Alerta crítico: o adesivo de maio 2026 pode impedir a localização de controladores de domínio no Windows Server 2016 quando o nome do computador tem 15 caracteres

A Microsoft reconheceu um problema conhecido introduzido pelo sistema de segurança de maio de 2026 KB5087537 que afeta equipamentos com Windows Server 2016 e pode provocar falhas na localização de controladores de domínio (DC) quando o nome do computador tem exatamente 15 caracteres. O falha se manifesta em chamadas a DCLocator — por exemplo através do comando nltest /dsgetdc:/pdc— que devolven ERROR_INVALID_PARAMETER e, portanto, impedem ferramentas e aplicações de encontrar um controlador de domínio.

Do ponto de vista técnico, a incidência não parece ser aleatória: a Microsoft indica que o comportamento anómalo ocorre apenas em nomes de máquina com comprimento exatamente 15, o que sugere um erro em validações ou no manejo do buffer que processa o nome do host durante a resolução do DC. Embora o Windows Server 2016 superou a fase de suporte mainstream, continue recebendo adesivos no canal de suporte estendido; você pode consultar o ciclo de vida oficial na página Microsoft: https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2016, e o aviso concreto sobre este problema no documento de suporte da atualização: https://support.microsoft.com/.../kb5087537.

As consequências operacionais podem ser relevantes: falhas em operações administrativas que dependem de pesquisas de DC, como a gestão de espaços de nomes DFS, a autenticação de serviços que dependem de consultas ao domínio e certas tarefas de administração remota. Em ambientes grandes, isto pode ser traduzido em serviços degradados ou interrupções em processos de backup, tarefas políticas de grupo e outros cenários que consultam um controlador de domínio.

Antes de tomar medidas, identifique rapidamente se tem equipamentos afetados. Você pode detectar servidores cujo nome tenha 15 caracteres usando consultas ao catálogo de Active Directory ou PowerShell (por exemplo, com o módulo AD obter aqueles equipamentos cuja propriedade Name tem Length igual a 15). Para verificar diretamente se uma equipe apresenta o sintoma, execute nele uma chamada de teste a DCLocator como nltest /dsgetdc:/pdc; se a chamada devolve ERROR_INVALID_PARAMETER (código 87) estiver correlacionada com o problema descrito.

Quanto a mitigações, considere estas ações imediatas: parar em grandes instalações do KB5087537 em servidores críticos através de seus mecanismos de gestão de adesivos (WSUS, SCCM/ConfigMgr, Intune ou anéis do Windows Update), e em equipamentos onde já se instalou e se experimenta a incidência, avaliar a desinstalação da atualização (por exemplo, usando o wusa.exe para remover o pacote ou por meio de atualizações instaladas) e reiniciar para recuperar a capacidade de localização da DC. Para servidores que não sejam controladores de domínio, uma solução rápida pode ser renomear o equipamento para que o comprimento do hostname não seja exatamente 15 caracteres; no entanto, Não recomendamos renombrar controladores de domínio sem seguir o procedimento oficial e planejado, porque renombrar um DC é uma operação com riscos e dependências (DNS, réplicas, certificados, serviços).

Se você tiver controladores de domínio com nomes de 15 caracteres e estão afetados, o mais prudente é primeiro restaurar a operacionalidade através da desinstalação do adesivo ou isolar os equipamentos para evitar impactos adicionais, e depois coordenar com o Microsoft Support para uma resolução definitiva ou um hotfix. Além disso, replantee sua estratégia de nome para evitar comprimentos-limite e automatice controles que detectem nomes com comprimentos problemáticas antes de aplicar adesivos.

Eu recomendo que as organizações com ambientes de produção sigam uma política simples, mas eficaz: testar as atualizações em um laboratório representativo, bloquear a distribuição em anéis externos até validar comportamentos em sistemas críticos e manter procedimentos de reversão claros (copias, snapshots ou métodos para desinstalar adesivos). Também é importante monitorar os registros de evento do sistema e os alertas de serviços de autenticação para detectar efeitos secundários precoces.

Finalmente, documente e comunique o impacto às partes interessadas (equipamentos de operações, segurança e negócio), priorize a lista de servidores a rever (primeiro DCs e serviços que dependem de autenticação) e mantenha o aviso da Microsoft para aplicar o adesivo ou a correcção definitiva quando disponível. Se você precisa de orientação específica para sua topologia (controladores de domínio, DFS, ou grandes fazendas de servidores), escalela a suporte profissional ou seu provedor de confiança, pois as ações de remediação podem variar segundo a arquitetura e políticas do domínio.