El Patch Tuesday de septiembre de Microsoft rompió el Escritorio remoto, y el arreglo llegó seis días después

El Patch Tuesday de septiembre de 2026 de Microsoft fue la mayor entrega de seguridad de la historia de la compañía. También resultó ser uno de los más caóticos. Unas horas después de que se instalaran las actualizaciones el 8 de septiembre, los administradores de hosts de Servicios de Escritorio remoto vieron cómo sus servidores de sesiones dejaban de aceptar conexiones, y Microsoft no envió hasta el 14 de septiembre los paquetes de emergencia fuera de ciclo que los arreglaron.

Lectura relacionada: Project Zenith de Microsoft quiere que Windows esté listo para programar. Los desarrolladores no se convencen · Las acciones de ServiceNow cayeron un 27% cuando el miedo a la IA llegó al negocio del software.

Las compilaciones de servidor afectadas fueron KB5122876 para Windows Server 2019, KB5122882 para Windows Server 2022 y KB5122871 para Windows Server 2025. El panel de estado de versiones de Microsoft describe el fallo con los mismos términos que los administradores venían usando desde hacía días: RDS podía volverse inestable, las conexiones RDP fallaban tras varios minutos, los inicios de sesión se rompían y los servidores se quedaban colgados en el mensaje que se ha convertido en la abreviatura de todo el incidente: «Espere mientras se configura el Escritorio remoto».

Hubo más daños colaterales que el RDP. La Consola de administración de Microsoft, el Diagnóstico de licencias de RDS, el Explorador de archivos e incluso la página de Windows Update podían dejar de responder. Cuando las herramientas que usas para diagnosticar un servidor que falla también dejan de responder, un parche defectuoso deja de ser una molestia y pasa a ser una caída.

Un fallo que tardó unas horas

El momento fue lo que hizo que este caso fuera desagradable. La actualización no rompió los servidores al instalarse. Los hosts volvían, los usuarios se conectaban y una prueba de humo rutinaria tras el parche habría pasado. El problema salió a la luz más tarde, cuando las sesiones ya llevaban un tiempo abiertas y la gente empezaba a cerrar sesión.

Los informes recogidos por BleepingComputer y otros describían una secuencia constante. Las nuevas conexiones RDP se colgaban durante la fase de conexión y después fallaban. Los usuarios ya conectados no podían desconectarse ni cerrar sesión limpiamente. Varios administradores dijeron que un reinicio normal no eliminaba el fallo y que solo un reinicio forzoso devolvía el servicio. Algunos hosts, según los informes, fallaban concretamente después de que el primer usuario cerrara sesión.

La explicación principal que circuló entre los administradores fue un interbloqueo entre el servicio RDP y el Administrador de sesiones local, desencadenado al cerrar sesión. Ese análisis provino de la depuración de un administrador en un único host con Server 2022, y Microsoft no lo confirmó como causa raíz. Conviene tratarlo como una hipótesis de trabajo y no como un hallazgo, pero encaja con el patrón observado de un servicio que se atasca cuando las sesiones empiezan a desmontarse.

Por qué las organizaciones con mucho RDS lo notaron primero

Una cola de impresión rota molesta a un departamento. Un host de sesiones RDS roto detiene el trabajo de todos los que dependen de él, y la cadena de dependencia es larga.

RDS es la forma estándar en que muchas organizaciones entregan aplicaciones Windows a sucursales, contratistas, centros de llamadas y personal remoto. Un solo host de sesiones puede soportar docenas o cientos de usuarios simultáneos, y los propios servidores se administran a menudo por la misma ruta RDP que acaba de fallar. Esa combinación produce un bucle de retroalimentación: el acceso remoto del que dependen los usuarios está caído, y el acceso remoto que usan los administradores para arreglarlo también.

• Los hosts de sesiones, los servidores de salto y los sistemas próximos a las puertas de enlace tienen el mayor radio de impacto, porque son infraestructura compartida y no el escritorio de una persona.
• Los entornos de escritorio alojado y escritorio virtual construidos sobre RDS o agentes Citrix VDA heredan el fallo en todas las aplicaciones publicadas.
• Los servidores gestionados solo por RDP, sin consola ni ruta de gestión fuera de banda, pueden ser difíciles de alcanzar una vez que el servicio se atasca.

