Error 0xC000000D en Escritorio remoto: Microsoft reconoce la falla y da un rodeo temporal

Si en tu empresa hay empleados que entran a sus PC por Escritorio remoto y después de las últimas actualizaciones se encuentran con el error 0xC000000D y el mensaje «The token that was passed to the function is invalid» («el token que se pasó a la función no es válido»), no es tu red ni la contraseña. Microsoft publicó el 13 de octubre de 2026 un problema conocido de Windows 11: después de la actualización opcional KB5124010 de septiembre, o de cualquiera posterior —el parche de seguridad de octubre incluido—, los usuarios sin permisos de administrador pueden no lograr conectarse a equipos remotos que tienen activada la protección de administrador.

Le toca sobre todo a empresas y pymes que administran sus equipos con Microsoft Intune o directivas de grupo. Y el mismo día Microsoft avisó algo que agranda la lista: si tu organización aplica las líneas base de seguridad de Windows, la protección de administrador queda activada por defecto con la actualización de seguridad de octubre. O sea que, en los equipos que siguen esa línea base, el parche que todos tienen que instalar es también el que enciende la función que dispara el error.

Qué hacer hoy: si administrás los equipos, revisá si los que reciben conexiones de Escritorio remoto tienen la protección de administrador activada. Si la tienen y les cortó el acceso a usuarios comunes, el rodeo que publicó Microsoft es apagarla temporalmente en esos equipos con la misma herramienta con la que la gestionás (Intune o directivas de grupo). Es gratis. No desinstales el de octubre: trae el arreglo de una vulnerabilidad que ya se estaba usando en ataques (lo contamos en el Patch Tuesday de octubre) y el rodeo de Microsoft no requiere tocarlo. Si usás tu PC en casa y nadie la administra, no tenés que hacer nada.

¿Te toca? Las tres condiciones

Para que aparezca el error se tienen que juntar tres cosas, según la descripción de Microsoft en su panel de estado de Windows:

• El equipo al que te conectás tiene Windows 11 24H2, 25H2 o 26H2 con KB5124010 (del 22 de septiembre de 2026) o una actualización posterior. Microsoft también lista como afectada la versión 26H1, que recibe sus propias actualizaciones, y no lista ninguna versión de Windows Server.
• Ese equipo tiene la protección de administrador activada, «sin importar cómo se haya activado» (traducido del inglés): a mano, por Intune, por directivas o por la línea base de seguridad.
• Quien se conecta no es administrador de ese equipo.

Microsoft aclara que afecta «principalmente» a equipos administrados por empresas que funcionan como anfitriones de Escritorio remoto. En casa es poco probable: la protección de administrador viene apagada por defecto, y el interruptor para activarla desde la app Seguridad de Windows, según la documentación de Microsoft, todavía está en vista previa para el programa Windows Insider. Si nunca la activaste y nadie administra tu PC, esto casi seguro no te toca.

Qué es la protección de administrador y por qué ahora se activa sola

Es una función de seguridad de Windows 11 que hace que hasta un administrador trabaje con permisos de usuario común y que, cuando algo necesita permisos elevados —instalar un programa, tocar el registro—, Windows pida verificar la identidad con Windows Hello. La idea, según Microsoft, es que un malware no pueda hacerse de permisos de administrador en silencio. Es una buena idea, que esta vez vino con un efecto secundario.

Microsoft la empezó a distribuir apagada por defecto con las actualizaciones opcionales de agosto de 2026 y la dejó disponible para todos, también apagada, con la opcional de septiembre. El cambio de octubre es otro: las líneas base de seguridad de Windows 11 24H2, 25H2 y 26H2 —las configuraciones recomendadas que Microsoft publica en su Security Compliance Toolkit y que muchas empresas aplican tal cual— la traen activada, salvo que la organización haya configurado esa directiva de otra manera. Microsoft pide revisar y probar esa configuración y ajustarla a cada entorno.

El rodeo de Microsoft, paso a paso

Microsoft todavía no tiene arreglo: dice que trabaja para resolverlo «en una futura actualización de Windows» (traducido del inglés), sin fecha. Mientras tanto, el problema figura como mitigado con este rodeo, que es para el administrador de los equipos:

• Con directivas de grupo: en Configuración del equipo › Configuración de Windows › Configuración de seguridad › Directivas locales › Opciones de seguridad, buscá la directiva User Account Control: Configure type of Admin Approval Mode y volvela a Legacy Admin Approval Mode (Default), el modo de siempre. En un equipo suelto se hace igual desde la directiva de seguridad local (secpol.msc).
• Con Microsoft Intune: en la directiva del catálogo de configuración, restablecé User Account Control Type Of Admin Approval Mode, dentro de Local Policies Security Options.
• Reiniciá el equipo: el cambio no se aplica hasta el reinicio.
• Si la directiva viene de la línea base de seguridad, ajustá también la línea base, como indica Microsoft, para que el cambio no quede a contramano de lo que aplica la línea base.

Los nombres de las directivas van en inglés porque así los publica Microsoft; en un Windows en español pueden aparecer traducidos.

El costo del rodeo, que conviene tener claro: mientras esté apagada, ese equipo pierde la protección que la función agregaba. Por eso tiene sentido aplicarlo solo en los equipos que reciben conexiones de Escritorio remoto de usuarios comunes, no en toda la flota, y anotarte volver a encenderla cuando llegue el arreglo. Microsoft lo plantea como algo temporal.

Preguntas que quedan

• ¿Los administradores también se quedan afuera? Microsoft describe el problema para usuarios sin permisos de administrador. No dice nada de las cuentas de administrador, así que no lo des por sentado en ningún sentido: probalo en tu entorno.
• ¿Es la misma falla de escritorio remoto de septiembre? No. Aquella era otra: los servicios de Escritorio remoto podían dejar de responder después del parche de seguridad de septiembre, y Microsoft ya la dio por resuelta con una actualización fuera de calendario. Esta es nueva: otro mensaje de error y otra condición para que aparezca.
• ¿Tiene que ver con la falla de audio de KB5124010? Es la misma actualización de origen, pero otro problema. El de las apps que se cerraban con audio Dolby Digital Microsoft lo dio por resuelto con el parche de octubre; este, todavía no.

Fuentes

• Microsoft Learn, «Windows 11, version 25H2 known issues and notifications», entrada «Remote Desktop connections might fail for non-admin users with error 0xC000000D», abierta el 13 de octubre de 2026 (en inglés). La misma entrada figura en las páginas de 24H2 y 26H2.
• Microsoft Learn, Windows message center, aviso «Manage Administrator protection within Windows 11 security baseline» del 13 de octubre de 2026 (en inglés).
• Microsoft Support, notas de la actualización del 13 de octubre de 2026 KB5127648, sección de problemas conocidos (en inglés).
• Microsoft Learn, «Administrator protection»: qué es, cómo se configura y cómo se desactiva (en inglés).