Cómo solucionar el error 0xC000000D en Windows 11

Si un usuario estándar no puede entrar por Escritorio remoto y aparece el error RDP 0xC000000D en Windows 11, comprueba si el equipo de destino tiene activada la Protección del administrador. Microsoft ha confirmado una incidencia que combina esa configuración con determinadas actualizaciones de Windows.

El mensaje puede indicar que el token pasado a la función no es válido. Antes de modificar la seguridad del equipo, conviene verificar que se trata de este escenario: el mismo código puede aparecer en otros contextos y no identifica por sí solo una causa única.

Cómo reconocer el error RDP 0xC000000D

La incidencia documentada afecta a usuarios sin privilegios de administrador que intentan conectarse a un equipo remoto con Protección del administrador habilitada. Se ha identificado tras instalar la actualización preliminar de septiembre de 2026 KB5124010 o actualizaciones posteriores en las ramas correspondientes.

Microsoft recoge este mensaje en inglés:

The token that was passed to the function is invalid.

Para comprobar si tu caso encaja, reúne estas señales:

• El error aparece al intentar establecer una conexión de Escritorio remoto.
• La cuenta afectada es un usuario estándar.
• El equipo que recibe la conexión tiene Protección del administrador activada.
• El fallo comenzó después de actualizar Windows o cambiar la configuración de seguridad.

El equipo que debes revisar es el anfitrión RDP: aquel al que intentas conectarte. Cambiar únicamente la configuración del ordenador desde el que abres el cliente no aplica la mitigación indicada por Microsoft.

Qué versiones y configuraciones están afectadas

Windows Release Health incluye Windows 11 24H2, 25H2, 26H1 y 26H2 entre las plataformas afectadas. Para esta incidencia concreta, Microsoft no enumera versiones de Windows Server.

La numeración de las actualizaciones puede variar según la rama. Comprueba siempre la ficha correspondiente a tu versión antes de utilizar una KB como referencia.

También hay una distinción importante sobre la configuración de seguridad. Protección del administrador no está activada por defecto en todos los equipos con Windows 11. Sin embargo, Microsoft indica que sus líneas base de seguridad para 24H2, 25H2 y 26H2 incorporan esa activación, salvo que la organización configure la directiva de otra manera.

Por eso, el problema resulta especialmente relevante en equipos administrados por una empresa. Tener instalada una actualización citada en la incidencia no basta para confirmar el diagnóstico: también debes revisar la configuración efectiva de Protección del administrador.

Comprueba la versión y las actualizaciones antes de cambiar nada

Empieza por anotar la versión y compilación del equipo afectado:

1. Accede al equipo mediante una consola local o un canal de administración disponible.
2. Pulsa Windows + R, escribe winver y confirma.
3. Anota la versión de Windows 11 y la compilación completa.
4. Consulta Configuración > Windows Update > Historial de actualizaciones.
5. Comprueba cuándo se instaló la actualización anterior al comienzo del fallo.

Como comprobación adicional en las ramas correspondientes, puedes consultar estas revisiones desde PowerShell:

Get-HotFix -Id KB5124010,KB5127648 -ErrorAction SilentlyContinue |
    Select-Object HotFixID, InstalledOn

Get-HotFix no proporciona un inventario exhaustivo de todas las actualizaciones. Si no devuelve resultados, contrasta el historial y la compilación; tampoco descartes una actualización acumulativa posterior.

Revisa después la directiva que administra Protección del administrador desde GPO o Intune. Anota su estado original y qué perfil o directiva lo establece para poder restaurarlo posteriormente.

Solución temporal mediante Directivas de Grupo

Microsoft propone desactivar temporalmente Protección del administrador en los anfitriones afectados mediante el sistema de gestión de directivas que ya utilice la organización.

Para hacerlo mediante GPO:

1. Identifica la directiva aplicada a los equipos que presentan el fallo.
2. Abre su configuración y navega hasta Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Opciones de seguridad. En una GPO de dominio puede aparecer el nivel adicional Directivas.
3. Localiza User Account Control: Configure type of Admin Approval Mode, cuya traducción corresponde a configurar el tipo de modo de aprobación de administrador.
4. Selecciona Legacy Admin Approval Mode (Default), el modo de aprobación heredado.
5. Aplica el cambio inicialmente a un equipo afectado para comprobar su resultado.
6. Reinicia ese equipo y prueba una conexión nueva con el usuario estándar que fallaba.

En un equipo administrado localmente, puedes consultar esta configuración mediante secpol.msc, cuando esté disponible. Si una GPO de dominio establece el ajuste, realiza el cambio en la directiva que lo administra.

Ejecutar una actualización de directivas no sustituye el reinicio. Microsoft lo exige para aplicar el cambio de modalidad.

Cómo aplicar la mitigación desde Microsoft Intune

Si administras los equipos mediante Intune, revisa el perfil que configura el ajuste User Account Control Type Of Admin Approval Mode, dentro de la categoría Local Policies Security Options del catálogo de configuración.

La documentación del CSP establece estos valores:

Valor	Modalidad
1	Modo de aprobación de administrador heredado.
2	Modo de aprobación con Protección del administrador.

Para la mitigación temporal, configura el modo heredado, correspondiente al valor 1, en el perfil que gobierna los equipos afectados. Revisa también si una línea base de seguridad u otro perfil está estableciendo el mismo ajuste.

Después, sincroniza el dispositivo, comprueba que recibe la configuración y reinícialo. Valida el resultado antes de ampliar el cambio a otros equipos.

Qué corrección ha publicado Microsoft y cuándo recuperar la protección

A fecha de revisión, 19 de octubre de 2026, Windows Release Health mantiene esta incidencia con una mitigación temporal. La documentación de KB5127648 también la recoge entre sus problemas conocidos.

Además, las notas de Release Preview del 16 de octubre de 2026 anuncian una corrección para este fallo en las compilaciones 26200.9807 y 26300.9807, correspondientes a KB5127936, para Windows 11 25H2 y 26H2.

Ese dato debe interpretarse dentro de su canal: Release Preview forma parte del programa Windows Insider. No demuestra que la corrección ya esté disponible de forma general para todas las versiones afectadas.

Consulta la actualización aplicable a tu rama y verifica que sus notas incluyan expresamente la solución del fallo. Cuando dispongas de una versión corregida adecuada para tu entorno:

1. Instálala inicialmente en un equipo de prueba afectado.
2. Restaura la configuración prevista de Protección del administrador.
3. Reinicia el equipo.
4. Comprueba el acceso mediante una sesión RDP nueva del usuario estándar.
5. Retira la excepción temporal del resto de equipos conforme valides el despliegue.

Puedes seguir el estado en Windows Release Health y consultar las notas de la corrección en Release Preview.

Cómo comprobar el resultado sin perder el acceso al equipo

Antes de reiniciar o cambiar la directiva, asegúrate de disponer de acceso físico, consola de gestión o un canal alternativo autorizado. Guarda el nombre del equipo, su compilación, la configuración anterior y el momento del cambio.

Después del reinicio, repite la prueba con la misma cuenta estándar y el mismo destino. Comprueba que puede iniciar una sesión nueva y que el código ya no aparece.

Si continúa fallando, verifica primero que el equipo ha recibido la directiva prevista y se ha reiniciado. Después, revisa si realmente coincide con el escenario documentado o si existe otro problema de permisos, credenciales o conectividad.

Un error de arranque o una pantalla de recuperación con 0xC000000D requiere otro diagnóstico. La modificación de Protección del administrador descrita aquí corresponde al fallo de autenticación RDP confirmado por Microsoft.