Microsoft가 배포한 Windows 11 보안 업데이트 KB5124008이 일부 기업 환경에서 Active Directory(회사 네트워크에서 직원 계정과 컴퓨터를 관리하는 시스템) 도메인 신뢰 관계를 끊어버리는 문제가 보고되고 있습니다. 영향을 받은 PC는 재부팅 후 정상적인 도메인 계정으로 로그인이 되지 않으며, 비밀번호가 맞아도 오류가 발생합니다. 원인은 업데이트 설치 후 'Machine Identity Isolation(머신 신원 격리)' 보안 기능이 강제 적용 모드로 활성화되면서 기존 인증 정보가 삭제되기 때문으로 추정됩니다. 임시 조치로 레지스트리 값을 변경하고 PowerShell 명령으로 보안 채널을 복구하는 방법이 관리자들 사이에서 공유되고 있으나, Microsoft는 아직 공식 원인과 해결책을 발표하지 않은 상태입니다. 기업 IT 담당자는 해당 업데이트 적용 전 테스트 환경에서 충분히 검증한 후 배포하는 것이 권장됩니다.
Windows 11 보안 업데이트 KB5124008 설치 후 재부팅 시 Active Directory 도메인 신뢰 관계가 끊어져 도메인 계정 로그인이 불가능해지는 문제가 다수 기업 환경에서 보고됨.
도메인에 가입된 Windows 11 25H2 워크스테이션에서 유효한 자격증명으로도 로그인이 거부되며, Kerberos 인증 실패 및 NTLM·Netlogon 폴백이 발생함. 256대 중 11대, 또는 전체 워크스테이션이 영향을 받은 사례가 있음.
KB5124008 설치 후 'Machine Identity Isolation' 레지스트리 값이 강제 적용 모드(값=2)로 설정되면서, 머신 계정 자격증명이 Credential Guard로 이동되고 LSA에 저장된 기존 복사본이 삭제되어 도메인 컨트롤러와의 보안 채널이 끊김.
임시 조치로 MachineIdentityIsolation 레지스트리 값을 0으로 변경 후 재부팅하고, PowerShell 명령 'Test-ComputerSecureChannel -Repair'로 보안 채널을 복구하는 방법이 보고됨. KB5124008을 제거해도 문제가 해결됨. Microsoft는 조사 중이며 아직 공식 해결책을 미발표.
기능을 비활성화(0)할 경우 이전에 강제 모드가 켜져 있던 시스템에서 도메인 신뢰 재실패 가능성이 있으므로, 레지스트리 변경 전 반드시 환경을 파악해야 함. Microsoft 공식 가이드 발표 전까지 해당 업데이트의 광범위한 배포를 유보하거나 충분히 테스트 후 적용할 것을 권장.
본문
Microsoft는 Windows 11 보안 업데이트 KB5124008이 일부 기업 시스템에서 도메인 신뢰 관계를 손상시켜, 유효한 도메인 자격증명으로 로그인할 수 없게 만든다는 보고를 조사 중입니다.
Reddit과 Microsoft Q&A 포럼에서 관리자들은 Windows 11 업데이트 설치 후 기기를 재부팅하면 영향을 받은 컴퓨터가 Active Directory와의 보안 채널을 잃는다고 보고했습니다.
지난주 Microsoft는 BleepingComputer에 해당 보고를 인지하고 조사 중임을 확인했습니다.
"Microsoft는 이러한 보고를 인지하고 있으며 조사 중입니다. 가이드가 준비되는 대로 공유하겠습니다."라고 Microsoft는 BleepingComputer에 밝혔습니다.
Microsoft가 근본 원인을 공식 확인하지는 않았지만, 보고에 따르면 장애는 Windows Machine Identity Isolation(머신 신원 격리) 보안 기능이 감사(audit) 또는 강제 적용(enforcement) 모드로 활성화된 경우와 연관된 것으로 나타났습니다.
KB5124008 설치 후 도메인 신뢰 관계 손상
Windows Active Directory 환경에서 도메인에 가입된 컴퓨터는 머신 계정 자격증명을 사용해 도메인 컨트롤러와 보안 채널을 유지합니다.
로컬에 저장된 자격증명이 Active Directory가 기대하는 값과 일치하지 않으면 보안 채널이 실패할 수 있습니다. 이 경우 사용자는 도메인 신뢰 오류를 받거나, 자격증명이 유효함에도 아이디 또는 비밀번호가 올바르지 않다는 메시지를 받을 수 있습니다.
