Noodpatch voor Windows Server moet rebootloop bij domeincontrollers verhelpen

Microsoft brengt een noodpatch uit voor Windows Server die problemen met de beveiligingsupdate van april moet verhelpen. Een van die problemen is dat domeincontrollers vastzitten in een rebootloop na de aprilupdate. Een ander probleem is dat diezelfde update weigert te installeren.

De zogeheten out-of-bandupdate voor Windows Server verscheen gisteren. Die is bedoeld voor problemen met de beveiligingsupdate (KB5082063) die Microsoft vorige week dinsdag (14 april) uitbracht. Sommige servers met Microsofts besturingssystemen konden die beveiligingsupdate helemaal niet installeren. Volgens de leverancier gaat het om 'een beperkt aantal' systemen met Windows Server 2025.

Andere servers, die dienstdoen als domeincontroller, liepen bij het opstarten aan tegen crashes van de Local Security Authority Subsystem Service (Lsass). Domeincontrollers kunnen door de Lsass-crashes vastraken in een rebootloop. Dit voorkomt authenticatie en directorydiensten voor computers in bedrijfsomgevingen. Mogelijk is het hele domein dan onbeschikbaar, geeft Microsoft aan.

Versies 2016 tot en met 2025

Dit probleem geldt voor domeincontrollers in omgevingen met meerdere domeinen in een configuratie met Privileged Access Management. De problemen met de aprilupdate raken Windows Server 2025, Windows Server 2022, Windows Server 23H2, Windows Server 2019 en Windows Server 2016.

Servers in datacenter. Bron: Microsoft

Reacties (41)

[walteij]

Met als (toch wel redelijk belangrijke) sidenote:

[Domain controllers (known issue)] Fixed: After installing the April 14, 2026, (KB5082198) Windows security update and restarting, domain controllers with multi-domain forests that use Privileged Access Management (PAM), might experience startup issues. In some cases, Local Security Authority Subsystem Service (LSASS) might stop responding, leading to repeated restarts, and preventing authentication and directory services, which can make the domain unavailable.

Dus alleen in multi-domain forests met PAM enabled. Single domain, of multi-domain zonder PAM is niet affected.

[JacOwns7]

Edit:
Heb niet goed gelezen

[Reactie gewijzigd door JacOwns7 op 20 april 2026 11:11]

[Blokker_1999]

Ik mag hopen dat systeembeheerders zo slim zijn om de berichten van Microsoft zelf op te volgen. Ik heb vrijdagochtend netjes de mail in mijn mailbox gevonden van Microsoft die dit probleem melde met alle benodigde details en dan gisterenavond de mails dat het probleem is verholpen met een out of band update.

En de details staan ook gewoon in het artikel.

Dit is ook een reden waarom je nooit al je domain controllers gelijktijdig gaat updaten. Je zet een rollende update in met liefst toch wel wat verschil in tijd tussen je eerste en laatste domain controllers net om te voorkomen dat je ze op enkele uren tijd allemaal verliest.

[DDX]

Alleen moet je dan wel de afweging maken tussen vatbaar zijn voor een RCE of risico op issue met de update.
Bij de update van vorige week :
https://msrc.microsoft.co...nerability/CVE-2026-33826
'Windows Active Directory Remote Code Execution Vulnerability'

[JacOwns7]

Ah je hebt gelijk, overheen gelezen. Helaas ervaren wij wat issues met onze patchmanagement tool die niet goed omgaat met out-of-band updates. Maar daar kan MS verder niet veel aan doen. Zorgt altijd weer voor de nodige stress hier met 2500+ beheerde servers.

Met een HA config gaan ze ook nooit tegelijk natuurlijk

[segil]

ofwel, hier had Tweakers geen artikel aan hoeven te besteden, omdat het niet interessant is voor consumenten en voor zakelijke omgeving is de impact ook beperkt.

