KB5127648 retira su arreglo para Always On VPN y documenta un fallo de Escritorio remoto
La revisión del 20 de octubre retiró del historial de KB5127648 la corrección de Always On VPN anunciada seis días antes y la aplazó a una versión futura. La misma ficha describe un fallo RDP en Windows 11 cuando Administrator protection está habilitado.
Microsoft ha cambiado dos veces en una semana la información asociada a KB5127648. El 14 de octubre se anunció que la actualización corregía los problemas de Always On VPN provocados por actualizaciones de septiembre; seis días después, Microsoft quitó esa corrección de la ficha y la trasladó a una versión futura sin fecha. En el mismo historial figura además un fallo distinto de Escritorio remoto que afecta a equipos Windows 11 con una protección de administrador activada.
La corrección de VPN deja de estar atribuida a KB5127648
La ficha identifica KB5127648 como la actualización de seguridad del 13 de octubre para Windows 11 24H2, 25H2 y 26H2. Su título enumera las compilaciones 26100.9711, 26200.9711 y 26300.9711. El registro de cambios fechado el 20 de octubre dice que se retiró la información sobre la reparación de Always On VPN y que el cambio se incluirá en una versión futura.
Esto modifica lo que se podía concluir del anuncio anterior: la revisión ya no respalda el arreglo como disponible en KB5127648. BleepingComputer informó el 14 de octubre de que Microsoft consideraba resuelto el problema mediante KB5127648 y KB5127646. La ficha de KB5127648 ya no respalda esa conclusión para este paquete: no indica una fecha nueva ni aclara en qué actualización llegará el arreglo. Tampoco dice que haya desinstalado KB5127648; lo que ha cambiado es la descripción de la corrección.
El fallo original aparece en perfiles que seleccionan automáticamente entre IKEv2 y SSTP, o cambian de un protocolo al otro si falla el primer intento. Una conexión puede quedarse en «Connecting» o devolver «The specified port is already in use». Microsoft había indicado como medida temporal configurar un único protocolo según el entorno. Ese consejo no equivale a una solución universal: la elección afecta a la configuración de acceso remoto y debe corresponder a los requisitos de cada organización.
-WinCrew dice: una nota de soporte también puede necesitar un rollback; aquí se ha retirado la promesa, no el paquete de seguridad.-
El mismo historial añade un problema de Escritorio remoto
La página también documenta otro síntoma: después de instalar la preview de septiembre KB5124010, o una actualización posterior, los usuarios sin permisos de administrador pueden no conseguir una conexión de Remote Desktop Protocol (RDP) con un equipo remoto que tenga Administrator protection habilitado. El error señalado es 0xC000000D, acompañado del mensaje «The token that was passed to the function is invalid».
Microsoft delimita el caso principalmente a equipos administrados por una organización y usados como anfitriones de Escritorio remoto. La ficha menciona Windows 11 24H2, 25H2, 26H1 y 26H2; las líneas base de seguridad pueden activar Administrator protection por defecto, salvo que la organización haya cambiado la directiva. No es una confirmación de que todos los usuarios de RDP estén afectados, ni demuestra que la retirada del arreglo VPN y el problema de RDP tengan la misma causa.
Para los dispositivos afectados, Microsoft ofrece una mitigación temporal: desactivar Administrator protection mediante la política «User Account Control Type Of Admin Approval Mode» en Intune o en Directiva de grupo. Eso reduce una protección de seguridad, así que tiene sentido evaluarlo solo en los equipos donde se reproduzca el problema y con un plan para restaurarla. Microsoft indica que sigue trabajando en una corrección futura.
-WinCrew dice: que el workaround esté en una directiva conocida no lo convierte en un interruptor inocuo para toda la flota.-
Qué conviene revisar ahora
Los administradores que distribuyeron KB5127648 no necesitan asumir que la actualización haya sido retirada. Sí conviene corregir cualquier aviso interno que la presente como solución confirmada de Always On VPN y revisar la ficha de Microsoft antes de prometer una fecha. La documentación actual deja ese arreglo pendiente.
En redes que usan fallback automático entre IKEv2 y SSTP, hay que comprobar el comportamiento del perfil y aplicar la medida temporal solo si el fallo se presenta. En los equipos con RDP, la condición adicional es Administrator protection: el alcance descrito no autoriza a desactivarla de forma general. Hasta que Microsoft publique una actualización con la solución, ambos asuntos requieren seguimiento separado aunque compartan la página de KB5127648.
Antes se anunciaba una reparación incluida en la actualización de octubre; ahora Microsoft la aplaza y, además, identifica un problema de RDP con una condición de seguridad concreta. La próxima revisión de la ficha, no el número de KB por sí solo, será la evidencia para dar por resuelto cualquiera de los dos.
Diccionario de la Crew
IKEv2 — Protocolo de intercambio de claves usado para establecer túneles VPN.
SSTP — Protocolo de túnel VPN que transporta tráfico sobre HTTPS.
RDP — Protocolo de Microsoft para acceder y controlar una sesión de escritorio remoto.
Administrator protection — Protección de Windows 11 que limita permisos administrativos y solicita una autenticación elevada para determinadas acciones.
