Актуализацията за сигурност KB5124008 на Microsoft от септември 2026 г. прекъсва Always On VPN връзките на някои корпоративни клиенти с Windows 11 след пускането на пакета от вторника на актуализациите (Patch Tuesday) на 8 септември.
Администратори, които могат да възпроизведат проблема, заявяват, че тунелите, базирани на сертификати, които са работили непосредствено преди инсталирането на корекцията за сигурност, спират да се свързват след това и възстановяват работата си веднага щом кумулативната актуализация бъде премахната и устройството бъде рестартирано.
Първият подробен доклад се появи в Microsoft Q&A на 9 септември 2026 г. от администратор, управляващ клиенти с Windows 11 24H2 и 25H2 с Always On VPN, автентификация, базирана на сертификати, Routing and Remote Access Service плюс Network Policy Server на Windows Server 2019 и VPN профил, внедрен чрез Microsoft Intune.
Обновление за сигурност KB5124008 за Windows 11
След инсталирането на KB5124008 Always On VPN вече не се свързва. Деинсталирането на актуализацията и рестартирането възстановява тунела на множество компютри, поради което докладвалият потребител е спрял внедряването. Този цикъл на работа-срив-работа е класически признак за регресия от страна на клиента, а не за грешен Intune профил или неизправен NPS сървър.
Независимият съветник Domic Vo заяви на автора на публикацията, че моделът съвпада с промяна в мрежовия стек на Windows или с обработката на IPsec сертификати, а не с грешка в локалната конфигурация.
Vo посъветва да се събират данни от rasphone.pbk, събития от RasClient в Applications and Services Logs и NPS логове, ако бъде отворен тикет за поддръжка към Microsoft. Предложението за пренасочване на засегнатите Intune профили към EAP-TLS трябва да се разглежда само като непотвърдено временно решение, а не като официална препоръка от Microsoft.
KB5124008 е кумулативната актуализация за сигурност от 8 септември за Windows 11 24H2 (която обновява версията до билд 26100.9445) и 25H2 (която я обновява до билд 26200.9445).
Статията за поддръжка на Microsoft все още гласи, че компанията към момента не разполага с информация за проблеми с тази актуализация, въпреки че някои ИТ екипи спират внедряването ѝ върху системи с отдалечен достъп.
Същото издание е задължителен пакет от вторника на актуализациите, който покрива рекорден брой уязвимости, включително две уязвимости за ескалация на привилегии от тип нулев ден, които вече се експлоатират активно: CVE-2026-81963 в Windows Update Stack и CVE-2026-85880 в Windows Advanced Local Procedure Call.
Поради това задържането на клиентската актуализация поставя достъпността на VPN тунела срещу натрупани рискове за сигурността. Ето защо много организации замразяват актуализирането само на групите с Always On VPN в WSUS или Intune, вместо да блокират пакета за цялата инфраструктура.
Моментът е особено неприятен, тъй като същата кумулативна актуализация рекламираше подобрена устойчивост за фонови процеси, свързани с VPN, които биха могли да спрат да реагират.
Корекция за сигурност, която твърди, че подобрява VPN защитата, докато същевременно срива Always On VPN връзките, базирани на сертификати, е точно такъв тип регресия, за който мрежовите екипи в компаниите следят след всеки Patch Tuesday.
Докато Microsoft не документира проблема или не пусне извънредна корекция, консервативният подход е този, който засегнатата организация вече е предприела: да се паузира KB5124008 за крайните устройства с Always On VPN, да се поддържат актуализирани RRAS и NPS сървърите и да се отвори тикет за ескалация с доказателства от RasClient и NPS, за да може казусът да бъде групиран с други доклади.
Организациите, които трябва да запазят актуализацията от съображения за съответствие, трябва да тестват всяка промяна в автентификацията в малка пилотна група и да третират деинсталирането и рестартирането като единствения доказан начин за възстановяване към момента. Домашните потребители без Always On VPN не са засегнати.
Това е регресия в отдалечения достъп на корпоративно ниво, наложена над високоприоритетно издание за сигурност на Windows 11, и тя заслужава вписване като официално известен проблем преди следващата вълна от обновления.