[nasdude]

nieuws: Microsoft brengt noodpatch uit voor gebrickte Surface Hubs

nieuws: BitLocker-herstelsleutel is in sommige gevallen nodig na maandupdate Windows 11

nieuws: Microsoft-beveiligingsupdates van december veroorzaken storing op Windows Server

nieuws: Windows 11 crasht na update door bug in explorer.exe en andere gui-elementen

Behoorlijk wat spoedreparaties de laatste tijd, mijn gevoel zegt dat er veel meer spoedpatches zijn in de afgelopen 2 jaar dan er vroeger waren, veel met behoorlijke impact

[YGDRASSIL]

Je geeft voorbeelden van noodpatches voor drie compleet verschillende omgevingen en windows versies (SurfaceHubWin10Enterprise. Win11 en WinServer2025). Dan gaat het sowieso wel veel lijken ten opzichte van vroeger als je die gaat optellen.

[ResuCigam]

CEO Satya Nadella heeft aangegeven dat een aanzienlijk deel (naar verluidt tot wel 30%) van de nieuwe code bij Microsoft wordt geschreven door AI, wat ook invloed heeft op Windows-updates.

[Omega]

Dat heeft hij niet gezegd, hij zij "geschreven door software", wat een doelbewust misleidende uitspraak is dat volledig open staat voor interpretatie. Het kan hier ook om traditionele automatisering gaan.

Al zal het mij niet verbazen als ongeteste en niet doordachte slopcode inderdaad een van de voornaamste boosdoeners is bij deze incidenten.

[Bor]

Dat hoeft helemaal niet. De aangehaalde quote van Satya geeft niet het hele verhaal; zit er bv nog een "human in the loop" die een review doet? Zonder meer informatie kan die uitspraak van alles betekenen tussen "Ai ontwikkelde software pushen we direct naar productie" tot aan "er wordt Ai gebruikt om ontwikkeling door mensen te ondersteunen (bv in het test proces, het uitwerken van ideeën etc). Daarbij is het nog maar de vraag of het wel daadwerkelijk om Ai gaat; de exacte quote was veel minder stellig.

[Reactie gewijzigd door Bor op 20 april 2026 10:52]

[segil]

mwah, kleine nuance... Tweakers besteed imho onevenredig veel aandacht aan issues binnen Windows. En vaak treffen dit soort bugs een klein deel van de gebruikers en is het voor het grootste deel van de gebruikers niet van toepassing. Anders hadden de kranten er wel mee vol gestaan.

Vooral hun recente artikel "BitLocker-herstelsleutel is in sommige gevallen nodig na maandupdate Windows 11" is twijfelachtig of het nieuwswaardig is.

Microsoft stelt dat het onwaarschijnlijk is dat dit gebeurt op apparaten van consumenten.

Ofwel, ophef over niets.

Je moet je afvragen waarom Tweakers dit soort artikelen blijft plaatsen. Zeker als je ziet dat over andere OS-en veel minder gepost wordt, terwijl daar ook gewoon bugs in voorkomen.

[Reactie gewijzigd door segil op 20 april 2026 10:50]

[batjes]

Vanwege de populariteit van Windows. Praktisch iedereen hier komt er in aanraking mee, niet alleen als consument, tegenwoordig primair zakelijk.

Al die andere OSen zijn hier op Tweakers lang niet zo populair, Linux komt een eind, maar dan zit je weer met 20 verschillende distros.

[segil]

Ik zou stellen dat Linux juist op deze website meer aandacht krijgt, doordat hier veel IT-ers zitten. Daarnaast heb je ook ios, wat veel gebruikt wordt. Hoe vaak wordt nu een artikel geschreven over een bug in ios? Of mac-os?

Ik denk eerder dat het tegenwoordig "populair" is om kritisch te zijn op Windows en negatief te schrijven. Ik zie dat ook in andere media. En Tweakers doet daar vervolgens ook aan mee. Kijk eens naar alle ophef over een verplicht online account. Of het verlopen van Windows 10 updates. Hoeveel artikelen daar wel niet aan gewijd zijn. En vergelijkbare situaties bij andere OS-en komen nauwelijks aan bod.

Ik ben geen Windows fanboy en heb bij sommige keuzes van Microsoft zeker ook mijn bedenkingen. Maar momenteel krijgen ze echt veel bagger over zich heen en dat is niet verdiend.

[Reactie gewijzigd door segil op 20 april 2026 11:13]

[batjes]

Het gross van de IT wereld draait op Windows.

Het is altijd populair geweest om 'kritisch' tegen windows te zijn. Al sinds de geboorte van tweakers.net is dat eigenlijk ongewijzigd.

