justru menyebabkan kegagalan domain authentication pada sejumlah perangkat. Bahkan, beberapa komputer yang belum pernah memasang KB5124008 turut mengalami masalah setelah konfigurasi tersebut diubah.

Dokumentasi Microsoft juga memberikan peringatan terkait skenario tersebut.

Jika Machine Identity Isolation sebelumnya telah diaktifkan dalam mode enforcement, menonaktifkannya dapat menyebabkan domain authentication berhenti berfungsi. Dalam kondisi tertentu, perangkat harus dikeluarkan dari domain kemudian di-join kembali ke domain untuk memulihkan autentikasi.

Artinya, administrator tidak sebaiknya langsung mengubah registry secara massal hanya berdasarkan laporan bahwa konfigurasi tersebut berkaitan dengan KB5124008.

Belum Ada Workaround Resmi dari Microsoft

Sampai Microsoft menyelesaikan investigasinya, penyebab pasti kegagalan domain trust pada perangkat yang menerima KB5124008 masih belum dikonfirmasi.

Keterkaitan dengan Machine Identity Isolation saat ini berasal dari pengujian dan observasi administrator terhadap sistem yang terdampak. Microsoft belum menyatakan bahwa fitur tersebut merupakan akar masalah pembaruan KB5124008.

Bagi administrator Active Directory, kondisi ini berarti perubahan konfigurasi keamanan perlu dilakukan dengan sangat hati-hati, khususnya pada lingkungan enterprise dengan jumlah workstation yang besar.

Administrator yang mengalami masalah dapat memeriksa apakah secure channel komputer masih berfungsi, melihat konfigurasi MachineIdentityIsolation, serta mencatat perubahan sebelum dan sesudah instalasi KB5124008. Jika hendak melakukan perubahan konfigurasi atau uninstall pembaruan, sebaiknya terlebih dahulu diuji pada sejumlah perangkat yang terdampak dan bukan langsung diterapkan ke seluruh domain.

Microsoft diharapkan memberikan penjelasan mengenai akar masalah serta solusi resmi setelah investigasi selesai. Sampai saat itu, organisasi yang menggunakan Windows 11 25H2 dan Active Directory perlu memperhatikan laporan domain authentication failure setelah pemasangan KB5124008, terutama jika gejala mulai muncul segera setelah reboot.

Sumber: Microsoft