También hay una trampa de planificación. El Patch Tuesday cae en la misma ventana de mantenimiento cada mes, y la mayoría de los equipos aplican parches con una cadencia fija. Cuando un defecto necesita horas de actividad de usuario para aparecer, y tu ventana de reversión se cierra antes, te enteras en producción.

El equilibrio de seguridad que nadie quería

La ironía de la entrega de septiembre es la enorme carga de trabajo de seguridad que traía. El Centro de Respuesta de Seguridad de Microsoft contó 974 CVE en la entrega, un récord, mientras que rastreadores externos como Talos, Rapid7, Ivanti, Tenable y CrowdStrike informaron de totales que iban de 964 a 973 según cómo cuenten los fallos de Microsoft, de terceros y de Chromium. En cualquier medida, fue el mayor lote en un solo día que la compañía ha publicado.

Dos de esos fallos ya se estaban explotando en la práctica. CVE-2026-81963 es una escalada de privilegios en la pila de Windows Update, con una nota de 7,8, derivada de una resolución incorrecta de enlaces. CVE-2026-85880 es un desbordamiento de búfer basado en montículo en la Llamada a procedimiento local avanzada de Windows, también con 7,8, que permite a un atacante local con pocos privilegios escapar del espacio aislado de AppContainer y alcanzar SYSTEM. CISA añadió ambos a su catálogo de vulnerabilidades explotadas conocidas el 8 de septiembre, con un plazo de remediación del 22 de septiembre para las agencias federales estadounidenses.

Y está el que hizo que la caída de RDS fuera realmente incómoda. CVE-2026-69525 es un fallo de ejecución remota de código por uso después de liberación en Servicios de Escritorio remoto, con una nota CVSS de 9,8, en un servicio que con frecuencia queda expuesto dentro de las redes corporativas. Microsoft lo marcó como de explotación más probable.

Eso creó una elección sin buena respuesta. Revertir la actualización acumulativa de septiembre restauraba el Escritorio remoto, como descubrieron pronto los administradores. También eliminaba los parches de los dos días cero explotados y del fallo de RDS con nota 9,8, precisamente en el servicio que acababa de desestabilizarse. Algunos equipos aceptaron ese intercambio. Otros esperaron.

La respuesta de Microsoft: revertir sin revertir

Antes de que llegaran las actualizaciones fuera de ciclo, la mitigación respaldada por Microsoft era una Reversión de problema conocido, un mecanismo que desactiva el cambio no relacionado con la seguridad responsable de una regresión y deja instalados los arreglos de seguridad del mes. IT-Connect y otros medios documentaron paquetes de Directiva de grupo distribuidos a través del centro de administración de Microsoft 365 y no en las páginas públicas de KB, lo que hizo que parte de la existencia del arreglo circulara de boca en boca antes de que Microsoft lo publicara en general.

La parte contraintuitiva, repetida en todos los análisis, es que la directiva debe configurarse como Deshabilitada para activar la reversión, y el dispositivo debe reiniciarse. Configurarla como Habilitada deja el comportamiento defectuoso en su sitio.

En algunos entornos, RDS podría volverse inestable, lo que provoca que las conexiones RDP fallen tras varios minutos, problemas de inicio de sesión o que los servidores se queden colgados en «Espere mientras se configura el Escritorio remoto». — estado de versiones de Windows de Microsoft

Qué se publicó el 14 de septiembre

Seis días después del Patch Tuesday, Microsoft publicó paquetes acumulativos de emergencia fuera de ciclo. Como cada uno es acumulativo, una máquina que nunca instaló el paquete del 8 de septiembre puede instalarlo directamente y aun así recibir el contenido de seguridad del mes. Eso también significa que un administrador que revirtió puede restaurar los arreglos de seguridad y la reparación de RDS en un solo paso.