Niemand geeft een neuk om de privacy puinhoop bij Android. Ten tijde van Windows Phone wel mooi te zien. Iedereen hamert op Windows Phone's updatebeleid. Ja lekker makkelijk want op dat moment had Android helemaal geen updatebeleid. Ik heb er zelf nogal wat moeite mee dat Apple en Google nooit dezelfde wind van voren krijgen als Microsoft terwijl ze vele malen erger zijn voor mij als burger/consument.

Maar het ding is, velen hier werken ongewenst met Windows, want het is niet hun vrije keuze. Windows zet de toon in de zakelijke markt. De andere platformen kom je wat minder snel direct in aanraking mee als je daar zelf geen behoefte aan hebt, waardoor men wat minder geneigt is pis te koken.

[DeSoepkip]

Iets meer dan de helft van alle servers draaien Linux. Ongeveer een kwart draait Windows.

Bron: https://www.fortunebusinessinsights.com/server-operating-system-market-106601

[batjes]

Zakelijke endpoints zijn vrijwel allemaal Windows. Die Linux servers worden veelal beheerd vanaf Windows.

[sassas]

Zeker niet. Linux servers worden in de enterprise beheerd met Ansible (via bv Satellite). Een Ansible control system werkt niet op windows. Een Linux devops heeft ook helemaal geen vertrouwen in windows door de ransomware, daarnaast gebruiken ze meer linux only tools ipv alleen pycharm of visualstudio

[batjes]

Ansible is een geweldige tool, het doet de beheertaken enorm verlichten, niet volledig wegnemen.

De systeembeheerders zitten (doorgaans) nog steeds gewoon op Windows als dat het OS naar keuze is voor endpoints binnen de organisatie(wat het bijna altijd is), want bijna geen enkele toko gaat Linux nog eens apart gecertificeerd opzetten voor endpoint gebruik voor de 2 a 3 evangelisten binnen een organisatie (secure boot, disk encryptie, centraal gemanaged user bestand).

[Wim Cossement]

Er is wel een verschil tussen Windows en Linux of Android, het ene kost je geld en het andere (meestal) niet. Maar zelfs dan is het gratis spul gewoon stabieler...

En mochten Google en de telefoonmakers die er hun eigen variant van Android op zetten niet zo zitten geilen op onze gegevens en telemetrie was privacy daar ook zo geen probleem me dunkt maar het is bij Microslorp eerder uit onkunde en bij de andere uit onwil, beide gedreven door centen wat resulteert in zielig en zielloos.

[batjes]

Linux is zakelijk zeker niet gratis. Guru's zijn zeldzaam en duur.

Linux is gratis als je tijd waardeloos is, zoals in mijn geval.

Het is geen onkunde, Microsoft levert een endpoint platform waar 1 FTE een organisatie tot een paar 100 man mee kan beheren. Dat lukt je met alternatieven gewoon niet.

[Wim Cossement]

Nu overdrijf je toch, je hoeft geen guru te zijn om Linux native (of als VM) te installeren met het een en het ander van serversoftware op, dat is al even redelijk simpel en alles moet sowieso geconfigureerd worden. We gebruiken ook niet allemaal Gentoo of Arch.

Ik ben zelf nog 2.5 jaar UNIX-systeemdeskundige geweest bij KBC en ik had enkele jaren Linux en wat client Windows-ervaring. Sommige UNIX'en zijn dan nog allesbehalve gebruiksvriendelijk en niet goedkoop en hebben dan soms nog speciale hardware nodig (Solaris, HP-UX en AIX op x86 ging gewoon niet), toen was men ook al alles wat kon van enterprise spul ervan aan het wegmigreren naar Linux.
En het is ook een flutargument dat Linux gratis is als je tijd waardeloos is, in de meeste gevallen werkt het gewoon en heb je veel minder bronnen nodig, en (systeem)updates zijn meestal redelijk simpel.

Maar Windows beheerder zijn dus quasi gratis en hoeven nooit iets op te zoeken? En licenties voor de clients, Office en de domeincontrollers en zo voor honderd man vallen ook zo maar uit de lucht?
Meestal kan men met wat goeie wil ook zonder Windows, als je een webbrowser hebt en een officepakket dat een beetje deftig werkt kan er al heel veel. En dan heb je ook nog Wine of VirtualBox of zo als je per se Windows of Windows software nodig hebt.

