Microsoft의 2026년 9월 보안 업데이트(KB5124008, KB5124012)를 설치한 기업 환경의 Windows 11 사용자들이 정상적인 도메인 계정으로도 로그인하지 못하는 문제가 발생하고 있습니다. 원인은 'Machine Identity Isolation(머신 신원 격리)'이라는 보안 기능이 이번 업데이트로 인해 강제 적용 모드로 활성화되면서 도메인 신뢰 관계가 끊어지기 때문입니다. 이 기능은 Windows Server 2025 이상의 도메인 컨트롤러 환경에서만 지원되므로, 그 이하 버전을 사용하는 환경에서는 반드시 비활성화해야 합니다. Microsoft는 Intune, 그룹 정책, 또는 레지스트리를 통해 해당 기능을 끄는 임시 해결책을 공개했습니다. 영구적인 수정 패치는 향후 Windows 업데이트를 통해 제공될 예정입니다.
Microsoft의 2026년 9월 보안 업데이트(KB5124008/KB5124012) 설치 후 일부 기업 환경에서 Windows 11 사용자가 유효한 도메인 자격 증명으로도 로그인할 수 없는 문제가 발생했다.
기업 도메인 환경에서 도메인 신뢰 오류 및 자격 증명 오류가 발생해 업무 시스템 접근이 차단되었으며, IT 관리자들이 광범위하게 피해를 보고했다.
업데이트가 'Machine Identity Isolation' 기능을 강제 적용 모드로 활성화하지만, 이 기능은 Windows Server 2025 도메인 기능 수준(DFL) 이상에서만 지원된다. 그 이하 환경에서는 도메인 인증이 정상 작동하지 않는다.
Microsoft는 Intune·그룹 정책·레지스트리 등 기능을 활성화했던 방법과 동일한 방법으로 Machine Identity Isolation을 비활성화하는 임시 해결책을 공개했으며, 향후 업데이트로 강제 적용을 일시 차단하는 영구 수정 패치를 제공할 예정이다.
관리자는 도메인 컨트롤러가 Windows Server 2025 미만인 경우 즉시 Machine Identity Isolation을 비활성화해야 한다. 레지스트리를 직접 수정했다면 MachineIdentityIsolation 값을 2에서 0으로 변경하고 재시작 후 보안 채널을 초기화해야 한다.
본문
Microsoft는 수요일, 2026년 9월 보안 업데이트를 설치한 후 Windows 11 사용자가 유효한 도메인 자격 증명으로 로그인할 수 없는 알려진 문제에 대한 임시 해결책을 공유했다.
Microsoft Q&A 포럼, Reddit 등 온라인 플랫폼에 올라온 사용자와 IT 관리자들의 광범위한 보고에 따르면, 이 버그는 일부 기업 시스템에서 도메인 신뢰 관계를 끊어 놓으며, 사용자명과 비밀번호가 유효함에도 불구하고 도메인 신뢰 오류 및 자격 증명 오류가 발생하게 만든다.
이 문제를 조사한 관리자들은 장애의 원인이 'Machine Identity Isolation(머신 신원 격리)' Windows 보안 메커니즘으로, 이번 달 KB5124008(Windows 11 24H2/25H2) 또는 KB5124012(Windows 11 26H1) 업데이트 설치 후 강제 적용 모드로 설정되기 때문임을 확인했다.
Microsoft 문서에도 Machine Identity Isolation을 강제 적용 모드로 활성화한 뒤 다시 비활성화하면 도메인 인증이 중단되고, 해당 장치를 Windows 도메인에서 탈퇴했다가 재가입해야 한다는 경고가 명시되어 있다.
수요일에 Microsoft는 이 인증 문제가 Machine Identity Isolation을 활성화하는 2026년 9월 보안 업데이트에 의해 유발되며, 도메인 신뢰 실패 및 유효한 도메인 자격 증명으로의 로그인 오류가 발생한다고 공식 확인했다.
Microsoft는 릴리스 상태 대시보드 업데이트를 통해 다음과 같이 밝혔다: "이 업데이트가 Machine Identity Isolation 강제 적용을 직접 활성화하지는 않지만, Machine Identity Isolation 강제 적용을 활성화하는 기존 또는 정책으로 프로비저닝된 설정을 Windows가 따르도록 만든다."
"그러나 이 기능은 Windows Server 2025 도메인 기능 수준(DFL) 이상을 실행하는 도메인 컨트롤러와 연결된 환경에서만 지원된다. 그 외 환경에서는 이 기능을 비활성화해야 한다."
Microsoft에 따르면, 관리자는 Windows Server 2025 도메인 컨트롤러와 연결되어 있지 않으면서 Machine Identity Isolation을 사용하도록 이전에 구성된 모든 장치에서 이 기능을 비활성화해야 한다.
임시 해결책 공개
Microsoft가 향후 Windows 업데이트에서 Machine Identity Isolation 강제 적용을 일시적으로 차단하는 방식으로 문제를 해결하기 위해 작업 중인 가운데, 영향을 받는 고객이 인증 문제를 우회하는 데 도움이 되는 임시 해결책을 공유했다.
이 방법은 기능을 활성화했을 때 사용한 것과 동일한 관리 방법으로 Machine Identity Isolation 기능을 비활성화하는 것을 요구한다. 예를 들어, Intune 정책으로 활성화했다면 Intune으로 비활성화해야 하고, 그룹 정책으로 활성화했다면 그룹 정책으로 비활성화해야 한다.
Machine Identity Isolation이 Windows 레지스트리에서 직접 활성화된 경우, 다음 단계에 따라 비활성화할 수 있다:
1. Windows 11(버전 24H2 또는 25H2) 장치에서 다음 레지스트리 경로를 찾습니다:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
2. 위 레지스트리 키에서 MachineIdentityIsolation = 2로 설정된 경우, MachineIdentityIsolation = 0으로 변경합니다.
3. Machine Identity Isolation을 비활성화한 후 장치를 재시작합니다.
4. 그런 다음 다음 명령을 사용하여 보안 채널을 초기화합니다:
'Test-ComputerSecureChannel -Repair -Credential (Get-Credential)'
한편, Microsoft는 월요일에 이번 달 보안 업데이트로 인해 발생한 원격 데스크톱 서비스(Remote Desktop Services) 장애, Hyper-V 문제, USB 오디오 문제를 수정하기 위한 비정기(out-of-band) Windows 업데이트도 배포했다.
그러나 이 긴급 업데이트는 2026년 9월 업데이트로 인해 발생한 모든 오디오 문제를 해결하지는 못했으며, 회사는 나머지 문제에 대한 수정을 계속 작업 중이다.
