През юни 2025 г. Microsoft пусна няколко ключови актуализации за сигурност, с които отстрани две сериозни и дългоочаквани проблеми, засягащи Windows Server домейн контролерите. Те включват аварии в удостоверяването чрез Kerberos и проблеми с мрежовата достъпност след рестартиране на сървъри с ролята на домейн контролер.
Проблем 1: Удостоверяване чрез Kerberos с грешки след актуализация от април
След инсталиране на KB5055523 от април 2025 г., домейн контролерите започнаха да изпитват затруднения при обработка на Kerberos логини и делегации в среди, използващи удостоверяване чрез ключове в Active Directory (msds-KeyCredentialLink).
Засегнати конфигурации:
-
Windows Hello for Business (WHfB) с Key Trust
-
Удостоверяване чрез Machine PKINIT
-
Интеграции със SSO решения и смарт карти
Коригиращи актуализации (юни 2025):
-
KB5060842 – Windows Server 2025
-
KB5060526 – Windows Server 2022
-
KB5060531 – Windows Server 2019
-
KB5061010 – Windows Server 2016
Microsoft обясни, че проблемът е следствие от мерки за защита срещу уязвимост с висока тежест (CVE-2025-26647), позволяваща повишаване на привилегии чрез слабости в обработката на входни данни в Kerberos.
Проблем 2: Недостъпност на Windows Server 2025 домейн контролери след рестарт
Друг важен проблем, също свързан с Windows Server 2025, предизвикваше зареждане на стандартен firewall профил след рестарт на домейн контролери, вместо на домейн firewall профила. Това доведе до:
-
Некоректна обработка на мрежов трафик
-
Недостъпност на приложения и услуги
-
Възможност за неразрешен достъп по портове и протоколи
Решение:
Също отстранен в KB5060842, пуснат в рамките на Patch Tuesday (юни 2025). До инсталиране на актуализацията, Microsoft препоръчва временна мярка: ръчно рестартиране на мрежовия адаптер след всяко зареждане чрез PowerShell командата:
Заключение
С двете актуализации Microsoft успешно отстранява сериозни проблеми, които застрашаваха стабилността на удостоверяването и мрежовата комуникация в корпоративни среди. Администраторите на Windows Server домейн контролери трябва незабавно да инсталират съответните актуализации, за да възстановят нормалната работа на удостоверителната инфраструктура и да избегнат бъдещи прекъсвания.
