El parche de septiembre puede colgar el escritorio remoto: Microsoft ya publicó el arreglo

Si te quedaste sin escritorio remoto después de instalar los parches de septiembre, hay una causa documentada, no es tu servidor y desde el 14 de septiembre hay arreglo. Microsoft abrió el 11 de septiembre de 2026, a las 11:19 (hora del Pacífico), un problema conocido que dice que las actualizaciones de seguridad de este mes pueden dejar inestable a Servicios de Escritorio Remoto, en una lista de sistemas bastante más larga que la que venía circulando: seis versiones de Windows Server —de 2012 a 2025— más Windows 11 y Windows 10.

Actualización del 14 de septiembre de 2026. Microsoft publicó una actualización fuera de ciclo (out-of-band) para cada versión afectada y marcó el aviso como Resuelto a las 10:00 del Pacífico. Venía de estar Mitigado desde la noche del 11, con un rodeo temporal para máquinas virtuales que ya no figura en el aviso. Sumamos a la tabla el arreglo que le toca a cada sistema, corregimos la compilación de septiembre de 23H2 (es la 22631.7582) y explicamos qué hacer si habías desinstalado el parche.

Qué podés hacer hoy, en una línea: instalar la actualización fuera de ciclo de tu versión, que está en la tabla de más abajo. En Windows 11 26H1, 25H2 y 24H2 llega sola por Windows Update como actualización de seguridad; en Windows 11 23H2 y Windows 10 22H2 con ESU no llega sola por Windows Update, y en los Windows Server hay que bajarla del Catálogo de Microsoft Update. Y si habías desinstalado el parche de septiembre para recuperar el escritorio remoto, Microsoft dice que en la mayoría de las versiones el arreglo es acumulativo e incluye todo lo de aquel parche: no hace falta reinstalarlo antes.

Qué dice Microsoft, exactamente

El aviso se titula «Remote Desktop Services might stop responding after Sept. 2026 security update» —«Servicios de Escritorio Remoto pueden dejar de responder tras la actualización de seguridad de septiembre de 2026»— y vive en las páginas de release health de Windows, la superficie donde Microsoft documenta los problemas conocidos de cada actualización. Pasó por tres rótulos. Lo abrió como Confirmed —o sea que reconoce el problema; no es un reporte de comunidad—, el 11 de septiembre a las 19:20 PT lo pasó a Mitigated con un rodeo temporal, y el 14 de septiembre a las 10:00 PT lo marcó Resolved, con una frase que no deja lugar a interpretación: «This issue is resolved by the out-of-band (OOB) update released on September 14, 2026», o sea que el problema se resuelve con la actualización fuera de ciclo de ese día. Microsoft no publica en esas páginas qué significa cada etiqueta, pero acá no hace falta: el texto nombra el arreglo y su número. Se puede leer, entre otras, en la página de Windows Server 2025 y en la de Windows 11 24H2.

El texto, traducción nuestra:

Después de instalar la actualización de seguridad de Windows de septiembre de 2026, algunas organizaciones podrían tener problemas con Servicios de Escritorio Remoto (RDS). En algunos entornos, RDS podría volverse inestable, con conexiones RDP que fallan después de varios minutos, problemas de inicio de sesión o servidores que quedan colgados en «Espere a la configuración de Escritorio remoto».

Microsoft, problema conocido publicado el 11 de septiembre de 2026

Vale la pena detenerse en el «podrían», porque es de Microsoft y no un hedge nuestro. El problema está confirmado, pero la empresa acota que le pasa a algunas organizaciones y en algunos entornos. Si tu escritorio remoto anda bien después de parchear, no significa que estés a punto de romperte: significa que tu configuración, por ahora, no cae en el escenario del fallo.

