Windows 11でリモートデスクトップ接続が失敗する不具合 [管理者保護]絡み、回避策あり

Windows 11で、リモートデスクトップ(RDP)接続が失敗する不具合が、Microsoftの既知の問題として公表されました(2026年10月13日)。接続先のホストで[管理者保護]が有効なとき、非管理者(標準)ユーザーが接続できなくなるものです。これは攻撃ではなく、更新による機能の不具合です。RDPで社内の端末やサーバーに接続している会社に関わるため、条件と対応を公式情報から整理します。

何が起きるのか

症状は、非管理者のユーザーが、[管理者保護]を有効にしたWindows 11のホストへリモートデスクトップで接続しようとすると、接続が確立できず、エラー0xC000000D(「関数に渡されたトークンが無効です」)が表示される、というものです。接続そのものが張れない状態です。

この不具合は、2026年9月22日に公開されたプレビュー更新(非セキュリティのオプション更新、KB5124010)以降で起こります。対象はWindows 11の24H2・25H2・26H1・26H2で、Windows Serverは対象外です。[管理者保護]は、管理者アカウントを守るための新しいセキュリティ機能で、昇格が必要なときにWindows Helloで本人確認し、一時的な管理者権限を使う仕組みです。今回は、9月のプレビュー更新によるトークンの扱いの変更が、この機能とかみ合わず、接続が弾かれるとされています。

脆弱性ではなく、可用性(接続できない)の問題です。悪用の心配はありません。ステータスは「緩和策あり」で、恒久的な修正は今後の更新で対応予定とされています。

なお、同じ9月でも、別のリモートデスクトップの切断の不具合(KB5124008などが起点)がありましたが、そちらは帯域外(緊急)の更新で解決済みで、今回の[管理者保護]絡みの件とは別物です。混同しないよう注意してください。

影響する会社・しない会社

影響するのは、リモートデスクトップで社内のPCやサーバーに接続していて、接続先のホストで[管理者保護]を有効にしている会社です。とくに注意したいのは、Windowsのセキュリティベースライン(Microsoft Security Compliance Toolkit経由)を適用している会社です。24H2・25H2・26H2のベースラインでは[管理者保護]が既定で有効なため、意図的に設定していなくても、影響を受ける可能性があります。

影響しないのは、Windows Serverをリモート先にしている場合(Serverは対象外)や、[管理者保護]を有効にしていない環境、管理者ユーザーだけがRDP接続する運用の場合です。ただし、自社で[管理者保護]が有効かどうかは、ベースラインの適用状況も含めて確認しないと分かりません。

情シスが今日やること

• プレビュー更新の展開を急がない: 起点は2026年9月のプレビュー更新(KB5124010)です。これはオプションの更新なので、RDPを使う環境では、広く展開する前に影響を検証します。今後の月例更新にも引き継がれる見込みのため、月例の展開も段階的に進めます
• 自社の[管理者保護]の状態を確認する: Intuneやグループポリシー、セキュリティベースラインの適用状況から、接続先のホストで[管理者保護]が有効になっていないかを確認します
• 影響が出たら回避策を検討する: どうしても接続できない場合は、IntuneまたはグループポリシーでUACの「管理者承認モードの種類」のポリシーをリセットし、[管理者保護]を一時的に無効にします。ただし、これは保護を下げる対応なので、恒久修正が出るまでの一時的な措置と位置づけ、対象を絞って行います
• 恒久修正の情報を追う: Microsoftの既知の問題のページで、修正版の提供状況を確認します

セキュリティを強める機能が、別の更新の不具合で裏目に出た形です。回避策は保護を下げるため、やみくもに全社で無効化するのではなく、「影響の確認」と「段階的な展開」で、保護と業務の両方を落とさない進め方が大切です。