Коротко о главном
Microsoft подтвердила новую известную проблему в Windows 11. После установки KB5124010 (сентябрьский предпросмотр) или более поздних обновлений, включая октябрьский Patch Tuesday, не-администраторы не могут подключиться по Remote Desktop к устройствам, на которых включена «Защита администратора» (Administrator protection).
Подключение завершается ошибкой 0xC000000D с сообщением «The token that was passed to the function is invalid» («Токен, переданный функции, недействителен»).
Проблема затрагивает корпоративные среды и связана с тем, что Microsoft Security Compliance Toolkit включает «Защиту администратора» по умолчанию в базовых политиках безопасности для Windows 11 24H2, 25H2 и 26H2.
Временное решение: временно отключить «Защиту администратора» через Intune или Group Policy, сбросив политику «User Account Control: Configure type of Admin Approval Mode».
Что такое «Защита администратора»
«Защита администратора» это функция безопасности, представленная Microsoft как часть инициативы по усилению защиты от атак, требующих повышения привилегий. Она начала распространяться с обновлением KB5067036 (октябрь 2025 года) на Windows 11 24H2 и 25H2.
Когда функция включена, вошедший пользователь имеет только стандартные права. При попытке установить приложение или изменить реестр система запрашивает аутентификацию через Windows Hello (PIN или биометрию).
Идея в том, чтобы злоумышленник или вредоносное ПО не могли незаметно повысить привилегии. Пользователь явно подтверждает каждое действие, требующее административных прав.
Суть проблемы
После установки KB5124010 или более поздних обновлений не-административные пользователи не могут подключиться по RDP к удалённым устройствам, где включена «Защита администратора».
Симптомы:
- Подключение завершается ошибкой 0xC000000D.
- Сообщение: «The token that was passed to the function is invalid».
- Проблема возникает независимо от того, как была включена «Защита администратора» через Group Policy, Intune или локальные настройки.
Что означает код 0xC000000D: в терминологии Windows NT это STATUS_INVALID_PARAMETER. Система получила аргумент или структуру токена безопасности, которую не смогла проверить.
Какие версии Windows затронуты
Microsoft официально указывает следующие версии:
| Версия Windows 11 | Сборка KB5124010 |
|---|---|
| 26H2 | 26300.9550 |
| 25H2 | 26200.9550 |
| 24H2 | 26100.9550 |
Важно: в отличие от первоначальных сообщений, Microsoft не включила 26H1 в официальный список затронутых версий.
24H2 Home и Pro достигли конца поддержки 13 октября 2026 года. Для Enterprise и Education поддержка сохраняется до 12 октября 2027 года.
Серверные ОС не затронуты проблема касается только клиентских версий Windows 11.
Кого затрагивает проблема
Основная группа риска корпоративные среды, где используется Microsoft Security Compliance Toolkit. В этих базовых политиках безопасности «Защита администратора» включена по умолчанию для Windows 11 24H2, 25H2 и 26H2.
Сценарий:
- Администратор настраивает удалённое устройство (хост RDP) с включённой «Защитой администратора».
- Обычный пользователь (не администратор) пытается подключиться к этому устройству по RDP.
- Подключение завершается ошибкой 0xC000000D.
Проблема не зависит от способа включения «Защиты администратора» Group Policy, Intune или локальные настройки дают одинаковый результат.
Временное решение от Microsoft
Microsoft предлагает временно отключить «Защиту администратора» на затронутых удалённых устройствах.
Через Group Policy
- Откройте Group Policy Management Console.
- Перейдите в Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options.
- Найдите политику «User Account Control: Configure type of Admin Approval Mode».
- Установите значение «Disabled» или сбросьте настройку в «Not Configured».
- Выполните
gpupdate /forceна целевых устройствах. - Перезагрузите устройства.
Через Microsoft Intune
- Откройте Intune admin center.
- Перейдите в Devices → Configuration profiles.
- Создайте или отредактируйте профиль для затронутых устройств.
- Найдите настройку «User Account Control Type Of Admin Approval Mode».
- Установите значение «Disabled» или удалите настройку из профиля.
- Примените профиль к целевым устройствам.
Важные оговорки
Безопасность: отключение «Защиты администратора» снижает уровень защиты устройства. Организациям стоит взвесить риски перед применением этого обходного пути.
Временный характер: Microsoft работает над исправлением и выпустит его в будущем обновлении Windows. Как только исправление появится, «Защиту администратора» можно будет включить обратно.
Что ещё исправил KB5127648
Октябрьское накопительное обновление KB5127648 исправило несколько проблем, но проблема с RDP осталась.
Что исправлено:
- Сбои Explorer.
- Проблемы с воспроизведением AC-3 audio.
- Проблемы с Always On VPN.
- Сбои Group Policy, связанные с Admin Protection.
Что осталось неисправленным:
- Ошибка RDP 0xC000000D.
- Проблемы с USB Audio Class 1.0 (код 10).
Что делать администраторам
- Проверьте, включена ли «Защита администратора» на ваших RDP-хостах. Если да проблема может проявиться.
- Примените временное решение, если пользователи не могут подключаться. Отключите «Защиту администратора» через Intune или Group Policy.
- Оцените риски безопасности. Отключение функции снижает защиту. Возможно, стоит ограничить обходной путь только теми устройствами, где он действительно необходим.
- Следите за обновлениями Microsoft. Компания работает над исправлением. Как только оно выйдет включите «Защиту администратора» обратно.
- Проверьте Group Policy отдельно. По сообщениям, KB5127648 мог исправить сбои Group Policy, но официально это не задокументировано. Протестируйте Group Policy и RDP отдельно.
Часто задаваемые вопросы
Это баг в KB5124010 или в KB5127648?
Проблема появилась после KB5124010 (сентябрьский предпросмотр) и сохраняется в более поздних обновлениях, включая KB5127648.
Затронуты ли домашние пользователи?
Практически нет. Проблема касается корпоративных сред, где включена «Защита администратора» и используются RDP-хосты. Домашние пользователи обычно не используют RDP и не включают эту функцию.
Затронуты ли Windows Server?
Нет. Проблема касается только клиентских версий Windows 11.
Когда Microsoft выпустит исправление?
Дата не объявлена. Microsoft подтвердила, что работает над проблемой, и выпустит исправление в будущем обновлении.
Безопасно ли отключать «Защиту администратора»?
Это снижает уровень защиты устройства. Отключение оправдано как временная мера, если пользователи не могут работать. После выхода исправления функцию следует включить обратно.
Поможет ли удаление KB5124010 или KB5127648?
Удаление обновления может вернуть работоспособность RDP, но вы потеряете исправления безопасности из октябрьского Patch Tuesday. Microsoft рекомендует использовать временное отключение «Защиты администратора» вместо удаления обновлений.
Затронуты ли все редакции Windows 11?
Microsoft указывает, что проблема затрагивает все редакции в пределах затронутых версий (24H2, 25H2, 26H2), но на практике страдают в первую очередь корпоративные устройства с включённой «Защитой администратора».
Что в итоге
Microsoft подтвердила проблему: после KB5124010 не-администраторы не могут подключиться по RDP к устройствам с включённой «Защитой администратора» и получают ошибку 0xC000000D. Проблема затрагивает корпоративные среды, где Microsoft Security Compliance Toolkit включает эту функцию по умолчанию. Временное решение отключить «Защиту администратора» через Intune или Group Policy, сбросив политику «User Account Control: Configure type of Admin Approval Mode». Microsoft работает над исправлением и выпустит его в будущем обновлении. После этого «Защиту администратора» можно будет включить обратно.
