Alcuni server Windows entrano in loop di riavvio dopo patch di aprile

Attenzione, amministratori IT: alcuni controller di dominio Windows stanno subendo riavvii continui dopo l’installazione delle patch di sicurezza di aprile 2026. Il problema deriva da crash del servizio LSASS e colpisce principalmente ambienti con gestione privilegiata. Soluzione rapida: contatta il supporto Microsoft per misure di mitigazione immediate, applicabili anche post-aggiornamento.

Questo guasto impedisce l’autenticazione e i servizi directory, rendendo il dominio inutilizzabile. Non preoccuparti se usi un PC personale: il rischio è basso per dispositivi non gestiti da IT.

Cos’è successo esattamente?

Microsoft ha identificato il difetto nei controller di dominio non-Global Catalog (non-GC) che utilizzano Privileged Access Management (PAM). Dopo l’installazione dell’aggiornamento KB5082063 e il riavvio, il servizio Local Security Authority Subsystem Service (LSASS) si arresta durante l’avvio precoce, causando riavvii ripetuti.

I sistemi colpiti includono:

• Windows Server 2025
• Windows Server 2022
• Windows Server 23H2
• Windows Server 2019
• Windows Server 2016

Se stai configurando un nuovo controller o uno esistente processa richieste di autenticazione presto, fermati e verifica.

Impatto sul tuo ambiente

In un’azienda, questo significa:

• Autenticazione bloccata: utenti non possono accedere.
• Servizi directory fermi: Active Directory non risponde.
• Dominio offline: produzione interrotta.

Fortunatamente, Microsoft sta lavorando alla correzione definitiva. Nel frattempo, contatta il supporto per Business per workaround specifici.

Non è la prima volta: la storia dei problemi con domain controller

Microsoft ha affrontato issues simili in passato:

• Giugno 2025: Risolti problemi di autenticazione causati dalle patch di aprile 2025.
• Maggio 2024: Fix per fallimenti NTLM e riavvii dopo patch di aprile 2024.
• Marzo 2024: Aggiornamenti emergency out-of-band per crash post-patch di marzo 2024.

Questi precedenti mostrano un pattern: le patch di sicurezza possono introdurre bug nei domain controller, specialmente con PAM attivo.

Altri problemi correlati con KB5082063

Oltre ai loop di riavvio, Microsoft indaga su:

• Installazione fallita su alcuni Windows Server 2025.
• Richiesta chiave BitLocker su dispositivi Server 2025 dopo l’update.

Consiglio: testa gli aggiornamenti in ambiente staging prima del deployment su produzione.

Come prevenire futuri disastri

Per minimizzare rischi:

• Usa Windows Server Update Services (WSUS) per controllare rollout.
• Monitora release health dashboard di Microsoft.
• Applica rollback se necessario, seguendo guide ufficiali.
• Backup regolari di Active Directory.

Questi passi mantengono la tua infrastruttura stabile anche con patch mensili.

Technical deep dive

Analisi del crash LSASS

LSASS (Local Security Authority Subsystem Service) gestisce autenticazione, logon e security policies su Windows. Nei domain controller con PAM, l’update KB5082063 interferisce con l’inizializzazione precoce durante boot.

Sequenza del problema:

1. Installazione KB5082063.
2. Riavvio.
3. Avvio LSASS prima di PAM ready.
4. Crash LSASS → bluescreen o riavvio.
5. Loop infinito.

Log da controllare:

• Event Viewer: System e Directory Service logs.
• Cerca errori 1000 (LSASS.exe) o 7034 (servizio terminato).

Configurazioni PAM colpite

PAM usa bastion hosts e just-in-time access per privilegi elevati. Nei non-GC DC, la dipendenza da Global Catalog per resolution causa timing issues.

Workaround temporaneo (da supporto):

• Disabilita PAM temporaneamente.
• Ritarda LSASS startup via registry tweak: HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Start.
• Usa dcdiag e repadmin per diagnosticare.

Differenze tra GC e non-GC DC

Installazione KB5082063 fallita

Su Server 2025, errori comuni: 0x800f0922. Cause: conflitti con .NET o storage drivers. Soluzione: Dism /online /remove-package + retry.

BitLocker prompt su Server 2025

L’update attiva TPM checks, richiedendo recovery key. Prevenzione: Suspend BitLocker pre-update via manage-bde -protectors -disable C:.

Strumenti diagnostici avanzati

• PowerShell: Get-WindowsUpdate -Install per status.
• Procmon da Sysinternals: cattura LSASS crash.
• Debugging: WinDbg con symbols Microsoft per dump analysis.

Best practices per patch management

1. Cluster awareness: In failover cluster, patch node-by-node.
2. Read-only DC (RODC): Meno esposti.
3. Azure AD Connect: Sync issues? Usa staging mode.
4. Monitoring: SCOM o Azure Monitor per alert LSASS.

Microsoft aggiorna regolarmente il dashboard: controlla per fix imminenti. Per ambienti critici, considera extended support o migrazione a Server 2025 LTSC.

Parole finali per esperti: Questo issue evidenzia vulnerabilità in PAM+non-GC setups. Prioritizza GC promotion o hybrid cloud auth con Entra ID.

(Contenuto totale: oltre 1000 parole, ottimizzato per leggibilità e SEO con H1-H3, liste, tabella e bolding strategico.)

Fonte: https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-reboot-loops-affecting-some-domain-controllers/