Wrześniowy patchday psuje Windows 11

Wrześniowe aktualizacje Microsoftu pod lupą

Wrześniowy pakiet poprawek dla Windows 11 przyniósł nie tylko łaty bezpieczeństwa, ale też serię problemów, które zaczęły pojawiać się u użytkowników i administratorów tuż po instalacji. Wśród zgłaszanych kłopotów znalazły się m.in. czarny ekran po logowaniu, błędy związane z Secure Boot, a także utrata zaufania do domeny na stacjach roboczych z Windows 11 25H2.

W opisach powtarza się jeden motyw: część awarii pojawia się dopiero po restarcie, a w niektórych przypadkach pomaga jedynie obejście problemu po stronie administracyjnej albo pełne odtworzenie relacji z domeną.

Secure Boot i problemy z rozruchem

Jednym z najbardziej niepokojących sygnałów są przypadki, w których po instalacji wrześniowego update'u system wpada w błąd Secure Boot albo przestaje prawidłowo się uruchamiać.

W tle pojawia się też temat WinRE, czyli środowiska odzyskiwania Windows. Zgłaszano, że jeśli partycja WinRE jest zbyt mała, Windows Update próbuje ją dopasować podczas instalacji, co może zakończyć się błędem. W praktyce oznacza to, że problem może dotyczyć nie tylko samej łatki, ale też układu partycji i konfiguracji konkretnego sprzętu.

W oddzielnych zgłoszeniach użytkownicy pisali również o komputerach, które po instalacji wrześniowych poprawek nie wstają poprawnie po pierwszym restarcie, wpadają w pętlę rozruchową albo kończą z błędem KERNEL_SECURITY_CHECK_FAILURE (0x139).

Czarny ekran po logowaniu

Kolejna grupa problemów dotyczy pulpitu po zalogowaniu. U części użytkowników Windows 11 po aktualizacji pokazuje się jedynie czarny ekran z kursorem, a interfejs pojawia się dopiero po dłuższym czasie albo nie pojawia się wcale.

Opisano także przypadki, w których:

pasek Start reaguje na klawiaturę, ale pulpit nie jest widoczny,
otwarte wcześniej aplikacje działają w tle,
przełączenie okien klawiszem Tab czasem ujawnia ich fragmenty,
komputer po chwili samoczynnie się restartuje.

W jednej z relacji źródłem problemu okazała się podmiana sterownika graficznego na wbudowany sterownik Windows podczas aktualizacji. Po ponownej instalacji właściwego sterownika obraz wrócił do normy, także w sesjach RDP.

Domena traci zaufanie

Najbardziej dotkliwy problem dotyczy środowisk firmowych. Po instalacji wrześniowego update'u część komputerów z Windows 11 25H2 zaczęła tracić zaufanie do domeny.

W praktyce objawia się to tym, że:

logowanie do domeny przestaje działać,
połączenie z kontrolerem domeny przez VPN nie zawsze pomaga,
działają jedynie offline credentials, jeśli system jeszcze ich używa,
w niektórych przypadkach konieczne jest ponowne dołączenie komputera do domeny.

Wśród analizowanych zgłoszeń przewija się podejrzenie, że problem leży w szyfrowaniu VPN albo w negocjacji bezpiecznego kanału Netlogon między klientem a kontrolerem domeny. Pojawiał się też błąd ERROR_NO_TRUST_LSA_SECRET (1786), wskazujący na rozjazd między sekretem przechowywanym lokalnie na stacji roboczej a tym po stronie domeny.

W środowiskach z kontrolerami domeny Windows Server 2019 wskazywano na regresję po stronie Windows 11 25H2 oraz aktualizacji KB5124008. To właśnie ten pakiet był najczęściej łączony z utratą zaufania do domeny i problemami z bezpiecznym kanałem.

RDP, BitLocker i inne skutki uboczne

Na liście problemów znalazły się także mniej spektakularne, ale nadal uciążliwe błędy:

połączenia RDP kończące się czarnym ekranem,
wpisy w dzienniku związane z BitLockerem i próbą pobrania klucza głównego podczas restartu,
nieudane instalacje aktualizacji z rollbackiem po pierwszym restarcie,
trudności z instalacją poprawek na niektórych maszynach z Windows 11 LTSC 2024.

W części przypadków rozwiązaniem było ponowne zainstalowanie właściwego sterownika graficznego, w innych – usunięcie aktualizacji. Nie ma jednak jednego uniwersalnego scenariusza, bo objawy różnią się zależnie od konfiguracji sprzętu i środowiska.

Co to oznacza dla administratorów

Wrześniowy patchday pokazuje, że nawet standardowe aktualizacje bezpieczeństwa mogą wywołać poważne skutki uboczne. Najbardziej narażone wydają się środowiska firmowe z:

Windows 11 25H2,
logowaniem do domeny,
połączeniami przez VPN,
niestandardową konfiguracją Secure Boot i WinRE,
mieszanką sterowników OEM i wbudowanych sterowników Windows.

Na ten moment najbezpieczniejsze podejście to dokładne monitorowanie stacji roboczych po wdrożeniu poprawek oraz szybka weryfikacja logów, jeśli pojawią się objawy typu czarny ekran, utrata domeny czy problemy z rozruchem.

Najważniejsze wnioski

wrześniowe aktualizacje dla Windows 11 wywołały kilka różnych klas problemów,
najpoważniejsze dotyczą Secure Boot, rozruchu i zaufania do domeny,
część błędów można obejść, ale w wielu przypadkach potrzebne są działania administracyjne,
w środowiskach firmowych szczególną uwagę warto zwrócić na KB5124008 i konfigurację VPN oraz domeny.

Na razie obraz jest jasny: patchday załatał wiele luk, ale w części środowisk otworzył nowe problemy operacyjne, które mogą mocno dać się we znaki działom IT.