L'error d'RDS figura com a «mitigat». La mitigació és apagar i encendre la màquina

Al tauler d'estat de Windows, l'error dels Serveis d'Escriptori remot d'aquest mes apareix amb l'etiqueta «Mitigated». Un llegeix aquella paraula i respira. Després obre la fitxa i hi troba la mitigació sencera, que cap en una línia: «si una màquina virtual queda inaccessible per RDP, és possible que els clients puguin restaurar temporalment la connectivitat aturant (desassignant) i reiniciant la màquina virtual afectada». Això no és una mitigació. És una reanimació.

Les dates, que són la meitat de la història

El 8 de setembre va sortir la tanda mensual d'actualitzacions de Microsoft. Per a Windows Server 2022 és KB5122882, compilació 20348.5622; a Server 2019 és KB5122876 i a Server 2025, KB5122871. Els servidors de sessions no van caure aquella tarda: els administradors que ho han explicat coincideixen que l'equip funciona amb normalitat diverses hores i que la cosa es comença a torçar després del primer tancament de sessió. Un d'ells ho va resumir a BleepingComputer així: «tots els servidors de terminals del nostre entorn estan fallant —sessions que cauen, impossible obrir connexions noves, l'única solució és un reinici forçat— en menys d'un dia».

Microsoft va obrir la incidència al seu tauler d'estat l'11 de setembre a les 11:19 (hora del Pacífic). L'última actualització d'aquella mateixa fitxa és de l'11 a les 19:20, i és la que canvia l'estat a «Mitigated». Vuit hores entre obrir el cas i declarar-lo mitigat, i enmig no hi ha pedaç: la mateixa fitxa diu «estem treballant per publicar una resolució en una futura actualització de Windows». En el vocabulari d'aquell tauler, «mitigat» descriu una manera de fer que el servei torni, no una manera que no se'n vagi. La paraula es llegeix igual i les dues coses no s'assemblen gens.

La llista d'afectats és més llarga que el titular

Gairebé tota la cobertura parla de Windows Server 2019, 2022 i 2025. És el que es veu als fòrums, perquè són les versions on hi ha més granges de sessions muntades. Però la fitxa oficial porta el seu apartat de plataformes afectades, i allà la llista és una altra:

• Servidor: Windows Server 2025, 2022, 2019, 2016, 2012 R2 i 2012.
• Client: Windows 11 en 26H1, 25H2, 24H2 i 23H2; Windows 10 en 22H2 i 21H2, més Enterprise LTSC 2019 i LTSC 2016.

Sis versions de servidor i vuit de client. Convé dir de què està feta aquella llista abans de recolzar-s'hi: no és un inventari provat. A la mateixa pàgina, la incidència dels avisos falsos de Defender —que no té res a veure amb aquesta— porta exactament les mateixes catorze entrades, paraula per paraula. És la plantilla de «tot el que continua en suport», no el resultat de reproduir l'error a cada versió. Serveix igualment per al que ens importa, perquè és l'abast que el fabricant declara, i no s'assembla al que té la gent al cap.

I hi ha una conseqüència que ens sembla la part incòmoda, marcada com a lectura nostra. La màquina que es quedarà penjada sense que ningú ho relacioni amb això és el 2012 R2 del racó: el que continua encès perquè a dins hi viu una aplicació que ningú no gosa moure, al qual s'entra per RDP dues vegades al mes i sobre el qual no escriu articles ningú. Amb un matís que cal posar, perquè canvia el sentit de la frase: 2012 i 2012 R2 van sortir de suport estès l'11 d'octubre de 2023, així que només van rebre aquest paquet si algú els té inscrits a l'any 3 d'actualitzacions de seguretat esteses, que va fins al 14 d'octubre de 2026. És a dir que les dues respostes són dolentes: si el servidor es va actualitzar, és a la llista que ningú no ha llegit; si no es va actualitzar, fa gairebé tres anys que no rep pedaços i això és el menor dels seus problemes.

