A Microsoft confirmou que as atualizações de segurança lançadas em setembro de 2026 causaram problemas de login para alguns usuários do Windows 11 em domínios corporativos, com a exibição de erros de confiança no domínio ou de credenciais, apesar de os nomes de usuário e as senhas estarem corretos. A empresa publicou uma solução temporária enquanto uma atualização que trate diretamente da causa não é lançada.
O problema está relacionado ao mecanismo Machine Identity Isolation, cujas configurações atuais ou impostas por políticas passaram a ser respeitadas pelos sistemas Windows após a instalação das atualizações KB5124008 para as edições Windows 11 24H2 e 25H2 e KB5124012 para a edição Windows 11 26H1. A Microsoft explicou que as atualizações não ativam o mecanismo diretamente, mas fazem o sistema aplicar configurações que já haviam sido previamente definidas para impô-lo.
O que causa a falha de autenticação?
Em alguns ambientes, essas alterações romperam as relações de confiança entre os dispositivos e os controladores de domínio, impedindo que os usuários fizessem login usando credenciais válidas. Usuários e administradores de TI relataram o problema nos fóruns Microsoft Q&A, no Reddit e em outras plataformas.
A documentação da Microsoft também alerta que ativar o Machine Identity Isolation no modo de imposição e depois desativá-lo pode interromper a autenticação no domínio, o que pode exigir remover o dispositivo do domínio do Windows e ingressá-lo novamente.
A empresa afirma que esse mecanismo é compatível apenas com ambientes conectados a controladores de domínio que operam no nível funcional de domínio do Windows Server 2025 ou superior. Portanto, ele deve ser desativado em outros ambientes, bem como em dispositivos que foram previamente configurados para usá-lo e não se conectam a controladores de domínio que atendam a esse requisito.
Solução temporária para administradores de sistemas
A Microsoft recomenda desativar o Machine Identity Isolation usando o mesmo método de gerenciamento empregado para ativá-lo. Se a configuração tiver sido imposta pelo Intune, ela deverá ser desativada pelo Intune; se a Group Policy tiver sido usada, a própria política deverá ser modificada.
Se o mecanismo tiver sido ativado diretamente pelo registro do Windows, as etapas nos dispositivos com Windows 11 24H2 ou 25H2 são as seguintes:
- Verificar os dois caminhos a seguir no registro: HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation e HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation.
- Se o valor de MachineIdentityIsolation for 2, defini-lo como 0.
- Reiniciar o dispositivo depois de desativar o mecanismo.
- Reparar o canal seguro usando o comando: Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
O que muda na prática?
O problema não significa que as credenciais dos usuários tenham se tornado inválidas, mas que alguns dispositivos já não conseguem concluir a relação de confiança com o domínio depois que uma configuração de segurança existente ou previamente imposta é aplicada. Por isso, os administradores de sistemas precisam revisar primeiro como o Machine Identity Isolation foi ativado, em vez de alterar senhas aleatoriamente ou presumir que a falha seja causada pelas contas dos usuários.
A solução publicada não representa uma correção definitiva; a Microsoft afirmou que está trabalhando em uma atualização futura que impedirá temporariamente a imposição do Machine Identity Isolation. A empresa também lançou atualizações emergenciais para tratar de outras falhas causadas pelas atualizações de setembro, incluindo problemas no Remote Desktop Services, no Hyper-V e no áudio via USB, mas essas atualizações não resolveram todos os problemas de áudio conhecidos. A identificação dos dispositivos afetados e a verificação do nível funcional de domínio do Windows Server 2025 continuam sendo etapas necessárias antes da aplicação de qualquer alteração ampla.