Los paquetes, verificados con las páginas de soporte de Microsoft y el aviso CTX697101 de Citrix, son:

• Windows 11 26H1: KB5129194, compilación 28000.2956
• Windows 11 24H2 y 25H2: KB5129195, compilaciones 26100.9457 y 26200.9457
• Windows 11 24H2 y 25H2 hotpatch: KB5129241
• Windows 11 23H2: KB5129242
• Windows 10 21H2 y 22H2: KB5129236, compilaciones 19044.7727 y 19045.7727
• Windows Server 2025: KB5129235, compilación 26100.33451
• Windows Server 2022: KB5129237, compilación 20348.5631
• Windows Server 2019 y Windows 10 Enterprise LTSC 2019: KB5129238
• Windows Server 2016 y Windows 10 LTSB 2016: KB5129239
• Windows Server 2012 R2 y Server 2012 (ESU): KB5129243 y KB5129244

Un detalle que conviene corregir, porque circuló ampliamente en los primeros días: existe un arreglo específico para Server 2019. KB5129238 existe, y la entrada de estado de versiones de Microsoft para la rama de Windows 10 1809 y Server 2019 ya incluye el problema de RDS como resuelto por él. La cobertura temprana de la actualización de emergencia, que solo listaba paquetes de Server 2022 y Server 2025, se actualizó para añadir Server 2019 después de que los lectores señalaran la omisión.

Las actualizaciones fuera de ciclo también repararon una segunda regresión que había quedado enterrada bajo el ruido de RDS: las aplicaciones que comparten carpetas del host Windows con máquinas virtuales Linux a través del proveedor Plan9 de Hyper-V podían encontrar las carpetas compartidas ausentes o inaccesibles. Los paquetes de Windows 11 también lo resuelven.

La resaca de audio

No todo está arreglado. Las mismas actualizaciones del 8 de septiembre rompieron dispositivos que usan USB Audio Class 1.0, que no arrancaban con un error Código 10 en el Administrador de dispositivos, no producían audio y dejaban sin respuesta los controles de volumen y la configuración de sonido.

Las actualizaciones fuera de ciclo solo arreglan una parte. Las notas de la versión KB5129237 de Microsoft listan una reparación para dispositivos que funcionaban en estéreo estándar pero fallaban en configuraciones multicanal como los modos de 8 canales o audio 3D, y después añaden un problema conocido aparte que declara sin rodeos que otros síntomas de audio no están resueltos. Los dispositivos que muestran Código 10, ausencia de salida o controles de volumen muertos siguen afectados.

No es un caso aislado

La regresión de septiembre es la última entrada de una larga lista de efectos secundarios del Patch Tuesday. BleepingComputer señaló que Microsoft arregló un problema conocido similar en marzo de 2025 que causaba fallos de conexión de Escritorio remoto y RDS tras las actualizaciones publicadas desde enero de 2025. Los meses recientes también trajeron regresiones de Windows Update que afectaban a la impresión y la exportación a PDF en algunas aplicaciones, y avisos de la Papelera de reciclaje rotos, cada uno con su propio seguimiento.

El patrón importa más que cualquier incidente concreto. Microsoft ha atribuido al descubrimiento de vulnerabilidades asistido por IA el aumento de fallos notificados, que empujó la entrega de septiembre por encima de todo lo que la compañía había publicado antes. Publicar más arreglos, más rápido y en más rutas de código eleva las probabilidades de que uno de ellos cambie el comportamiento de una forma que nadie probó. La presión comercial también juega en sentido contrario: una vez que un fallo es público y a veces ya está siendo explotado, retener una actualización tiene su propio coste.

Para los equipos que lo reciben, la lección es operativa más que técnica. Un parche que pasa una prueba rápida no está probado. Los hosts de sesiones RDS y todo lo que tenga una dependencia de destino compartido merecen un despliegue por etapas, una ruta de reversión documentada y una vía de gestión fuera de banda que no circule por el servicio que se está parcheando. Y cuando la actualización que lo rompió todo es también la que arreglaba un fallo de ejecución remota de código con nota 9,8, la decisión de retener o revertir necesita un control compensatorio en lugar de un simple ticket de mantenimiento.

Microsoft no ha dicho si los arreglos de septiembre se integrarán en un paquete mensual revisado o se dejarán para el Patch Tuesday de octubre. Hasta entonces, la lectura más segura de las páginas de estado de versiones es rama por rama: la mayoría están resueltas, las entradas de audio USB no.

Portada: foto de sala de servidores de Carl Lender, CC BY 2.0, vía Wikimedia Commons.