Microsoft naprawia pętle restartów kontrolera domeny Windows Server KB5082063

Firma Microsoft wydała 19 kwietnia 2026 r. poprawkę awaryjną dla krytycznej luki w kwietniowej aktualizacji KB5082063, która wysyłała kontrolery domeny Windows Server w ciągłe pętle ponownego uruchamiania.

Pozapasmowa aktualizacja to KB5091157 (OS Build 26100.32698) dla Windows Server 2025oraz KB5091575 (kompilacja systemu operacyjnego 20348.5024) dla Windows Server 2022. Obie są już dostępne za pośrednictwem Windows Update, Microsoft Update Catalog i WSUS.

Co poszło nie tak

KB5082063, wydana 14 kwietnia, powodowała awarie usługi Local Security Authority Subsystem Service, znanej jako LSASS, na kontrolerach domeny spoza katalogu globalnego działających w środowiskach korzystających z Privileged Access Management (PAM). LSASS to składnik systemu Windows, który obsługuje żądania uwierzytelniania i wymusza zasady bezpieczeństwa w domenie.

Gdy ulega on awarii podczas uruchamiania, serwer uruchamia się ponownie, ulega tej samej awarii i uruchamia się ponownie, blokując maszynę w pętli. W niektórych przypadkach problem pojawiał się również podczas konfigurowania nowego kontrolera domeny lub na serwerach, które rozpoczęły przetwarzanie żądań uwierzytelnienia na wczesnym etapie sekwencji rozruchowej.

W rezultacie dotknięte kontrolery domeny nie mogły uwierzytelnić żadnych użytkowników ani usług, w niektórych przypadkach czyniąc całą domenę niedostępną do czasu ręcznego odzyskania serwera.

Platformy, których dotyczył problem

Problem dotyczył kontrolerów domeny z systemem Windows Server 2025, Windows Server 2022, Windows Server 2019, Windows Server 2016 i Windows Server w wersji 23H2. Problem nie dotyczył urządzeń osobistych i maszyn niezarządzanych przez dział IT.

Trzy problemy, jedna aktualizacja

Pętla restartów była trzecim znanym problemem związanym z KB5082063 w ciągu tygodnia od jego wydania. Microsoft już wcześniej potwierdził, że ta sama aktualizacja uruchamiała BitLocker przy pierwszym ponownym uruchomieniu niektórych urządzeń z systemami Windows Server 2025 i Windows 11, a także, że nie udało się jej zainstalować w całości na niektórych systemach Windows Server 2025 z kodem błędu 0x800F0983.

Pomimo tych problemów, Microsoft nie wycofał aktualizacji. KB5082063 łata 167 luk, w tym dwie aktywnie wykorzystywane luki typu zero-day, co sprawia, że pełne wycofanie aktualizacji stanowi poważne zagrożenie dla bezpieczeństwa środowisk korporacyjnych.

To już trzeci kwiecień z rzędu, w którym comiesięczna aktualizacja serwerów Microsoftu zakłóciła działanie kontrolerów domeny. W marcu 2024 r. konieczna była poprawka awaryjna po tym, jak w tym miesiącu wydano Patch Tuesday spowodowała awarie DC. Kwiecień 2024 roku zepsuł uwierzytelnianie NTLM i wymusił nieplanowane restarty. Kwiecień 2025 roku wprowadził problemy z uwierzytelnianiem Active Directory, które wymagały osobnej poprawki w czerwcu 2025 roku.