Dus het is heel doenbaarder dan je laat uitschijnen. Tis net zoals al die creatieve geesten of programmeurs die per se een Mac moeten hebben, terwijl alle software van bijvoorbeeld Adobe en JetBrains gewoon op Windows ook bolt.

Ik wil ook niet weten wat die CrowdStrike grap de maatschappij gekost gaat hebben.

[Reactie gewijzigd door Wim Cossement op 20 april 2026 22:44]

[Blokker_1999]

En toch zijn die bugs er in andere OSen zonder dat er over geschreven wordt. Maar dat komt ook deels aan hoe weinig transparant sommigen daarover zijn. Zo schrijft Apple over macOS 26.4.1 in de releaenotes enkel dat er problemen zijn opgelost zonder te specifieren wat die problemen zijn.

Dan moet je zelf al dieper gaan graven om dan te ontdekken dat in bepaalde gevallen er in een enterprise omgeving geen wifinetwerk kan opgezet worden wanneer er gebruik gemaakt wordt van 802.1x voor authenticatie terwijl er ook een contentfilter actief is op die netwerk interface van bijvoorbeeld een VPN client.

Maar ook over Linux zie je hier heel weinig gepost worden over kwetsbaarheden in de kernel of een distributie. Pas als er echt breed geschreven wordt over een exploit zie je het hier vaak pas opduiken.

Het feit dat vele Windows bugs hier boven water komen lijkt mij dan ook 2-ledig

• Het blijft met grote voorsprong het meeste gebruikte besturingssysteem op computers van eindgebruikers, dus de meeste mensen komen het bijna dagelijks tegen
• Microsoft communiceert zeer open over dit soort problemen omdat ze wel moeten door de grote impact en hoe versprijd het OS is in de wereld.

Het enige voordeel dat ik zie aan de grotere ruchtbaarheid die gegeven wordt aan de problemen van dit OS is dat men ook meer zorg zal dragen om beter te doen in de toekomst. Maar MS is een grote, logge organisatie en verandering zal er altijd traag zijn.

[DDX]

Ja de kans dat consumenten windows server draaien is laag, die draaien meestal windows 11.
En als ze al windows server draaien is de kans dat ze ook nog eens een domaincontroller en dan ook nog eens pam zo ongeveer 0....
Nee niet heel nuttige toevoeging.

[Miglow]

Ik draai op mijn server nog Windows 10. W11 kan alleen met trucjes en vooralsnog doet ie het prima.

[trick2011]

kon laatst office365 niet activeren vanwege een windows update. Oplossing? nog een windows update ipv allemaal rare suggesties op het internet voor oudere problemen.

[itlee]

Ongekend,...wanneer leert microsoft het nou is? al 16 jr zelfde liedje, zelfde gedoe, elke keer die lssas.

Windows Server 2025 (Affected by April 2026 patches)

• Windows Server 23H2 (Affected by March 2025 & April 2026 patches)
• Windows Server 2022 (Affected by multiple updates, including March 2024, June 2024, and April 2026)
• Windows Server 2019 (Affected by June 2020, March 2024, and April 2026 patches)
• Windows Server 2016 (Affected by March 2024, April 2026, and earlier updates)
• Windows Server 2012 R2 (Affected by memory leaks/security updates in 2015, 2022, and 2024)

[sassas]

Een rebootloop is een ongelooflijk groot probleem en een OS onwaardig. Het adagium voor het MKB is altijd; reboot de machine maar dan werkt het meestal weer. Nu dus niet. Het komt zelfs niet meer terug en zit je met de gebakken peren, ondanks dat er geen sprake is van corrupte boot bestanden.

Dit is niet de eerste keer. Crowdstrike was ook zo'n mooi voorbeeld. Het zal ook nooit veranderen want goed testen lukt niet met closed source. Het wordt over de muur gekieperd en vervolgens komt men er achter dat het bij veel systemen niet werkt. Na ransomware is dit wel de ultieme nachtmerrie.

Ondertussen wordt er in dit topic ge-jankt over waarom windows zo vaak in het nieuws is en andere OS'en niet. Spreekt ook boekdelen.