Qué KB te tocó a vos, y cuál lo arregla

Acá está la parte que más confusión generó, y es la razón por la que conviene mirar la tabla antes de buscar el número en Google: el KB culpable es distinto en cada familia de Windows, y el arreglo también. La cobertura que circuló el 10 de septiembre nombró tres —los de Server 2019, 2022 y 2025—, que son los que aparecían en los primeros reportes. El aviso de Microsoft alcanza a catorce plataformas, que se reparten en diez KB distintos, uno por rama, y el 14 de septiembre Microsoft publicó un arreglo fuera de ciclo para cada uno. Los verificamos uno por uno, en la página de release health de cada sistema y en la ficha de soporte de cada arreglo:

Fuente: la página de release health de cada familia, abierta una por una el 11 de septiembre de 2026 y vuelta a abrir el 12 y el 14, y la ficha de soporte de cada arreglo, que enlazamos en su número. Cada sistema de la primera columna enlaza a su página de release health, que es donde Microsoft marcó el problema como resuelto. Microsoft no imprime número de compilación para las dos familias de 2012. Para 25H2 y 24H2, las fichas de los KB listan las dos compilaciones juntas, y cuál es de cada versión lo dice la tabla oficial de versiones de Windows 11, la que coincide con winver. La misma tabla es la fuente de la compilación de 23H2: su página de release health y el título de la ficha del KB5122880 anotan 22621.7582, con el prefijo de 22H2, pero la tabla oficial rotula a 23H2 como OS build 22631. ⚠️ En Windows 10, el KB5122878 llega solo a los equipos con ESU o a las ediciones LTSC / IoT LTSC 2021: así lo declara el campo Applies to de su propia ficha, como medimos al cubrir el Patch Tuesday.

Dicho de otra manera: si sos una PyME con un Server 2016 haciendo de servidor de terminales, estuviste en la lista de Microsoft desde el primer minuto — y su KB, el KB5123099, no aparecía en ninguna de las coberturas que revisamos para escribir esta nota, que nombraban solo los tres de Server 2019, 2022 y 2025. Tu arreglo es el KB5129239.

No es solo el escritorio remoto

El aviso nombra un puñado de herramientas que pueden quedar colgadas junto con RDS, y esto explica bastante de la sensación de «el servidor está raro» que reportaron los administradores antes de atar cabos:

• La consola MMC, o sea la carcasa donde viven casi todas las herramientas administrativas de Windows.
• El Diagnosticador de licencias de RDS —el RDS Licensing Diagnoser—, que es justamente lo que abrirías para revisar si el problema son las CAL.
• El Explorador de archivos.
• La página de Windows Update, que puede quedarse mostrando el indicador de carga para siempre.

Ese último ítem tiene una ironía práctica incómoda: en un Windows 11, la pantalla donde irías a buscar el arreglo es una de las que el fallo puede dejar colgadas. Si te pasa, el arreglo también se baja a mano desde el Catálogo de Microsoft Update, que en los Windows Server es directamente el camino que indica Microsoft.

Qué podés hacer hoy: instalar el arreglo

1. Confirmá que es esto y no otra cosa. Cruzá la compilación de tu equipo contra la tabla de arriba. En un servidor, winver te da la compilación en dos segundos. Si el número coincide con la columna del parche de septiembre y los síntomas son los que describe Microsoft —conexiones que caen a los pocos minutos, cuelgue en «Espere a la configuración de Escritorio remoto»—, estás en el escenario documentado. Si coincide con la última columna, el arreglo ya está instalado; en un 25H2 o 24H2 con hotpatch, las compilaciones del arreglo son la 26200.9448 y la 26100.9448. En Server 2012 y 2012 R2, que no tienen compilación publicada, buscá el número del arreglo en el historial de actualizaciones.

2. Instalá el arreglo que le toca a tu sistema. Es la actualización de la cuarta columna, y por dónde llega depende de la versión:

