Microsoftは、セキュリティ機能「管理者保護(Administrator protection)」が有効になっている場合、最近のWindows更新プログラムを適用した後、管理者権限を持たないユーザーがリモートデスクトップ経由でデバイスに接続できなくなる可能性があることを認めました。
この機能は、2025年10月にWindows 11 24H2/25H2向けのKB5067036プレビュー累積更新プログラムで段階的な提供が始まりました。2026年10月のWindowsセキュリティ更新プログラムを適用した後は、Windowsセキュリティベースラインを使用している組織で既定で有効になっています。
有効にすると、管理者保護によって、ログイン中のユーザーには標準ユーザー権限しか付与されません。新しいアプリをインストールしたり、Windowsレジストリを変更したりする際には、Windows Hello(PINまたは生体認証)による認証が求められます。
Microsoftは火曜日、Windows 11 24H2/25H2/26H1/26H2を実行するシステムで、2026年9月のセキュリティ更新プログラム以外のプレビュー更新プログラムKB5124010、またはそれ以降の更新プログラムを適用すると、リモートデスクトップ接続がエラー0xC000000Dで失敗する可能性があると認めました。
Microsoftは次のように説明しています。「接続を試みるとエラー0xC000000Dで失敗し、『The token that was passed to the function is invalid.(関数に渡されたトークンが無効です)』というメッセージが表示される場合があります。この問題は主に、リモートデスクトップのホストとして使用され、管理者保護が有効になっている企業管理下のリモートデバイスに影響します。この機能がどのような方法で有効化されたかは関係ありません」(同社の説明)
「Microsoft Security Compliance Toolkitを通じて公開されているWindowsセキュリティベースラインを組織で使用している場合、ポリシーを別途設定していない限り、Windows 11バージョン24H2、25H2、26H2のセキュリティベースラインでは、管理者保護が既定で有効になります」
Microsoftはこの問題への対応を進めている一方で、一時的な回避策を公開しました。IT管理者は、任意のポリシー管理手法を使って管理者保護を無効にする必要があります。
たとえば、Microsoft IntuneまたはグループポリシーNを使用している場合は、「User Account Control Type Of Admin Approval Mode」ポリシーをリセットする必要があります。
Microsoftは2025年3月にも、2025年1月以降にリリースされたWindows更新プログラムの適用後にリモートデスクトップとRDS接続の障害を引き起こした同様の問題を修正しています。
また先月には、2026年9月のセキュリティ更新プログラムが原因で発生したWindows Serverデバイスでのリモートデスクトップサービスの障害を修正するため、緊急の臨時Windows更新プログラムを公開しました。
