Microsoft, nisan ayında yayınladığı güvenlik güncellemelerinin Windows Server sistemlerinde kimlik doğrulama sorunlarına neden olduğunu doğruladı. Özellikle alan denetleyicileri üzerinde etkili olan bu hata, Windows Hello oturum açmalarının başarısız olmasına ve Kerberos kimlik doğrulama sisteminde belirli hata olaylarının kaydedilmesine yol açıyor.
Nisan 2025 Güncellemesi, Alan Denetleyicilerini Etkiledi
Microsoft, 8 Nisan 2025 tarihinde Windows Server için yayımladığı güvenlik yamalarıyla bazı açıkları kapattı. Ancak bu güncelleme sonrasında Active Directory alan denetleyicileri üzerinde çalışan sunucularda Kerberos ile ilgili hatalar yaşanmaya başlandı. Etkilenen sistemlerde Kerberos olay kimliği 45 ve 21’in kaydedildiği görüldü.
Şirketin 6 Mayıs 2025 tarihinde yayımladığı destek makalesine göre, özellikle Windows Hello for Business çözümünü anahtara dayalı güven ilişkisi (Key Trust) modunda kullanan kurumsal sistemlerde oturum açma işlemleri başarısız olabiliyor. Bu hata, güncelleme paketlerinden KB5055523 numaralı yama ile birlikte ortaya çıkıyor.
Microsoft, güvenlik kapsamında yaptığı değişiklikle birlikte alan denetleyicilerin artık kimlik doğrulamada kullanılan sertifikaların NTAuth deposuna zincirlenip zincirlenmediğini kontrol ettiğini açıkladı. Bu değişiklik, CVE-2025-26647 güvenlik açığına karşı alınan önlemler kapsamında uygulandı. Sertifikalar gerekli kök yetkiliye zincirlenmediğinde, oturum açma sırasında sorun çıkabiliyor.
Söz konusu sorunlara neden olan davranış, aşağıdaki kayıt defteri ayarıyla geçici olarak kontrol altına alınabiliyor:
Kayıt Defteri Anahtarı:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc
Değer Adı: AllowNtAuthPolicyBypass
Microsoft’un açıklamasına göre:
- Eğer
AllowNtAuthPolicyBypassdeğeri “1” olarak ayarlanırsa, sistem günlüğüne Kerberos olay kimliği 45 kaydediliyor. Bu olayda “sertifika geçerli ancak NTAuth köküne zincirlenmiyor” uyarısı yer alıyor. Buna rağmen kullanıcı oturumları genellikle başarılı oluyor. - Eğer değer “2” olarak ayarlanırsa, kullanıcı oturumları başarısız oluyor ve sistem günlüğünde Kerberos olay kimliği 21 kaydediliyor. Bu hata, akıllı kartla oturum açmanın başarısız olduğunu belirtiyor.
Yöneticilerin geçici çözüm olarak bu değeri “1” olarak ayarlaması öneriliyor. Bu sayede kullanıcıların oturum açma işlemlerinde yaşadığı sorunlar azaltılabiliyor.
Microsoft’un açıklamasına göre bu sorun yalnızca kurumsal ortamları ilgilendiriyor. Ev kullanıcıları alan denetleyici kullanmadığı için etkilenmiyor. Aşağıdaki Windows Server sürümleri bu durumdan etkileniyor:
- Windows Server 2025
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
Microsoft, bu sorun üzerinde çalışıldığını ve ilerleyen günlerde bir düzeltme yayımlanacağını duyurdu. Şirket, sistem yöneticilerinin güvenlik önlemlerine dair farkındalıklarını artırmayı ve uyumluluğu daha yakından izlemelerini sağlamayı amaçlıyor.
