Oktober-update repareert Always On VPN, maar breekt Remote Desktop bij Administrator protection
Beheerders die deze week de oktober-updates uitrollen, krijgen er één oplossing en één nieuw probleem bij. Microsoft heeft met de cumulatieve update KB5127648 een storing in Always On VPN verholpen die sinds september speelde, en bevestigde tegelijk dat Remote Desktop kan stukgaan op systemen waar Administrator protection aanstaat.
Always On VPN weer werkend
De VPN-bug kwam binnen met KB5124008, de beveiligingsupdate van september. Volgens de releasenotes van KB5127648 bleven verbindingen hangen in de status Connecting of kwamen ze helemaal niet tot stand, wanneer het profiel was ingesteld op automatische protocolkeuze of op terugvallen op een ander protocol. Bij een volgende poging verscheen soms de melding dat de opgegeven poort al in gebruik is.
Always On VPN is de opvolger van DirectAccess en werkt met apparaten die domain-joined zijn, die niet in een domein zitten, en met Microsoft Entra ID-joined machines. De update verscheen op 13 oktober, met buildnummers 26100.9711, 26200.9711 en 26300.9711.
Wie de oktober-update niet meteen kan installeren, kan volgens Microsoft het VPN-profiel tijdelijk vastzetten op één protocol: SSTP óf IKEv2, afhankelijk van de inrichting. Dezelfde update repareert ook een probleem waarbij Explorer.exe in gedeelde omgevingen als Azure Virtual Desktop en FSLogix niet opstartte of bleef crashen.
Remote Desktop faalt met 0xC000000D
Op 13 oktober zette Microsoft een nieuw bekend probleem op de pagina met release health voor Windows 11. Niet-beheerders kunnen geen Remote Desktop-sessie meer opzetten naar machines waar Administrator protection actief is. De verbinding mislukt met foutcode 0xC000000D en de melding dat het doorgegeven token ongeldig is.
Het probleem komt binnen met KB5124010, de niet-beveiligingspreview van september, of een nieuwere update, en raakt Windows 11 24H2, 25H2, 26H1 en 26H2. Volgens BleepingComputer gaat het vooral om centraal beheerde apparaten die als Remote Desktop-host dienstdoen. De status staat op Mitigated; een definitieve oplossing is er nog niet.
Waarom dit nu veel omgevingen raakt
Administrator protection zorgt ervoor dat een ingelogde beheerder standaard alleen gewone gebruikersrechten heeft, en pas na een bevestiging met Windows Hello — pincode of biometrie — software mag installeren of het register mag aanpassen. De functie rolde in oktober 2025 uit met de preview-update KB5067036.
De reden dat dit nu opvalt: organisaties die de Windows-beveiligingsbaselines uit de Microsoft Security Compliance Toolkit volgen, krijgen Administrator protection standaard ingeschakeld in de baselines voor 24H2, 25H2 en 26H2, tenzij het beleid expliciet anders is gezet. Wie die baselines netjes toepast, zet de functie dus aan zonder er een aparte keuze voor te maken.
De tijdelijke uitweg van Microsoft is Administrator protection uitzetten via het beheerkanaal dat je toch al gebruikt. In Intune of Group Policy betekent dat het terugzetten van de instelling User Account Control Type Of Admin Approval Mode. Dat is een beveiligingsmaatregel die je daarmee uitschakelt, dus het is een afweging tussen werkbare toegang op afstand en een strakkere rechtenscheiding.