• Windows 11 26H1, 25H2 y 24H2: es una actualización de seguridad y se instala sola desde Windows Update y Windows Update para Empresas, según las directivas que tengas configuradas; también está en el Catálogo de Microsoft Update y en WSUS. En los equipos con hotpatch el arreglo es otro, el KB5129241, y para recibirlo automáticamente tienen que tener instalado el parche de septiembre.
• Windows 11 23H2: Microsoft la anuncia como opcional, así que en Windows Update no llega si no la pedís: Configuración → Windows Update → Buscar actualizaciones → Descargar e instalar, o a mano desde el Catálogo. Su ficha agrega que en Windows Update para Empresas se instala sola según tus directivas y que WSUS la sincroniza como actualización de seguridad.
• Windows 10 22H2 con ESU: Microsoft se contradice. Su anuncio del 14 dice que es opcional y se pide desde Windows Update, como en 23H2, pero la ficha del KB5129236 dice que «is only available from the Microsoft Update Catalog», o sea que solo está en el Catálogo. Si no te aparece en Windows Update, bajala de ahí.
• Windows Server, de 2012 a 2025, y las ediciones LTSC de Windows 10: no la esperes en Windows Update. En las filas de Windows Update y de WSUS, la ficha de cada arreglo, enlazada en la tabla, dice que solo está en el Catálogo de Microsoft Update —la de Server 2025 manda a «ver las otras opciones»—, y el Catálogo es el único canal para el que da instrucciones. Dos avisos de esas fichas: las de Server 2016, 2012 R2 y 2012 advierten que, sin la última actualización de la pila de servicio (SSU) instalada, el arreglo puede no instalarse; y las de 2012 y 2012 R2 aplican solo a equipos con ESU.

Si habías aplicado la mitigación por directiva de grupo, no tenés que quitarla antes de instalar el arreglo. En la resolución, Microsoft escribe que «IT administrators who deployed a temporary mitigation through Group Policy do not need to take any action before installing this OOB update»: quien desplegó una mitigación temporal por directiva de grupo no tiene que hacer nada antes de instalar el arreglo (traducción nuestra). Esa directiva no figuraba en las páginas públicas del aviso: la mañana del 14, antes del arreglo, BleepingComputer informó que Microsoft la ofrecía, una por versión de Windows, para los equipos que administra un área de IT.

3. Si habías revertido el parche. BleepingComputer, el medio que levantó el caso el 10 de septiembre, reportó que administradores que desinstalaron las actualizaciones de septiembre recuperaron el escritorio remoto. Era un reporte de administradores, no un procedimiento oficial, y tenía un costo: los parches de septiembre traían dos vulnerabilidades con explotación activa confirmada, que cubrimos en nuestra nota del Patch Tuesday de septiembre, y se reparten el parque sin superponerse: CVE-2026-81963 pega en Windows 11 y Server 2025, y CVE-2026-85880, una falla en el mecanismo ALPC, en Windows 10 y en Windows Server 2012, 2012 R2, 2016, 2019 y 2022. Un equipo revertido quedó sin la corrección de la vulnerabilidad que le toca a su generación. Las dos son de elevación de privilegios local, o sea que exigen que el atacante ya tenga código corriendo dentro del equipo.

La salida ahora es directa. Según Microsoft, en la mayoría de las versiones el arreglo es acumulativo e incluye todo lo del parche de septiembre, así que no hace falta reinstalar septiembre antes: instalás el arreglo y quedás al día. La excepción que marca son los equipos de 25H2 y 24H2 con hotpatch, que necesitan tener el parche de septiembre instalado para recibir su arreglo automáticamente.

El detalle que complica encontrarlo

Hay una asimetría entre las dos superficies donde Microsoft documenta esto, y explica por qué varios administradores buscaron el problema y no lo encontraron.

Cuando abrimos la ficha de soporte del KB5124008 —la página que se abre al hacer clic en el número de la actualización desde Windows Update— el 11 y a las 8:18 del 12 (hora argentina), no listaba el problema de RDS; a las 10:07 ya lo listaba. La del KB5122871, la de Windows Server 2025, lo sumó ese mismo 12, según su registro de cambios. Pero las dos copiaron la versión vieja del aviso: mandaban a contactar a Soporte de Microsoft para empresas, sin el rodeo ni el estado Mitigado que release health ya mostraba desde la noche del 11. Más tarde ese 12, la del KB5124008 sumó también el audio USB sin sonido, que contamos en su propia nota.

Y el 14 la brecha volvió a abrirse, esta vez con el arreglo. Release health marcó el problema como resuelto a las 10:00 PT. La tarde del 14, la ficha del KB5124008 ya había actualizado los avisos de Plan9 y del audio, pero en el de Escritorio Remoto seguía diciendo que Microsoft trabajaba para resolverlo «in a future Windows update», en una actualización futura, y la del KB5122871, la de Server 2025, decía lo mismo. Cuando las volvimos a abrir, el 15, las dos ya lo daban por resuelto, con una fila del 14 en su registro de cambios. Para chequear si un problema de Windows está reconocido o resuelto, la página de release health de tu versión es la que manda, no la del KB: fue la primera en tenerlo cada vez.

