Microsoft herstelt KB5082063 Windows Server-domeincontroller opstartlussen

Microsoft heeft op 19 april 2026 een noodoplossing uitgebracht voor een kritieke fout in zijn Patch Tuesday-update KB5082063 van april, waardoor Windows Server-domeincontrollers voortdurend opnieuw werden opgestart.

De out-of-band update is KB5091157 (OS Build 26100.32698) voor Windows Server 2025en KB5091575 (OS Build 20348.5024) voor Windows Server 2022. Beide zijn nu beschikbaar via Windows Update, de Microsoft Update Catalog en WSUS.

Wat er mis ging

KB5082063, uitgebracht op 14 april, veroorzaakte crashes in de Local Security Authority Subsystem Service, beter bekend als LSASS, op niet-Global Catalog domeincontrollers in omgevingen die Privileged Access Management, of PAM, gebruiken. LSASS is het Windows-onderdeel dat verificatieverzoeken afhandelt en het beveiligingsbeleid in een domein afdwingt.

Wanneer deze crasht tijdens het opstarten, start de server opnieuw op, krijgt dezelfde crash en start opnieuw op, waardoor de machine in een lus vast komt te zitten. In sommige gevallen deed het probleem zich ook voor bij het opzetten van een nieuwe domeincontroller, of op servers die vroeg in de opstartprocedure begonnen met het verwerken van verificatieverzoeken.

Het resultaat was dat aangetaste domeincontrollers geen gebruikers of services konden verifiëren, waardoor in sommige gevallen het hele domein niet beschikbaar was totdat de server handmatig hersteld werd.

Betroffen platformen

Het probleem betrof domeincontrollers met Windows Server 2025, Windows Server 2022, Windows Server 2019, Windows Server 2016 en Windows Server versie 23H2. Persoonlijke apparaten en machines die niet door een IT-afdeling worden beheerd, werden niet getroffen.

Drie problemen, één update

De herstartlus was het derde bekende probleem met KB5082063 binnen een week na de release. Microsoft had al bevestigd dat dezelfde update het volgende probleem veroorzaakte BitLocker herstelsleutel werd gevraagd bij de eerste herstart van sommige Windows Server 2025- en Windows 11-apparaten, en ook dat de update niet volledig werd geïnstalleerd op sommige Windows Server 2025-systemen met foutcode 0x800F0983.

Ondanks het cluster van problemen heeft Microsoft de update niet teruggetrokken. KB5082063 patcht 167 kwetsbaarheden, waaronder twee actief uitgebuite zero-days, waardoor een volledige terugdraaiing een aanzienlijk beveiligingsrisico vormt voor bedrijfsomgevingen.

Dit is de derde opeenvolgende april dat Microsofts maandelijkse serverupdate domeincontrollers heeft verstoord. In maart 2024 was een noodfix nodig na de Patch Tuesday dC helemaal liet vastlopen. April 2024 verbrak de NTLM-authenticatie en dwong ongeplande herstarts af. April 2025 introduceerde Active Directory authenticatieproblemen die een aparte correctie vereisten in juni 2025.