Windows-updates breken Remote Desktop met Admin protection
Microsoft heeft bevestigd dat recente updates voor Windows 11 ervoor kunnen zorgen dat gebruikers zonder beheerdersrechten geen verbinding meer kunnen maken met apparaten via Remote Desktop. Het probleem doet zich voor op machines waarop de beveiligingsfunctie "Administrator protection" is ingeschakeld.
Volgens het bedrijf treft de bug systemen met Windows 11 24H2, 25H2, 26H1 en 26H2. Het probleem ontstaat na installatie van de niet-beveiligingsgerelateerde preview-update KB5124010 van september 2026 of een latere update. Microsoft erkende het probleem op dinsdag en werkt nog aan een oplossing.
Een functie die bij veel organisaties nu standaard aanstaat
Administrator protection verscheen voor het eerst in oktober 2025 op systemen met Windows 11 24H2 en 25H2, via de cumulatieve preview-update KB5067036. De functie beperkt ingelogde gebruikers tot de rechten van een standaardgebruiker. Willen ze nieuwe apps installeren of het Windows-register aanpassen, dan moeten ze zich verifiëren via Windows Hello, met een pincode of biometrie.
In eerste instantie was de functie optioneel. Dat is veranderd. Organisaties die op de Windows-beveiligingsbaselines vertrouwen, hebben de functie nu standaard ingeschakeld zodra ze de Windows-beveiligingsupdate van oktober 2026 installeren. Beveiligingsbaselines zijn de configuratie-instellingen die Microsoft aanbeveelt om Windows te harden, en veel bedrijven gebruiken ze als vertrekpunt voor hun eigen beleid.
"Als uw organisatie Windows-beveiligingsbaselines gebruikt, gepubliceerd via de Microsoft Security Compliance Toolkit, is Administrator protection standaard ingeschakeld in de beveiligingsbaselines voor Windows 11, versie 24H2, 25H2 en 26H2, tenzij uw organisatie het beleid anders heeft geconfigureerd", aldus Microsoft.
Dat betekent dat sommige IT-teams tegen de bug aan kunnen lopen zonder dat ze er ooit zelf voor hebben gekozen de functie aan te zetten.
Foutmeldingen over ongeldige tokens
Getroffen gebruikers zien hun verbindingspogingen via Remote Desktop mislukken met foutcode 0xC000000D.
"Pogingen om verbinding te maken kunnen mislukken met fout 0xC000000D en de melding 'The token that was passed to the function is invalid.' Dit probleem treft vooral door de organisatie beheerde externe apparaten die worden gebruikt als Remote Desktop-host met Administrator protection ingeschakeld, ongeacht hoe de functie is ingeschakeld", legde Microsoft uit.
De gevolgen zijn vooral voelbaar in zakelijke omgevingen. Het risico ligt bij apparaten die in beheerde netwerken als Remote Desktop-host fungeren, terwijl thuisgebruikers minder snel tegen de fout aanlopen.
Workaround: zet de functie uit
Tot er een definitieve oplossing komt, raadt Microsoft aan om Administrator protection op getroffen apparaten uit te schakelen. IT-beheerders kunnen dat doen met de tool voor beleidsbeheer die ze al gebruiken.
Voor organisaties die Microsoft Intune of Groepsbeleid gebruiken, komt het neer op het terugzetten van het beleid "User Account Control Type Of Admin Approval Mode".
De workaround heeft wel een prijs. Wie Administrator protection uitschakelt, haalt een beveiligingslaag weg die beperkt wat ingelogde gebruikers, en eventuele malware die onder hun account draait, zonder extra verificatie kunnen doen. Beheerders zullen moeten afwegen wat zwaarder weegt: externe toegang voor hun personeel of die extra hardening, totdat Microsoft met een echte patch komt.
Niet de eerste keer dat Remote Desktop stukgaat
Remote Desktop is al eerder slachtoffer geworden van Windows-updates. In maart 2025 loste Microsoft een vergelijkbaar probleem op, waarbij verbindingen via Remote Desktop en RDS mislukten na installatie van updates die vanaf januari 2025 waren uitgebracht.
Vorige maand moest het bedrijf ook al noodupdates buiten de vaste cyclus om uitbrengen voor Windows Server. Die verhielpen storingen in Remote Desktop Services die waren veroorzaakt door de beveiligingsupdates van september 2026.
De updateronde van september 2026 heeft ook voor andere problemen gezorgd. Microsoft verhielp onlangs nog een bug in Always On VPN die met dezelfde reeks updates samenhing.
Onze kijk
Deze bug laat een bekend spanningsveld in het Windows-beheer zien. Microsoft zet in op strengere standaardinstellingen zoals Administrator protection, een verstandige stap tegen misbruik van inloggegevens en ongewenste software-installaties. Maar als een hardeningfunctie via beveiligingsbaselines wordt ingeschakeld en vervolgens botst met een kerntool als Remote Desktop, moeten beheerders kiezen tussen beveiliging en beschikbaarheid.
De timing maakt het er niet makkelijker op. Veel organisaties zijn nog bezig met het uitrollen van de updates van Patch Tuesday van oktober 2026, en juist die update schakelt de functie onder de baselines standaard in. Teams die op Remote Desktop leunen, doen er verstandig aan eerst op een kleine groep hosts te testen voordat ze breed uitrollen, en een eventuele workaround zo gericht mogelijk toe te passen in plaats van de beveiliging in de hele omgeving uit te zetten.
De updates van september en oktober hebben inmiddels meerdere afzonderlijke regressies opgeleverd die externe toegang raken. Dat wijst erop dat het testen van updates rond externe connectiviteit meer aandacht verdient, zowel bij Microsoft als in de patchprocessen van bedrijven. Het is de moeite waard om in de gaten te houden of Microsoft de oplossing levert via een reguliere cumulatieve update of via een nieuwe noodupdate, en of het bedrijf de standaardinstellingen van de baselines in de tussentijd aanpast.