Microsofts Patch Tuesday 8. september 2026 var uvanlig omfattende: Oppdateringene rettet rekordhøye 966 sårbarheter, blant dem to nulldagssårbarheter som ble aktivt utnyttet. Seks dager senere måtte selskapet imidlertid publisere 11 versjonsspesifikke oppdateringer utenfor ordinær oppdateringssyklus, såkalte OOB-oppdateringer, etter feil som rammet fjernaksess, Linux-VM-er og lyd.
16
7
Dette sluttet å fungere etter sikkerhetsoppdateringen
Microsoft identifiserte tre hovedfeil på enkelte oppdaterte enheter:
- Remote Desktop Services (RDS) kunne slutte å svare. Det kunne hindre opprettelse av nye økter og påvirke både lokal og ekstern innlogging.
4
- Plan9-delinger av vertsmappen kunne forsvinne i Linux-virtuelle maskiner som kjører på Hyper-V. Feilen gjaldt deling fra Windows-verten til gjesteoperativsystemet; den betydde ikke nødvendigvis at den virtuelle maskinen ikke startet.
8
- Enkelte USB Audio Class 1.0-enheter feilet i flerkanalsmodus. Enheter som fungerte i vanlig stereo, kunne svikte ved 8-kanals- eller 3D-lyd.
33
Dette var driftsfeil som kom i tillegg til, ikke i stedet for, sikkerhetsrettingene fra 8. september. Virksomheter som trengte sikkerhetsoppdateringen, måtte derfor ha en støttet vei til å gjenopprette funksjonaliteten.
Hva OOB-oppdateringene 14. september retter
Microsoft ga ut kumulative OOB-oppdateringer 14. september for berørte Windows-klient- og serverversjoner. Samlet retter de RDS-problemet og feilen som gjorde Plan9-delinger utilgjengelige i Hyper-V-baserte Linux-VM-er.
4
6
Oppdateringene retter også den konkrete USB Audio Class 1.0-feilen i 8-kanals- og 3D-lydmodus. For Windows 11 26H1 oppgir Microsoft uttrykkelig at KB5129194 løser denne flerkanalslydfeilen.
33
| Problem etter 8. september |
Status etter OOB-oppdateringene |
| RDS slutter å svare eller kan ikke opprette nye økter |
Rettet i OOB-oppdateringene. 4 |
| Plan9-delinger av vertsmappen er utilgjengelige i Hyper-V Linux-VM-er |
Rettet i OOB-oppdateringene. 8 |
| USB Audio Class 1.0 feiler i 8-kanals- eller 3D-modus |
Rettet i OOB-oppdateringene. 33 |
| USB Audio Class 1.0 viser Kode 10, starter ikke eller gir ingen lyd |
Ikke fullt løst. 34 36 |
USB-lyd: Løsningen er foreløpig bare delvis
OOB-oppdateringene løser ikke alle problemer med USB Audio Class 1.0. Microsoft lister fortsatt uavklarte symptomer der en berørt enhet ikke starter, viser Kode 10 i Enhetsbehandling eller ikke gir lyd.
34
36
Før OOB-rettingen for flerkanalslyd kom, opplyste Microsoft at noen kunder fikk tilbake lyden ved å endre utgangsoppsettet til to kanaler/stereo. Det gjelder bare symptomet knyttet til flerkanalsmodus og må ikke tolkes som en universalløsning for alle enheter uten lyd eller med Kode 10.
31
33
Det separate problemet med Active Directory-domene tillit
En egen, og potensielt mer alvorlig, feil rammer enkelte maskinkontoer beskyttet av Credential Guard etter KB5124008 og senere oppdateringer. Microsoft opplyser at berørte enheter kan miste sin sikre kanal til et lokalt Active Directory-domene (AD). Brukere kan da bli hindret i å logge på interaktivt med gyldige domeneopplysninger og få en melding om at tillitsforholdet mellom enheten og domenet har feilet.
22
25
Dette er ikke meldt som et driftsavbrudd på domenekontrollerne: Microsoft sier at AD-replikering og AD-tjenester på domenekontrollerne ikke er berørt. Tidligere hurtigbufrede påloggingsopplysninger kan fortsatt fungere uten nettverkstilkobling, noe som er forenlig med at maskinen kan godkjenne en lokal pålogging uten å etablere en ny sikker kanal til en domenekontroller.
22
26
Machine Identity Isolation: viktig, men ikke en innstilling man bør endre blindt
Microsofts veiledning knytter tilstanden til Machine Identity Isolation (MII). Septemberoppdateringene begynner å respektere eksisterende eller policy-konfigurerte innstillinger for MII-håndheving; de slår ikke direkte på håndheving for alle. Microsoft presiserer også at MII bare støttes når enhetene kobler seg til domenekontrollere med domenefunksjonsnivået Windows Server 2025 eller nyere, og at funksjonen bør være deaktivert i andre miljøer.
25
47
Microsoft har en avhjelpingsvei: Deaktiver MII gjennom samme administrasjonsmekanisme som ble brukt til å aktivere den, for eksempel Intune, gruppepolicy eller registerbasert konfigurasjon.
33
Men dette er ikke en endring som bør rulles ut bredt uten testing. Microsofts dokumentasjon advarer om at å slå av MII etter at den er aktivert i håndhevingsmodus, kan bryte domeneautentiseringen og gjøre det nødvendig å melde enheten ut av og inn i domenet igjen.
48
Anbefalt respons for IT-administratorer
- Installer den relevante kumulative OOB-oppdateringen fra 14. september der RDS, Hyper-V/Linux-deling av vertsmappen eller flerkanals USB-lyd er berørt. Oppdateringene er kumulative og retter de sentrale regresjonene.
6
10
- Håndter gjenværende USB Audio Class 1.0-symptomer separat. Dersom feilen bare gjelder 8-kanals- eller 3D-lyd, kontroller at OOB-oppdateringen er installert. Stereo/tokanalsmodus kan være en midlertidig løsning. Vedvarende Kode 10- eller ingen-lyd-feil er fortsatt under undersøkelse.
33
36
- Kartlegg Credential Guard- og MII-innstillinger før endringer på domeneinnmeldte endepunkter. Finn ut hvordan funksjonen er konfigurert, kontroller kravene til domenefunksjonsnivå, sørg for gjenopprettingsmuligheter og test tiltaket på representative systemer først.
25
33
48
- Ikke betrakt en fungerende frakoblet pålogging som tegn på at feilen er ufarlig. Den kan gi midlertidig tilgang, men gjenoppretter ikke maskinkontoens sikre kanal til Active Directory.
22
Det viktigste skillet er dermed at OOB-oppdateringene fra 14. september løste de fremtredende problemene med RDS, Hyper-V-deling og flerkanalslyd, mens domenetillitsfeilen knyttet til Credential Guard og MII krever en kontrollert, virksomhetstilpasset utbedring med reell konfigurasjonsrisiko.
4
22
48