El que Microsoft diu haver millorat

Vam anar a la pàgina de la mateixa actualització, la de KB5122882, a llegir què va canviar. A l'apartat de millores hi ha cinc entrades: compatibilitat d'aplicacions durant actualitzacions d'autoritats de certificació, el fus horari del Marroc, un error d'aturada 0x139 en un nombre limitat de màquines virtuals de Windows Server 2022, una millora de la commutació de xarxa en desconnectar un adaptador… i aquesta, literal: «[Escriptori remot] aquesta actualització millora la redirecció d'àudio d'Escriptori remot, ajudant que l'àudio de les sessions remotes soni correctament al dispositiu local».

Hi ha qui ha anat més enllà i hi ha posat un depurador. La hipòtesi que circula ve d'un administrador a Reddit, recollida després per BleepingComputer: «el servei es penja a RDPSERVERBASE!WDLIB_Close, sembla que aquí no hi ha cap temps d'espera configurat. Això provoca un bloqueig mutu entre RDP i LSM» —l'Administrador de sessions local—. No està confirmat: Microsoft no ha publicat causa arrel i nosaltres no ho hem reproduït. El que sí que és comprovable és que la recepta que circula per tornar la vida als servidors consisteix, segons qui la publica, a revertir precisament la millora de redirecció d'àudio d'aquesta actualització. La nostra conclusió, amb aquella cautela posada, és que allò que ha deixat sense treballar plantilles senceres sembla ser la peça que fa que el so se senti al portàtil de casa. Cap registre de riscos del món té una línia que digui «redirecció d'àudio».

Per què «desinstal·la el pedaç» és el pitjor dels dos consells

És el consell que apareix així que obres qualsevol fil: treu l'actualització i les sessions tornen. És veritat que funciona. I és, en aquest cas concret, la pitjor decisió disponible, per una raó que gairebé ningú no està posant al costat. El mateix paquet acumulat que et va tombar el servidor de sessions és el que tanca CVE-2026-69525: un ús de memòria després d'alliberar-la (CWE-416) als Serveis d'Escriptori remot de Windows, descrit com «permet a un atacant no autoritzat executar codi a través d'una xarxa», amb 9,8 i vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Sense credencials. Sense que ningú faci clic enlloc. La mateixa Microsoft el situa en «explotació més probable» al seu índex d'explotabilitat, i Tenable compta quatre execucions remotes a Escriptori remot només aquest mes.

I no viatja sol. A la mateixa tanda hi van dos errors que, segons el recompte de Tenable, ja s'estaven explotant quan va sortir el pedaç: CVE-2026-81963, a la pila de Windows Update, que per seguiment d'enllaços eleva a SYSTEM, i CVE-2026-85880, a ALPC, que arriba a SYSTEM saltant-se l'autenticació. Són 964 identificadors en total aquell dia, 104 dels quals crítics, segons aquell mateix recompte. Així que la decisió real no és «disponibilitat contra seguretat» en abstracte: és treure d'un servidor de sessions l'arranjament d'una execució remota sense autenticar al servei de sessions, i deixar-lo així els dies que Microsoft trigui a publicar la resolució. Si a més aquell servidor té el 3389 exposat a internet «només per al comercial que viatja» —i n'hi ha, els continuem veient—, el càlcul deixa de ser discutible.

Què faríem nosaltres, i què no

No hi ha cap remei oficial. L'únic que Microsoft ofereix avui és reiniciar la màquina i una resolució sense data. El que ve són decisions de risc, no instruccions de fabricant.

