- 自可选预览更新 KB5124010(2026 年 9 月 22 日)和补丁日更新 KB5127648(2026 年 10 月 13 日)以来,非管理员用户的 RDP 连接会因 0xC000000D 而失败。
- 微软确认,当 RDP 主机上启用了管理员保护(Administrator Protection)时,Windows 11 24H2 至 26H2 存在该问题。
- 官方应对方法:通过 Intune 或组策略暂时关闭管理员保护。最终修复尚未发布。
你在补丁日打完补丁,去吃了午饭,回来之后普通用户就再也无法通过 RDP 登录这台机器了。自 2026 年 10 月 13 日起,不少管理员都报告了这一情况。错误代码是 0xC000000D,对应的提示是“传递给函数的令牌无效”。下面说明微软已确认的内容、哪些只是读者的反馈,以及你现在该怎么做才合理。
发生了什么
据微软称,诱因是 2026 年 9 月 22 日发布的可选、非安全类预览更新 KB5124010,或之后的任何更新。随着 2026 年 10 月 13 日补丁日的累积更新 KB5127648,这个问题在许多系统上出现了。受影响的是 24H2 至 26H2(含)的 Windows 11。问题在管理员保护处于启用状态时出现。
在适用于 24H2、25H2 和 26H2 的 Windows 安全策略(来自 Microsoft Security Compliance Toolkit 的 Security Baselines)中,只要你没有另行设置该策略,管理员保护默认是开启的。因此,如果你原样采用了这些基线,很可能也在受影响之列。据微软称,受影响的主要是由企业管理、并充当远程桌面主机的设备,无论该功能是以何种方式启用的。
| 场景 | 是否受影响? | 来源 |
|---|---|---|
| Windows 11 24H2–26H2 作为 RDP 主机,管理员保护开启,用户没有管理员权限 | 是,错误 0xC000000D | 微软已确认 |
| 同上,但管理员保护关闭 | 据微软称不受此错误影响 | 微软已确认 |
| Windows Server 2016、2019、2022、2025 | 未被列为受影响 | 仅列出 Windows 11 |
| 管理共享 C$ 和 ADMIN$ 无法访问 | 可能相关 | 仅为读者反馈 |
哪些只是读者的反馈
在 Born 的 IT 博客评论区里,汇集了更多观察结果。它们并非来自微软,请把它们当作线索,而不是已证实的事实:
- 管理共享:在 Windows 11 24H2 客户端上,其他计算机无法再访问 C$ 和 ADMIN$。在本地,
net share仍会显示它们。LocalAccountTokenFilterPolicy没有带来改善。 - 驱动器映射:有一位读者称,更新之后通过组策略设置的映射不再生效。
- 远程维护:有一位读者报告,远程维护程序无法再访问。
- Kerberos 提示:有一位读者看到了“The encryption type requested is not supported by the KDC”。这是另一条错误提示,并不能确定是同一个问题。
评论区还讨论了与 NTLMv1 的关联。博客作者认为这不太可能,因为 NTLMv1 与用户是否为管理员无关。NTLMv1 对你仍可能意味着什么,请看我们的文章Windows 服务器上 NTLMv1 的停用。
五步应对方法
微软建议暂时停用管理员保护。该策略名为“用户帐户控制 – 管理员批准模式的类型”,可在 Intune 或通过组策略将其重置。
- 缩小受影响主机的范围。检查哪些 24H2 及更高版本的 Windows 11 机器充当 RDP 主机,以及它们是否已安装更新 KB5124010 或 KB5127648:
Get-HotFix | Where-Object HotFixID -in 'KB5124010','KB5127648' - 读取当前状态。该策略对应的值保存在注册表中:
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v TypeOfAdminApprovalMode - 调整策略。在 Intune 或组策略中重置“用户帐户控制 – 管理员批准模式的类型”。有一位读者给出了值为 1 的注册表命令;这不是微软给出的信息,请先在单台机器上测试:
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v TypeOfAdminApprovalMode /t REG_DWORD /d 1 /f - 下发策略并重新登录。应用组策略,重启主机,或者至少重新登录,直到该值确定已生效。
- 测试连接。用一个没有管理员权限的用户通过 RDP 登录。如果成功,错误就已解决。
卸载更新还是采用应对方法?
- 十月更新中的安全修复仍保持安装。
- 可以通过策略集中下发,也可以再撤回。
- 这是微软给出的途径。
- 受影响主机上的管理员保护会暂时处于关闭状态。
- 你之后必须主动撤销这项例外。
- 它不一定能解决所有后续问题,例如管理共享方面的问题。
微软不建议移除该更新,而且这样做会让你失去补丁日的安全修复。有个别读者反馈这对他们有效。但作为长期方案并不合适。
这对 RDP 运营者意味着什么
如果你把一台 Windows 机器作为多个用户的远程入口来运行,那么在下一个补丁日之前要检查两件事:你是否在不知情的情况下,通过基线设置了管理员保护?另外,是否有一台测试主机,让更新提前一周到达?仅一台测试主机,就足以在客户或同事发现之前找出这类错误。
同时要明确:这个错误不是进一步开放 RDP 的理由。如果你的该服务可以从互联网访问,那么无论更新当前是否出问题,你都应该已经落实了我们文章RDP 公开可访问:如何正确保护访问中的基础措施。如果你想在自己的服务器上运行 Windows,详情见 Windows-VPS 页面。
如何检查是否成功
- 测试登录:没有管理员权限的用户通过 RDP 登录,得到的是一个会话,而不是 0xC000000D。
- 策略状态:
reg query显示的是你通过 Intune 或组策略设置的值。 - 管理共享:如果你使用它们,请从另一台计算机检查 C$ 和 ADMIN$ 是否已恢复可访问。
- 备忘记录:记下你在哪些主机上关闭了该保护,以便之后重新开启。
关闭一项保护功能是带有期限的应急办法,而不是一种常态。
官方说明见 Windows 11 Release Health 仪表板中的“Remote Desktop connections might fail for non-admin users with error 0xC000000D”。状态变化会首先出现在那里。
