Critical Alert: Der Mai 2026 Patch könnte den Speicherort von Domänentreibern unter Windows Server 2016 verhindern, wenn der Computername 15 Zeichen hat

Microsoft hat ein bekanntes Problem erkannt, das durch das Mai 2026 KB5087537 Sicherheits-Patch, das Windows Server 2016-Geräte betrifft und kann Domänentreiber Standort (DC) Fehler verursachen, wenn der Computername genau hat 15 Zeichen. Der Ausfall wird in Anrufen an DCLocator ausgedrückt - zum Beispiel durch den Befehl nltest / dsgetdc:/ pdc - sie zurückkehren ERROR _ INVALID _ PARAMETER und somit verhindern, dass Werkzeuge und Anwendungen einen Domänencontroller finden.

Aus technischer Sicht scheint das Auftreten nicht zufällig zu sein: Microsoft zeigt an, dass ein abnormales Verhalten nur bei Maschinennamen mit der Länge genau 15 auftritt, was auf einen Fehler bei Validierungen oder bei der Handhabung des Puffers hindeutet, der den Hostnamen während der DC-Auflösung verarbeitet. Obwohl Windows Server 2016 die Mainstream-Supportphase überholt hat, erhält es weiterhin Patches auf dem erweiterten Support-Kanal; Sie können den offiziellen Lebenszyklus auf der Microsoft-Seite überprüfen: https: / / learn.microsoft.com / en-us / lifecycle / Produkte / windows-server-2016 und die konkrete Mitteilung zu diesem Problem im Support-Dokument des Updates: https: / / support.microsoft.com /... / kb5087537.

Die operativen Auswirkungen können relevant sein: Fehler bei Verwaltungsvorgängen, die von DC-Suche abhängen wie DFS-Namensraumverwaltung, Authentifizierung von Diensten, die von Domain-Abfragen und bestimmten Remote-Management-Aufgaben abhängen. In großen Umgebungen kann dies in degradierte Dienste oder Unterbrechungen von Backup-Prozessen, Gruppenrichtlinienaufgaben und andere Szenarien übersetzt werden, die einen Domain-Controller konsultieren.

Bevor Sie Maßnahmen ergreifen, schnell identifizieren, ob Sie die Ausrüstung betroffen haben. Sie können Server erkennen, deren Name 15 Zeichen mit dem Active Directory- oder PowerShell-Katalog hat (z.B. mit dem AD-Modul erhalten diese Geräte, deren Name-Eigenschaft Länge gleich 15 hat). Um direkt zu überprüfen, ob ein Team das Symptom hat, führen Sie einen Testruf an DCLocator als nltest / dsgetdc:/ pdc; wenn der Anruf ERROR _ INVALID _ PARAMETER (Code 87) gibt es Korrelation mit dem beschriebenen Problem.

Im Hinblick auf die Minderung sollten diese unmittelbaren Maßnahmen berücksichtigt werden: Stopp Masseneinsätze der KB5087537 auf kritischen Servern durch seine Patch-Management-Mechanismen (WSUS, SCCM / ConfigMgr, Intune oder Windows Update-Ringe) und in Geräten, in denen der Vorfall bereits installiert und erfahren wurde, bewerten Sie die Deinstallation des Updates (z.B. mit wusa.exe, um das Paket zu entfernen oder indem Sie installierte Updates anzeigen) und neu starten, um DC-Standortkapazität wiederherzustellen. Für Server, die keine Domänencontroller sind, kann eine schnelle Lösung sein, um das Gerät umzubenennen, so dass die Länge des Hostels nicht genau 15 Zeichen ist; wir empfehlen nicht Domain-Controller umzubenennen, ohne dem offiziellen und geplanten Verfahren zu folgen, weil die Umbenennung eines DC eine Operation mit Risiken und Abhängigkeiten (DNS, Repliken, Zertifikate, Dienstleistungen) ist.

Wenn Sie Domain-Treiber mit 15 Zeichen Namen haben und betroffen sind, ist es am schwierigsten, die Operation wiederherzustellen, indem Sie den Patch deinstallieren oder die Ausrüstung isolieren, um zusätzliche Auswirkungen zu vermeiden, und dann mit Microsoft Support für eine endgültige Auflösung oder ein Hotfix koordinieren. Denken Sie darüber hinaus an Ihre gewählte Strategie, um Grenzlängen zu vermeiden und Kontrollen zu automatisieren, die Namen mit problematischen Längen erkennen, bevor Sie Patches anwenden.

Ich empfehle, dass Organisationen mit Produktionsumgebungen eine einfache, aber effektive Politik verfolgen: testen Sie die Updates in einem repräsentativen Labor, Blockverteilung in externen Ringen, um das Verhalten in kritischen Systemen zu validieren und klare Reversionsverfahren (Kopien, Snapshots oder Methoden zur Deinstallation von Patches) zu erhalten. Es ist auch wichtig, Systemereignisaufzeichnungen und Authentifizierungsdienstalarme zu überwachen, um frühe Nebenwirkungen zu erkennen.

Schließlich dokumentieren und kommunizieren die Auswirkungen auf Stakeholder (Betriebe, Sicherheit und Business Equipment), priorisieren die Liste der Server zu überprüfen (erste DCs und Dienste, die von der Authentifizierung abhängig sind) und verfolgen Sie die Mitteilung von Microsoft, um den Patch oder die endgültige Korrektur anzuwenden, wenn verfügbar. Wenn Sie spezifische Anleitungen für Ihre Topologie (Domain Controller, DFS oder große Serverfarmen) benötigen, können Sie professionelle Unterstützung oder Ihren vertrauenswürdigen Anbieter einstufen, da die Abhilfemaßnahmen je nach Architektur und Politik der Domain variieren können.