Lo que todavía no se sabe

• Cuántos equipos fueron afectados. Microsoft no publicó cifras ni porcentajes, y el «algunas organizaciones» del aviso indica que no le pasó a todo el parque.
• Cuál fue la causa. El aviso de Microsoft describe síntomas y no nombra ningún mecanismo, y la ficha del arreglo tampoco: dice que corrige un problema que afectaba a Escritorio Remoto y repite los síntomas. BleepingComputer sí recogió una hipótesis de un administrador —un bloqueo mutuo entre Escritorio Remoto y el Local Session Manager— y aclara que Microsoft no la confirmó como causa. Es una pista de la comunidad, no un diagnóstico.
• Si había una configuración que lo disparara. No se publicó qué distinguía a los entornos que fallaban de los que no.

Preguntas rápidas

Ya parcheé en septiembre y no tuve ningún síntoma. ¿Instalo igual el arreglo?

No hay ningún motivo publicado para no instalarlo, y en Windows 11 26H1, 25H2 y 24H2 ni siquiera lo decidís vos: llega solo, como actualización de seguridad y según tus directivas. La ficha del de 25H2 y 24H2, el KB5129195, suma además la corrección de una vulnerabilidad de elevación de privilegios en un servicio de energía de Windows, la CVE-2026-62721. Y no haber tenido síntomas no garantiza nada: Microsoft no publicó qué distinguía a los entornos que fallaban, y en el caso de un administrador que citó BleepingComputer el fallo apareció con el uso —después del primer cierre de sesión—, no al instalar. En el resto de las versiones, el punto 2 de más arriba explica por dónde se consigue.

¿Afecta a mi PC de escritorio o solo a servidores?

La lista de Microsoft incluye clientes: Windows 11 en sus versiones 23H2, 24H2, 25H2 y 26H1, y Windows 10 21H2, 22H2 y las ediciones LTSC 2016 y 2019, y todos tienen su arreglo en la tabla. Dicho esto, el aviso habla de «algunas organizaciones» y los síntomas descritos —licenciamiento de RDS, sesiones colgadas— son de escenarios con Escritorio Remoto habilitado, que es mucho más común en servidores que en una PC hogareña.

¿Sirve reiniciar el servidor? ¿Y qué pasó con el rodeo de Microsoft?

No hay evidencia de que sirva: en el caso que citó BleepingComputer —un administrador que describió que RDS funcionaba al principio y se caía después del primer cierre de sesión—, reiniciar el servidor no lo resolvió, y es un reporte puntual, no una regla. El rodeo temporal que Microsoft publicó el 11 de septiembre —apagar la máquina virtual y volver a encenderla— ya no figura en el aviso resuelto. Lo que corresponde ahora es instalar el arreglo.

En resumen

Microsoft confirmó públicamente el 11 de septiembre que sus parches de seguridad de este mes podían dejar inestable el escritorio remoto, en un abanico que va de Windows Server 2012 a Windows Server 2025 e incluye a los clientes Windows 10 y 11. Esa misma noche movió el aviso a Mitigado, con un rodeo temporal escrito para máquinas virtuales, y el 14 lo marcó Resuelto: publicó un arreglo fuera de ciclo para cada versión, con un número de KB distinto por rama y un canal de instalación que también cambia según la versión. Según Microsoft, en la mayoría de las versiones es acumulativo, así que si habías revertido septiembre no hace falta reinstalarlo antes.

Si administrás servidores en una PyME, el movimiento útil de hoy es simple: fijate en qué compilación estás, buscá en la tabla el arreglo de tu versión y, si podés, probalo en un equipo que no sea el servidor de terminales de producción antes de instalarlo ahí.

¿Te tocó? Contanos en los comentarios en qué versión, con qué síntomas y si el arreglo te lo resolvió — sirve para dimensionar cuánto pegó por acá, que es precisamente el dato que nadie tiene.