Microsoft Q&A 포럼에 문제를 제보한 Windows 관리자 Alex Turner는 Windows 11 25H2 워크스테이션이 KB5124008 설치 전에는 정상 작동했으나, 업데이트 설치 후 재부팅 시 도메인 로그인 실패가 발생하기 시작했다고 밝혔습니다.
시스템이 오프라인 상태일 때 캐시된 자격증명은 계속 작동했으며, 이는 문제가 사용자의 비밀번호가 아닌 도메인 인증과 연관되어 있음을 보여줍니다.
해당 관리자는 테스트 결과 컴퓨터와 Active Directory 간 보안 채널이 끊겼음을 확인했으며, 문제를 일관되게 재현할 수 있었다고 밝혔습니다. KB5124008을 제거하고 도메인 관계를 복구하면 접근이 복원되었으며, 업데이트를 재설치하면 장애가 다시 발생했습니다.
Reddit의 또 다른 관리자는 약 256대 중 11대의 Windows 11 25H2 Enterprise 기기가 업데이트 후 도메인 신뢰를 잃었다고 보고했습니다.
이 관리자는 영향을 받은 시스템에서 다수의 Kerberos 인증 실패에 이어 NTLM 및 Netlogon 폴백이 발생한 것도 확인했습니다.
또 다른 관리자는 네트워크 상의 모든 Windows 11 25H2 워크스테이션이 업데이트 설치 후 유효한 도메인 자격증명을 거부하기 시작했다고 밝혔습니다.
Turner는 이후 장애 원인을 "Machine Identity Isolation"이라는 Windows 보안 설정과 연결했으며, KB5124008 설치 후 해당 설정이 강제 적용 모드인 '2'로 지정되었다고 밝혔습니다.
같은 문제를 조사한 또 다른 관리자도 동일한 동작을 보고했습니다. 업데이트 후 MachineIdentityIsolation 값이 '2'로 설정되었으며, 해당 기능을 비활성화하면 KB5124008을 제거하지 않고도 Windows가 머신 계정 LSA 시크릿을 삭제하지 않는 것을 확인했습니다.
이 기능은 Windows의 VBS(가상화 기반 보안) 및 Credential Guard 구성의 일부로, 도메인에 가입된 컴퓨터가 Active Directory에 인증할 때 사용하는 머신 계정 자격증명을 격리합니다.
강제 적용 모드에서는 Windows가 머신 계정 시크릿을 Credential Guard로 이동하고 LSA에 저장된 복사본을 삭제합니다.
해당 설정은 다음 레지스트리 값으로 제어할 수 있습니다:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"MachineIdentityIsolation"
일부 관리자는 MachineIdentityIsolation 값을 '0'으로 설정하고 재부팅한 후 PowerShell을 사용해 머신의 보안 채널을 복구하는 방법으로 영향을 받은 시스템을 복원했습니다.
한 관리자는 기능을 비활성화한 후 아래 PowerShell 명령을 관리자 권한으로 실행하면 보안 채널이 복원된다고 밝혔습니다:
Test-ComputerSecureChannel -Repair -Credential(Get-Credential)
"재부팅 후 'Test-ComputerSecureChannel -Repair -Credential(Get-Credential)'로 보안 채널을 복구해야 했습니다. 이후 컴퓨터는 보안 채널을 잃지 않고 정상 작동하고 있습니다."라고 Marcel Zehnder는 설명했습니다.
그러나 관리자는 Machine Identity Isolation을 비활성화할 때 주의해야 합니다. 이 역시 유사한 문제를 일으킬 수 있기 때문입니다.
또 다른 관리자는 감사 또는 강제 적용 모드에서 비활성화 모드로 설정을 변경하면 KB5124008을 설치하지 않은 시스템을 포함해 환경 전반에 도메인 신뢰 장애가 발생했다고 경고했습니다.
Microsoft 공식 문서도 Machine Identity Isolation이 이전에 강제 적용 모드로 활성화되어 있었다면, 비활성화 시 도메인 인증이 끊어지며 기기를 도메인에서 제거했다가 다시 가입해야 한다고 경고합니다.
Microsoft는 아직 Machine Identity Isolation이 KB5124008 장애의 근본 원인임을 공식 확인하지 않았으며, 공식 해결책도 발표하지 않은 상태입니다.
BleepingComputer는 Microsoft가 조사에 관한 추가 정보를 제공하는 대로 기사를 업데이트할 예정입니다.