[CriticalHit_NL]

Ach, de Windows Server 2022 hier verrekt het al meer dan een half jaar zijn updates succesvol uit te voeren omdat Microsoft hem zelf gesloopt heeft met foutcode 0x80073701

Enige remedie zal zijn herinstallatie of de iso er opnieuw ingooien voor een OS-rebuild want andere manieren falen

Laat maar zitten, is toch enkel AD zonder iets belangrijks.

Zijn goed bezig daar in Redmond. /s

Microsoft is zelf zo de oorzaak van de creatie van wereldwijde botnets door nalatigheid van goed testwerk alvorens ze hun zooi pushen naar productie die zelfs de meest basaal geïnstalleerde besturingssystemen sloopt beyond repair.

Mogen ze ook best voor opdraaien dan als het geld voor goed testwerk gebruikt wordt om AI-SLOP centers te bouwen.

Laat ze de product kwaliteit eerst maar weer eens op balans krijgen.

[Blokker_1999]

Een domain controller die vervang je toch op enkele minuten? Dat is nu 1 van de eenvoudigste servers in je netwerk om te vervangen. Als er nu 1 type server is waar ik geen seconde ga spenderen aan troubleshooting, dan is het wel een domain controller. Gewoon vervangen.

En als je dat soort servers maandenlang laat zitten moet je niet de schuld bij Microsoft leggen als het misgaat, want je wist goed genoeg dat er een probleem is.

[CriticalHit_NL]

Als je dat van hogerop niet mag dan blijft het uit, maar dat is ook de essentie van de zaak niet, het feit dat het al gebeurt is niet makkelijk goed te praten, en het dan maar afschuiven op de kleinere man. Dit bedrijfsrisico mag mooi bij de hoge boom blijven.

Beetje het een probleem van een ander maken is wel lekker makkelijk als ze zelf aantoonbaar telkens de zaken niet op orde hebben waarvan je een duur betaald product afneemt.

[Mathijs]

Als je van hogerop je werk niet mag doen, zou ik je aanraden eens elders te gaan kijken.
Wanneer het uiteindelijk mis gaat, gaan ze dan ook niet de schuld op zichzelf nemen, maar die schuiven ze dan weer naar beneden af. Dan had jij het duidelijker moeten melden of zoiets.

[CriticalHit_NL]

Gemeld is gemeld en daar is bij mij de kous af, ik heb mijn verantwoordelijkheid afgedragen.

[Aherin]

Maar daarom mailen we het, en printen die ook nog eens uit "voor het geval dat". En toen ik voor een werkgever werkte die echt niet te vertrouwen was, gingen die netjes in de tas mee naar huis. Je wil graag kwartetten? Hier krijg je van mij de brandbrief uit de categorie "ik zei het nog zo".

[walteij]

Ik ben het met je eens, tot het moment dat je in een omgeving terecht komt waar je met de nodige technical debt te maken hebt en blijkt dat die DC die je dus nuked en gaat vervangen door een nieuwe, met een ander IP adres, net die DC was die ook als LDAP (zonder S, want legacy ge******) server voor je follow-me printing ofzo gebruikt werd, of als NTP source voor dat setje linux servers waarvan nog maar 1 admin weet wat ze doen en waarom......

[Reactie gewijzigd door walteij op 20 april 2026 19:48]

[Dennism]

Hoe heb je trouwens vastgesteld dat MS zelf schuldig is aan die fout. Ik ben die in het verleden regelmatig tegengekomen en eigenlijk altijd ligt de schuld aan de gebruikerskant (bij client machines) of aan de beheerskant (bij Servers), met als hoofdoorzaak over het algemeen mensen die met opruimtools / scripts in de weer zijn geweest omdat WinSXS 'te groot' was geworden. Met als 2de het niet correct afsluiten van het OS tijdens servicing "Duurt lang, ik klap de laptop wel even dicht, gaat later vast wel verder".

Vaak wel op te lossen met DISM en een ISO inderdaad, al zou ik daar bij een DC niet aan beginnen, in zo'n geval gewoon nuken, nieuwe machine uitrollen en promoten.

[Reactie gewijzigd door Dennism op 20 april 2026 12:38]

[CriticalHit_NL]

Geen van dergelijke scripts, enkel een simpele AD voor wat machines en dat is het.
Netjes uitvoeren van maandelijkse updates en herstarts tot dat het op een maand en de maanden daarna niet meer lukte, vreemd he?
Ben overigens lang niet de enige als je een beetje rondzoekt op die errorcode.