La actualización KB5124008 de Windows 11 rompe la confianza de dominio: qué hacer si tus PCs ya no entran a la red de la empresa

El martes de parches de septiembre trajo un regalo envenenado. La actualización acumulativa KB5124008 de Windows 11 deja a algunos equipos fuera del dominio: el usuario teclea su contraseña y ve ‘La relación de confianza entre esta estación de trabajo y el dominio principal ha fallado’. Lo reportó BleepingComputer el 16 de septiembre de 2026.

Si tu empresa tiene un servidor con Active Directory (el directorio de Windows que decide quién entra a qué), esto te toca. Aquí va qué revisar hoy, cómo rescatar los equipos sin perder nada y cómo dejar de parchar a ciegas.

Qué pasó y a quién le pega

Cada PC unida a un dominio tiene su propia contraseña de máquina, distinta de la del usuario. Si esa relación se rompe, el servidor deja de reconocer al equipo y nadie entra con cuenta de dominio, aunque la contraseña sea correcta.

Le pega a cualquier empresa con dominio: la pyme con un servidor en el rincón y la planta en Querétaro que recibe parches desde la matriz por WSUS o Intune. Si tus equipos solo usan cuenta local o Microsoft 365 sin servidor propio, respira: este error es de Active Directory.

Cómo saber qué equipos están afectados

El primer aviso suele ser humano: la de recepción llega el miércoles, prende la PC y no puede entrar. Antes de que se repita en contabilidad, ve por lista.

Dónde mirar	Qué buscar
WSUS o Intune	Equipos que ya instalaron KB5124008
En la PC, con cuenta local	Test-ComputerSecureChannel en PowerShell; si responde False, está roto
Visor de eventos	Errores de NETLOGON al iniciar sesión

En nuestra experiencia no todos los equipos con el parche fallan. Revísalos uno por uno antes de que lo descubra el usuario un lunes a las ocho.

Cómo reincorporarlos al dominio sin perder perfiles

Lo que no hay que hacer: sacar el equipo del dominio y volverlo a unir ‘para que agarre’. Es la manera más fácil de acabar con un perfil temporal y un usuario que jura que se le borró todo.

Lo que sí:

1. Entra con la cuenta local de administrador del equipo.
2. Abre PowerShell como administrador y ejecuta Test-ComputerSecureChannel -Repair -Credential (Get-Credential) con una cuenta de administrador del dominio.
3. Si falla, prueba Reset-ComputerMachinePassword -Server NOMBRE-DEL-DC -Credential (Get-Credential).
4. Reinicia y entra con la cuenta de dominio. El perfil sigue ahí.

Si nada funciona, entonces sí: grupo de trabajo, reinicio y unir de nuevo. El perfil va ligado al usuario y suele conservarse, pero respalda antes su carpeta. Un respaldo de más nunca ha hecho llorar a nadie.

Pausa o escalona el despliegue: anillos de prueba

Si aún no aprobaste KB5124008 para todos, no lo hagas. En WSUS quita la aprobación; en Intune pausa las actualizaciones de calidad del anillo general. Y monta lo que debió existir desde antes: anillos.

Anillo	Quién	Cuándo
Piloto	Un puñado de PCs de gente que avisa cuando algo falla, sistemas incluido	El mismo día del parche
Intermedio	Un departamento completo	Unos días después, si el piloto está limpio
Todos	El resto de la empresa	Una o dos semanas después

Es el mismo guion de los parches de Windows Server que rompen Escritorio Remoto. Parchar es obligatorio; parchar toda la empresa el mismo día, no. Desinstalar el parche en equipos que aún no fallan es la última carta: te deja sin las correcciones de seguridad del mes.

Qué vigilar en la corrección de Microsoft

Tres lugares: la página de la KB en el soporte de Microsoft, el panel Windows release health y la consola de Intune. Lo normal es que llegue como KIR (Known Issue Rollback, un interruptor que apaga el cambio fallido sin quitar el parche) o como actualización fuera de ciclo.

Si parchas México desde la matriz, este caso muestra el hueco: alguien tiene que entrar con cuenta local en la oficina de Guadalajara, y no puede ser por Teams. Conviene tener manos locales antes de necesitarlas, y un contrato que diga quién aprueba parches y quién responde si algo se rompe.

Hablemos

¿Y en tu empresa?

Si hoy tienes usuarios que no pueden entrar, lo urgente es rescatar esos equipos sin perder perfiles. Lo importante es que el próximo martes de parches no te sorprenda.

En ProcessBi esto va dentro de la póliza de soporte: parchado por anillos, servidores y Active Directory, y atención remota o en sitio en todo México, con SLA por escrito y factura CFDI.

Cuéntanos tu caso — respondemos el mismo día hábil.