1. Treure la redirecció d'àudio per la via documentada, en un anell petit. Existeix des de fa més d'una dècada una directiva de grup anomenada «Permet la redirecció de reproducció d'àudio i vídeo», a Configuració de l'equip > Plantilles administratives > Components de Windows > Serveis d'Escriptori remot > Host de sessió d'Escriptori remot > Redirecció de dispositius i recursos. Deshabilitada, la redirecció no es fa servir encara que el client la demani. És la palanca suportada que toca exactament allò que l'actualització diu haver canviat. Microsoft no l'ha publicada com a mitigació d'aquest error i nosaltres no afirmem que el resolgui: és una hipòtesi raonable que es prova en dos hosts i es mira 48 hores, no una cosa que s'empeny al domini sencer un divendres.
2. No tocar l'interruptor de funció que circula pels fòrums. Hi ha publicada una recepta que crea una clau sota HKLM\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides per anul·lar una funcionalitat concreta pel seu identificador numèric. Potser funciona. No la recomanarem: és un interruptor sense documentar, lligat a una compilació concreta, i el dia que Microsoft publiqui la resolució aquella clau continuarà allà, en cent servidors, sense que ningú recordi què apaga. Es canvia un problema conegut per un que d'aquí a sis mesos ningú no sabrà diagnosticar.
3. Treure el 3389 d'internet, avui. No per aquest error, sinó per l'altre: si finalment decideixes desinstal·lar, el que deixes obert és el 9,8 sense autenticar. Amb una passarel·la d'Escriptori remot o una VPN al davant, la desinstal·lació passa de temerària a discutible. Sense elles, no.
4. Si ja has desinstal·lat, posa-li data de tornada i deixa-la escrita. El risc d'un pedaç retirat no és el dia que el retires, és el mes catorze, quan ja ningú no recorda que aquell servidor va amb el rollup d'agost. És exactament el forat del qual parlàvem fa uns dies en explicar per què un equip pot dir que està al dia amb la versió vulnerable posada.

La pregunta que no va de Microsoft

Quanta gent de la teva empresa va deixar de treballar aquesta setmana? Si la resposta és «tothom», el problema no va ser l'actualització. Una granja de sessions concentra el lloc de treball de la plantilla sencera en un servei d'un servidor, i fa tant de temps que ho fa que ha deixat de semblar una decisió. Ho és. És la mateixa pregunta que ens vam fer fa uns dies sobre qui apaga els escriptoris virtuals quan la capa que els orquestra deixa de parlar amb la de sota: l'escriptori remot és comodíssim just fins al moment en què no hi és.

El detall que ho demostra amb un rellotge és aquest: l'error triga hores a aparèixer. L'equip arrenca, la gent hi entra, tot va bé, i es comença a trencar després del primer tancament de sessió. La comprovació de sempre —apliques, reinicies, obres una sessió de prova, funciona, passes al següent— hauria donat verd als cent servidors. Contra un error que triga mitja jornada a treure el cap no hi ha diligència que valgui, només temps. Un anell canari de dos hosts de sessió amb el pedaç posat el dimarts i la resta el divendres és el que aquesta setmana separava qui va perdre dos servidors de qui els va perdre tots.

Un apunt de calendari que surt de la mateixa pàgina i que convé anotar encara que no tingui a veure amb l'error: Windows Server 2022 arriba al final del suport estàndard el 13 d'octubre de 2026, i l'actualització de seguretat d'octubre serà l'última d'aquella fase. Després passa a suport estès, amb actualitzacions de seguretat mensuals sense cost addicional fins al 14 d'octubre de 2031. No canvia res del que ha passat aquesta setmana. Canvia força del pla de qui tingui la granja de sessions allà muntada i estigués pensant a deixar-la dos anys més com està. I si el pla de tornada no està escrit ni assajat, és que no hi ha pla: ja ho vam explicar en parlar del pla de continuïtat que ningú ha assajat.

