In questo articolo Indice dei contenuti 2 sezioni
Alcuni recenti aggiornamenti di Windows 11 stanno creando più di un grattacapo a chi lavora con Desktop remoto. Microsoft ha infatti confermato un problema che può impedire l’accesso ai computer a distanza, con un impatto concentrato soprattutto nelle aziende dove utenti privi di privilegi amministrativi si collegano a postazioni sulle quali è attiva una nuova funzione di sicurezza. Il difetto può presentarsi dopo l’installazione degli aggiornamenti di settembre e ottobre 2026 e si traduce in una connessione rifiutata, accompagnata da un codice di errore ben preciso.
All’origine di tutto c’è un meccanismo pensato per ridurre i rischi legati agli account amministrativi. Da anni Windows separa i privilegi tramite User Account Control (UAC), arrivato con Windows Vista e poi via via perfezionato. Con la nuova funzionalità Protezione amministratore però Microsoft scava più a fondo nella gestione delle identità e dei token di accesso, adottando un modello in cui i privilegi elevati restano isolati dalle normali attività dell’utente. Stando alla documentazione ufficiale, le versioni potenzialmente coinvolte sono Windows 11 24H2, 25H2, 26H1 e 26H2.
Gli aggiornamenti sotto accusa e il nuovo modello di sicurezza
Secondo Microsoft il problema nasce con l’aggiornamento facoltativo KB5124010, rilasciato il 22 settembre 2026. Si tratta di un cumulativo di anteprima non legato alla sicurezza, che ha comunque introdotto modifiche capaci di interferire con l’autenticazione degli utenti standard sui computer remoti. Il guaio può comparire anche dopo le patch successive, comprese quelle del Patch Tuesday di ottobre 2026. La sola presenza degli aggiornamenti però non basta a mandare in tilt la connessione. Perché l’anomalia si manifesti il computer che riceve il collegamento deve avere attiva Protezione amministratore. In quel caso Windows può interrompere il tentativo di accesso mostrando l’errore 0xC000000D insieme a un messaggio secondo cui il token passato alla funzione non è valido.
Per capirne il motivo conviene guardare a come funziona la novità. Nel modello UAC classico un amministratore lavora normalmente con un token limitato e chiede privilegi più alti solo quando servono, mentre il sistema mantiene un legame tra l’identità dell’utente e i permessi disponibili. Protezione amministratore cambia le carte in tavola. Al momento dell’accesso viene assegnato un token con privilegi ridotti e, quando un’applicazione chiede diritti amministrativi, Windows pretende una conferma esplicita tramite Windows Hello o un altro metodo previsto dalla configurazione. La vera differenza arriva dopo. Il sistema sfrutta un account amministrativo nascosto, creato e gestito in autonomia, per generare un token isolato. L’operazione privilegiata passa così per un’identità separata con un proprio profilo e, finito il processo, quel token non resta a disposizione di altre applicazioni. Una trasformazione di questa portata nel modo di associare identità, privilegi e processi può far emergere incompatibilità con funzioni che si appoggiano ai meccanismi tradizionali di autenticazione, e l’accesso remoto è proprio una di queste.
Come riconoscere il problema e la soluzione temporanea
Quando una sessione di Desktop remoto non parte, i colpevoli possono essere tanti, dai problemi DNS al firewall, passando per servizi arrestati, certificati, autenticazione a livello di rete o autorizzazioni insufficienti. Nel caso segnalato da Microsoft alcuni indizi aiutano a restringere il campo. Il primo è la comparsa dell’errore 0xC000000D su macchine che fino a poco prima accettavano senza intoppi connessioni RDP da utenti non amministratori. Il secondo è l’installazione di un aggiornamento recente, a partire da KB5124010. Il terzo, quello decisivo, è l’attivazione di Protezione amministratore sul computer di destinazione.
In attesa di una correzione definitiva Microsoft consiglia agli amministratori di disattivare temporaneamente Protezione amministratore sui sistemi colpiti. L’intervento va fatto sulla macchina che ospita la sessione remota e non per forza su quella da cui parte il collegamento. La modifica riguarda il criterio User Account Control: Configure type of Admin Approval Mode, presente tra le impostazioni di sicurezza di Windows. Dai Criteri di gruppo il percorso da seguire è Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza, Criteri locali, Opzioni di sicurezza. Qui bisogna individuare il criterio indicato e scegliere Legacy Admin Approval Mode (Default) al posto della modalità che abilita Protezione amministratore.
Fonte: TecnoAndroid