Desktop remoto con errore 0xC000000D su Windows 11: colpa di Administrator protection

Articolo aggiornato al 20 ottobre 2026. La situazione è ancora in evoluzione: lo aggiornerò se Microsoft rilascia nuove correzioni.

In questi giorni stanno arrivando segnalazioni di utenti che, da un momento all’altro, non riescono più a collegarsi in Desktop remoto al proprio PC dell’ufficio. Le credenziali sono giuste, la VPN è su, il PC risponde, ma la connessione si interrompe con l’errore 0xC000000D e il messaggio “The token that was passed to the function is invalid.” Gli amministratori, invece, entrano senza problemi.

Microsoft ha confermato il problema nella pagina Windows release health: dopo l’aggiornamento facoltativo di settembre KB5124010, e quindi anche dopo il cumulativo di ottobre KB5127648, gli utenti non amministratori non riescono ad aprire una sessione RDP verso i PC Windows 11 su cui è attiva la nuova funzione Administrator protection.

La correzione definitiva non c’è ancora, ma il workaround è semplice e reversibile. Vediamo come capire se siete coinvolti e come intervenire senza smontare la sicurezza di tutta la rete.

Chi è coinvolto

Il problema riguarda il PC di destinazione, cioè quello a cui ci si collega, non il client da cui parte la connessione. Le condizioni sono tutte e tre queste:

• il PC host ha Windows 11 24H2, 25H2, 26H1 o 26H2 con installato KB5124010 o un aggiornamento successivo;
• sul PC host è attiva Administrator protection;
• chi si collega è un utente standard, non membro del gruppo Administrators locale.

Windows Server non è coinvolto: Administrator protection oggi non è supportata sulle edizioni server, quindi i vostri server RDS e i terminal server non c’entrano. Nelle PMI lo scenario tipico è quello del dipendente che da casa, tramite VPN, apre il Desktop remoto sul suo PC in ufficio. Proprio il caso in cui l’utente, se l’ambiente è gestito bene, non è amministratore.

Perché succede

Administrator protection è l’evoluzione dell’UAC: l’utente amministratore lavora con un token da utente standard e, quando serve elevare, Windows usa un account amministrativo separato gestito dal sistema, con conferma tramite Windows Hello. È una funzione che apprezzo, ma è giovane e interviene proprio sulla gestione dei token di accesso, che è esattamente quello che l’errore lamenta.

Molti si chiederanno: “Ma io non l’ho mai attivata”. Attenzione: Microsoft ha incluso Administrator protection come impostazione predefinita nelle baseline di sicurezza per Windows 11 24H2, 25H2 e 26H2. Se avete importato la baseline del Security Compliance Toolkit in Group Policy, oppure usate i profili di sicurezza di Intune basati su di essa, la funzione può essersi accesa senza che nessuno lo abbia deciso in modo esplicito.

Prima di iniziare

Prima di cambiare qualcosa verificate che il problema sia proprio questo. Sul PC di destinazione, da un prompt dei comandi, controllate il valore che governa la funzione:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v TypeOfAdminApprovalMode

Il valore 0x2 indica Administrator protection attiva, 0x1 la modalità classica. Se il valore è 0x1 o non esiste, il vostro problema RDP ha un’altra causa e questo articolo non vi serve.

Se il PC è in dominio, scoprite anche da dove arriva l’impostazione, altrimenti la modificherete in locale e al successivo aggiornamento dei criteri tornerà come prima:

gpresult /scope computer /h C:\Temp\gpresult.html

Nel report cercate “Configure type of Admin Approval Mode”: accanto trovate il nome del GPO che la imposta. Io, prima di toccare un GPO di sicurezza, ne faccio sempre un backup dalla console Gestione Criteri di gruppo (tasto destro sul GPO → Backup), così il ritorno indietro è questione di un minuto.

Il workaround: tornare temporaneamente alla modalità classica

Il workaround indicato da Microsoft è disattivare Administrator protection sui PC usati come host Desktop remoto, ripristinando il criterio User Account Control Type Of Admin Approval Mode. Con Group Policy di dominio:

1. aprite Gestione Criteri di gruppo e modificate il GPO individuato con gpresult;
2. andate in Configurazione computer → Criteri → Impostazioni di Windows → Impostazioni sicurezza → Criteri locali → Opzioni di sicurezza;
3. aprite “User Account Control: Configure type of Admin Approval Mode” (nelle console in italiano è la voce del Controllo account utente sul tipo di modalità Approvazione amministratore) e selezionate “Legacy Admin Approval Mode”, oppure togliete la spunta a “Definisci questa impostazione criterio”;
4. sul PC interessato lanciate gpupdate /force e riavviate: senza riavvio la modifica non ha effetto.

Non applicate la modifica a tutto il dominio se non serve. Io preferisco creare un GPO dedicato, collegato solo a un gruppo di sicurezza con i PC usati come host RDP, e dargli un nome che ricordi che è temporaneo, ad esempio “TEMP – AdminProtection off – RDP 0xC000000D”. Così i PC che nessuno raggiunge da remoto restano protetti.

Con Intune la logica è la stessa: nel Settings catalog, categoria Local Policies Security Options, impostate User Account Control Type Of Admin Approval Mode sulla modalità classica in un profilo assegnato solo ai dispositivi coinvolti. Se il valore arriva da una baseline di sicurezza, gestite l’eccezione lì, altrimenti avrete due profili in conflitto.

Per un PC singolo fuori dominio basta l’Editor Criteri di gruppo locale (gpedit.msc) con lo stesso percorso, oppure riportare a 1 il valore di registro visto sopra e riavviare:

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v TypeOfAdminApprovalMode /t REG_DWORD /d 1 /f

Attenzione: in rete girano anche “soluzioni” che, oltre a disattivare Administrator protection, impostano LocalAccountTokenFilterPolicy a 1. Lo sconsiglio: quel valore riduce il filtro UAC sulle connessioni remote con account locali e facilita i movimenti laterali, soprattutto se le password degli amministratori locali sono uguali su tutti i PC. Per questo problema non serve.

Cosa non fare

Non disinstallate KB5127648: è il cumulativo di sicurezza di ottobre e toglierlo per un problema che ha un workaround mirato è un pessimo scambio. E non risolvete aggiungendo gli utenti al gruppo Administrators locale “così si collegano”: funziona, ma avete appena annullato il motivo per cui l’utente era standard.

Se il problema persiste

Se dopo il riavvio reg query mostra ancora 0x2, c’è un altro criterio che vince sul vostro: ricontrollate il report di gpresult, l’ordine di collegamento dei GPO e, se il PC è anche registrato in Intune, i profili di configurazione e le baseline assegnate.

Se invece il valore è corretto e l’errore resta, verificate le basi: che l’utente sia nel gruppo Utenti desktop remoto del PC, che Desktop remoto sia abilitato e che non ci siano altre restrizioni sulla connessione. Se il vostro problema RDP riguarda invece l’accesso via browser, date un’occhiata a RD Web Access che non si carica in Edge e Chrome.

Quando Microsoft rilascerà la correzione, ricordatevi di eliminare il GPO temporaneo e di riattivare Administrator protection: un workaround dimenticato diventa debito tecnico, e questo in particolare riguarda la sicurezza.

Vi è capitato l’errore 0xC000000D sui vostri PC? Raccontate nei commenti com’era configurato il vostro ambiente e se il workaround ha funzionato: possono essere utili ad altri.