Nota de fonts

Fonts primàries que hem llegit nosaltres. La pàgina d'estat «Windows Server 2022 known issues and notifications» de Microsoft Learn: d'allà surten l'estat «Mitigated», les hores (oberta l'11-set-2026 a les 11:19 PT, última actualització el mateix 11 a les 19:20 PT), el text literal de la solució alternativa —«If a virtual machine becomes inaccessible through RDP, customers may be able to temporarily restore connectivity by stopping (deallocating) and restarting the affected virtual machine»—, la frase sobre la resolució futura, la llista de plataformes afectades i les dates de Windows Server 2022 (fi de suport estàndard el 13-oct-2026, última actualització d'aquella fase la d'octubre, suport estès fins al 14-oct-2031). Que aquella llista de plataformes coincideixi paraula per paraula amb la de la incidència no relacionada de Microsoft Defender Antivirus, a la mateixa pàgina, ho hem comprovat nosaltres. La pàgina de suport de KB5122882 (8-set-2026, compilació 20348.5622) aporta l'apartat de millores complet, inclosa la citació «[Remote desktop] This update improves Remote Desktop audio redirection, helping audio from remote sessions play correctly on the local device»; a data d'avui el seu apartat de problemes coneguts només recull el de WSUS. Les dates de suport de Windows Server 2012 R2 —fi de suport estès l'11-oct-2023 i any 3 d'actualitzacions de seguretat esteses del 15-oct-2025 al 14-oct-2026— són de la fitxa de cicle de vida de Microsoft.

Vulnerabilitats. De CVE-2026-69525 prenem del registre públic del CVE la descripció («use after free in Windows Remote Desktop Services allows an unauthorized attacker to execute code over a network»), el 9,8, el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-416 i la data de publicació. La valoració «Exploitation More Likely» és de l'índex d'explotabilitat de Microsoft, i la coneixem per l'anàlisi de Tenable del 8 de setembre de 2026, del qual també surten els 964 identificadors amb 104 crítics, les quatre execucions remotes a Escriptori remot d'aquell mes i els dos errors ja explotats: CVE-2026-81963 (pila de Windows Update, seguiment d'enllaços, elevació a SYSTEM) i CVE-2026-85880 (ALPC, salt d'autenticació, SYSTEM). Altres recomptes del mateix dia publiquen xifres una mica diferents segons què hi incloguin.

Símptomes i tercers. La cronologia, els símptomes i els KB de Server 2019 (KB5122876) i Server 2025 (KB5122871) procedeixen de BleepingComputer, IT-Connect i LazyAdmin. Les dues cites d'administradors són d'allà: la del reinici forçat en menys d'un dia, i la del bloqueig a RDPSERVERBASE!WDLIB_Close, que és un missatge publicat a Reddit i recollit després per BleepingComputer, no confirmat per Microsoft ni reproduït per nosaltres. Que la recepta de l'interruptor sota HKLM\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides reverteixi la millora de redirecció d'àudio ho diu LazyAdmin, que és qui la publica; la citem per desaconsellar-la. La directiva de grup «Permet la redirecció de reproducció d'àudio i vídeo» i la seva ruta estan documentades per Microsoft des de Windows Server 2008 R2, però no és una mitigació publicada per a aquest error.

El que és lectura nostra i no de les fonts: que «mitigat» descrigui una manera de recuperar el servei i no d'evitar que caigui; que la llista de plataformes sigui una plantilla i tot i així valgui com a abast declarat; el raonament sobre el 2012 R2 i les seves dues respostes dolentes; que la causa sembli ser a la redirecció d'àudio, que és una inferència nostra a partir de l'ordre dels fets i d'allò que reverteix la recepta que circula, no una causa arrel publicada; que desinstal·lar sigui la pitjor de les dues opcions perquè treu l'arranjament d'una execució remota al mateix servei; i que una finestra d'error d'hores invalidi la comprovació posterior al pedaç.

Fotografia de portada: «Computer Laboratory», de Kiruthikapalani, publicada a Wikimedia Commons sota llicència Creative Commons CC BY-SA 4.0. L'hem retallada i hi hem superposat els textos de marca; aquesta versió es distribueix sota la mateixa llicència CC BY-SA 4.0. Tot s'ha contrastat el 12 de setembre de 2026.