In questo articolo Indice dei contenuti 2 sezioni
I problemi di accesso al dominio Windows spuntati dopo gli aggiornamenti di sicurezza di settembre 2026 hanno finalmente una soluzione tampone, arrivata direttamente da Microsoft mercoledì. Niente patch definitiva, per ora, ma una procedura che permette agli amministratori di rimettere in piedi le autenticazioni sui sistemi aziendali dove gli utenti si ritrovano bloccati fuori pur digitando credenziali perfettamente valide.
La segnalazione era diventata parecchio rumorosa. Sui forum Q&A di Microsoft, su Reddit e su altre piattaforme online, utenti e amministratori IT hanno descritto lo stesso scenario: dopo l’installazione delle patch, alcune macchine Windows 11 perdono il rapporto di fiducia con il dominio e restituiscono errori di trust o di credenziali, anche quando nome utente e password sono corretti. Chi ha scavato nel problema ha puntato il dito sul meccanismo di sicurezza chiamato Machine Identity Isolation, che viene portato in modalità di applicazione forzata dopo l’installazione di KB5124008 (per Windows 11 24H2 e 25H2) oppure di KB5124012 (per Windows 11 26H1).
Cosa succede davvero con Machine Identity Isolation
La stessa documentazione di Microsoft mette in guardia su un punto delicato: attivare Machine Identity Isolation in modalità di enforcement e poi disattivarlo rompe l’autenticazione di dominio, costringendo a rimuovere il dispositivo dal dominio Windows e a riaggiungerlo da zero. Non esattamente una passeggiata, quando si parla di parchi macchine aziendali.
Mercoledì l’azienda ha confermato che i problemi di autenticazione derivano proprio dagli aggiornamenti di sicurezza di settembre 2026 che abilitano la funzione. La spiegazione fornita nel bollettino sullo stato di salute delle release è sottile ma importante: l’aggiornamento non attiva direttamente l’enforcement, però fa in modo che Windows inizi a rispettare eventuali impostazioni già presenti o distribuite via policy che avevano abilitato quella modalità. In pratica, configurazioni rimaste dormienti si sono risvegliate tutte insieme.
C’è poi il vincolo tecnico che spiega perché tanti ambienti sono saltati: la funzione è supportata soltanto dove i controller di dominio operano a un Domain Functional Level di Windows Server 2025 o superiore. Altrove va tenuta spenta. Di conseguenza, Microsoft chiede agli amministratori di disattivare Machine Identity Isolation su tutti i dispositivi che erano stati configurati per usarla e che non sono collegati a controller di dominio Windows Server 2025.
La procedura per aggirare il blocco
Il workaround segue una regola semplice: la funzione va disattivata con lo stesso strumento con cui era stata attivata. Se l’abilitazione era passata da una policy Intune, si disattiva da Intune. Se arrivava da una group policy, si interviene sulla group policy.
Nel caso in cui Machine Identity Isolation fosse stata attivata direttamente nel registro di Windows, su un dispositivo Windows 11 versione 24H2 o 25H2 bisogna controllare due percorsi: HKLMSYSTEMCurrentControlSetControlLsaMachineIdentityIsolation e HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuardMachineIdentityIsolation. Per entrambe le chiavi, se il valore MachineIdentityIsolation risulta impostato su 2, va portato a 0. Poi riavvio del dispositivo e, come ultimo passaggio, ripristino del canale sicuro con il comando Test-ComputerSecureChannel -Repair -Credential (Get-Credential).
Microsoft sta lavorando a una correzione più strutturale, che in un futuro aggiornamento di Windows impedirà temporaneamente l’applicazione forzata della funzione.
Fonte: TecnoAndroid
