Windows 11のKB5127936でRDPの不具合を修正 管理者保護の端末、24H2はまだ

10月の定例の更新から2週間、リモートデスクトップでつなげない端末を回避策でしのいでいた会社には、ひとまず出口が見えました。Microsoftは10月28日（米国時間）、Windows 11の任意のプレビューの更新KB5127936を出し、管理者保護を有効にした端末へのリモートデスクトップの接続が失敗する問題を直しました。

ただし、直ったのはWindows 11の25H2と26H2（と、別の更新で26H1）です。既知の問題のページを見ると、24H2はまだ「回避策のみ」の状態にあります。版ごとに、修正を入れるか、回避策を続けるかが分かれます。

直ったのは25H2・26H2と26H1、24H2はまだ

この問題は、9月の任意のプレビューの更新（KB5124010）かそれ以降の更新を入れた端末で起きていました。管理者保護（Administrator protection）を有効にした端末に、管理者でない利用者がリモートデスクトップでつなぐと、「The token that was passed to the function is invalid.」と0xC000000Dのエラーが出て失敗します。中身と回避策は、10月14日の記事にまとめています（Windows 11でリモートデスクトップ接続が失敗する不具合 [管理者保護]絡み、回避策あり）。

既知の問題のページを見ると、状態は版によって違います。

Microsoftは、セキュリティの基準の設定（Windowsのセキュリティベースライン）を当てている会社では、24H2・25H2・26H2で管理者保護が初めから有効になると注記しています。自分で有効にした覚えが無くても、ベースラインを当てていれば当たりえます。

入れるか、11月10日の定例を待つか

KB5127936は、セキュリティの修正を含まない任意の更新です。Microsoftは、KB5127936「とそれより後の」更新で直ったとしています。11月の定例の更新（11月10日の予定）を入れれば、この修正も入ることになります。

それまでの約2週間をどうしのぐかで、選び方が分かれます。

回避策は、管理者保護を一時的に切るものです。IntuneかグループポリシーでUACの「管理者承認モードの種類」のポリシーを、元の値に戻します（英語の名前はUser Account Control Type Of Admin Approval Mode）。24H2の端末には、今のところこの方法しかありません。

ほかに管理者が見ておく修正

KB5127936には、10月の不具合の修正がほかにも入っています。会社の端末で関係しそうなものは、次のとおりです。

Always On VPNの件は、Microsoftが一度「10月の更新で直った」とした案内を取り消していたものです。経緯は、Always On VPNの接続失敗、10月更新でも未修正Microsoftが訂正にあります。Smart App Controlの件は、Windows10月更新でSmart App Controlを有効化できない不具合にまとめています。リリースプレビューの段階で出ていた、メモリ整合性やIPv6のCLATなどの変更は、Windows 11の次の更新、メモリ整合性を自動で有効にIPv6のCLATもにまとめています。

残っている問題と、イメージに入れるときの注意

KB5127936の時点でも、9月8日のセキュリティ更新から続く、USB Audio Class 1.0の機器が「このデバイスを開始できません（コード10）」で動かない、または音が出ない問題は直っていません。Microsoftは解決に取り組んでいるとしています。

もう1つは、Windowsのイメージにこの更新を組み込む場合です。動的な更新として既存のイメージに入れるときは、インストールの媒体にboot.stlのファイルを含めないと、媒体から起動できず、0xc0430001のエラーになることがあるとしています。boot.stlはセキュアブートの検証に使うもので、更新するイメージの版と種類に合っている必要があります。

影響する端末と、影響しない端末

影響するのは、Windows 11の24H2・25H2・26H2・26H1の端末のうち、管理者保護を有効にしていて、管理者でない利用者がリモートデスクトップでつなぐ先になっている端末です。共有の作業用の端末や、開発・検証の端末に多い使い方です。Microsoftは、Windows Serverは対象に入っていないとしています。

Always On VPNの件は、9月のセキュリティ更新を入れ、プロトコルの自動選択や切り替えを設定している会社が対象です。

11月10日までの手順

1. 管理者保護が有効な端末を、Intuneの構成やグループポリシー、ベースラインの適用状況から洗い出し、版（24H2か25H2以降か）で分けます。
2. 25H2・26H2で、リモートデスクトップの接続先として困っている端末があれば、KB5127936を数台で試します。接続とAlways On VPNを確かめてから広げます。
3. 24H2で困っている端末は、回避策を続けます。回避策を当てた端末の一覧を作り、修正が出たら元に戻せるようにしておきます。
4. Windowsのイメージを作り直している場合は、boot.stlを含めているかを、イメージを作る担当に確かめます。
5. 11月の定例の更新を配る計画に、回避策を戻す作業と、USBの音声の機器の確認を入れます。