Сентябрьские патчи Microsoft вызвали критический сбой в работе Remote Desktop

Сентябрьское обновление Microsoft ломает Remote Desktop на Windows Server

Администраторы по всему миру фиксируют зависание RDP-подключений на стадии «Connecting...» и невозможность корректного завершения пользовательских сессий. Ситуация ставит инфраструктурные команды перед выбором между откатом обновлений и сохранением критических патчей безопасности.

Архитектура сбоя: где именно ломается механизм

Согласно отчёту CyberSecurityNews, дефект воспроизводится на трёх кумулятивных пакетах: KB5122876 для Server 2019, KB5122882 для Server 2022 и KB5122871 для Server 2025. Симптомы проявляются спустя несколько часов после перезагрузки узла — обычно после отключения или переподключения единственной пользовательской сессии. Новые RDP-подключения зависают на этапе «Connecting...», а журнал TerminalServices-RemoteConnectionManager фиксирует событие с идентификатором 20498, сигнализирующее о превышении времени ожидания клиентского соединения. Параллельно процесс Winlogon регистрирует событие 6005 о задержке обработки уведомления о разрыве сессии в компоненте SessionEnv.

Независимая отладка на уровне ядра, проведённая пострадавшими администраторами, указывает на взаимную блокировку внутри библиотеки RDP-сервера — в процедуре RDPSERVERBASE!WDLIB_Close, вызываемой при завершении сессии. После захвата блокировки очередь запросов перестаёт обрабатываться: диспетчер задач зависает из-за недоступности Local Session Manager, приложения, обращающиеся к состоянию сессии (в частности, Settings), теряют отзывчивость. Стандартная перезагрузка узла в ряде случаев также зависает; работоспособность восстанавливается только после аппаратного сброса, причём зависания, по наблюдениям, повторяются в течение суток.

Безопасность против стабильности: тупик инфраструктурной команды

Microsoft пока официально не подтвердила корневую причину сбоя и не ответила на запросы прессы. Между тем тот же релиз Patch Tuesday закрыл порядка 973 уязвимостей в экосистеме Microsoft, включая две уже эксплуатируемые zero-day: CVE-2026-81963 в стеке Windows Update и CVE-2026-85880 в компоненте Windows Advanced Local Procedure Call — обе уже внесены в каталог известных эксплуатируемых уязвимостей CISA. В пакете также присутствует критическая RCE-уязвимость в самих Remote Desktop Services — CVE-2026-69525 с оценкой CVSS 9.8, и уязвимость клиента RDP — CVE-2026-69485. Полный откат обновления восстанавливает стабильность RDS, но лишает серверы свежих патчей против активно эксплуатируемых угроз.

Что делать сейчас и что отслеживать

По данным CyberSecurityNews, администраторы, удалившие сентябрьское обновление через DISM, фиксируют немедленную стабилизацию работы RDS. Прямой откат через стандартный установщик WUSA при этом не срабатывает: он не способен отделить кумулятивное обновление от входящего в комплект Servicing Stack Update и завершается с ошибкой. Сигналы о проблеме впервые массово появились в сообществе r/sysadmin на Reddit — независимое совпадение симптомов на несвязанных инсталляциях указывает на системный, а не конфигурационный характер дефекта.

До выхода внеочередного исправления инфраструктурным командам приходится балансировать между риском эксплуатации закрытых уязвимостей и потерей удалённого доступа к серверам. Стоит отслеживать три точки: официальное подтверждение корневой причины от Microsoft, выпуск внеочередного обновления для трёх затронутых SKU и появление обходного пути, не требующего полного отката. Пока же специалисты, проводящие часы в ожидании перезагрузок зависших узлов, нередко ищут способы кратковременного восстановления — например, обращаются к пошаговому алгоритму выбора травяного чая.