KB5127936 corrige un fallo de Remote Desktop con Administrator protection
La vista previa KB5127936 de Windows 11 25H2/26H2 corrige las conexiones RDP de usuarios no administradores a equipos con Administrator protection, que podían fallar con 0xC000000D. El mismo paquete arregla una directiva de certificados de editores RDP administrada mediante Intune.
Microsoft incluyó en la vista previa de octubre KB5127936 una corrección para las conexiones de Remote Desktop que fallaban en Windows 11 cuando el dispositivo de destino tenía Administrator protection habilitado. El problema impedía que usuarios sin permisos de administrador conectaran con equipos remotos y podía devolver el error 0xC000000D, con el mensaje de que el token pasado a la función no era válido. La actualización aplica a Windows 11 25H2 y 26H2; no es un aviso de caída general de RDP ni una vulnerabilidad explotada.
El alcance importa porque el fallo aparecía al combinar una cuenta no administrativa con una protección concreta del destino. Si una prueba se hacía con una cuenta de administrador o en un equipo sin esa función habilitada, podía no reproducirse. En flotas con cuentas separadas para operación diaria y administración, el síntoma afecta justo al flujo que debería mantener una frontera clara entre ambas identidades. BleepingComputer describió la incidencia tras las actualizaciones recientes; el artículo de soporte de Microsoft confirma el caso corregido y el código de error.
-InfraCrew dice: Si la prueba la hizo la cuenta con más privilegios del dominio, todavía no probaste el camino que estaba roto.-
KB5127936 corrige además un problema con la directiva “Specify thumbprints of certificates representing trusted .rdp publishers” al configurarla desde Microsoft Intune. Se trata de una política distinta del fallo de conexión, pero ambas afectan a la administración de sesiones remotas: una al establecimiento de la conexión por usuarios estándar y otra a la confianza aplicada a archivos RDP publicados. Si el equipo desplegaba certificados de editores confiables desde Intune, conviene validar también esa política después de instalar el paquete.
Vista previa, no parche de seguridad
Microsoft publicó KB5127936 el 28 de octubre como actualización de vista previa, para Windows 11 25H2 y 26H2. La página de soporte identifica los builds 26300.9818 y 26200.9818; la disponibilidad puede variar entre los canales de despliegue gradual y normal. Eso la diferencia de una actualización de seguridad mensual obligatoria: el paquete incluye correcciones de calidad y funciones, y su adopción debe seguir el anillo de actualización que use cada organización.
-InfraCrew dice: “Está en el catálogo” y “ya llegó a todos los equipos” son estados diferentes; el anillo de despliegue suele confirmarlo.-
Para un entorno administrado, empieza por identificar equipos y usuarios que reúnen las condiciones: Windows 11 25H2/26H2, Administrator protection habilitado y conexiones RDP de cuentas estándar. Prueba el caso con una cuenta de permisos normales, verifica el build instalado y confirma que la conexión y la directiva de certificados de Intune se comporten como se espera. Si aún no se instala la vista previa en producción, incorpora el caso a una anilla de validación y deja constancia de qué ramas recibieron la corrección.
No conviene retirar Administrator protection para recuperar RDP a toda costa. La actualización repara la compatibilidad sin pedir que se abandone esa protección, y desactivarla cambiaría la postura de seguridad para resolver un problema de conexión. Si el acceso remoto sigue fallando después del build corregido, recoge la versión del cliente y del destino, la cuenta utilizada, la política RDP aplicada y el estado de Intune antes de cambiar el baseline; así se separa esta incidencia concreta de errores de red, permisos o certificados.
La comprobación final debería cubrir un usuario estándar, una cuenta administrativa y la política de editores RDP si se gestiona desde Intune. El cierre operativo es una sesión estable con la versión esperada, no solo la instalación del paquete. Así el equipo sabe que corrigió la fricción sin convertir una protección de administrador en otra casilla que se desmarca cuando algo molesta.
-InfraCrew dice: La consola abre; el incidente no debería cerrarse hasta que también abra para quien trabaja sin privilegios elevados.-
Diccionario de la Crew
RDP — Remote Desktop Protocol, protocolo de Microsoft para sesiones remotas de escritorio.
Intune — Servicio de administración de dispositivos y políticas de Microsoft.
Vista previa — Actualización de calidad opcional publicada antes de su incorporación a una versión mensual más amplia.
Administrator protection — Función de Windows que añade una protección específica al uso de privilegios administrativos.
