[Upd: patch disponibile] Windows Server: gli update di settembre 2026 bloccano i Servizi Desktop remoto (RDS) (aggiornato: 15 settembre 2026, ore 07:09)

Un server terminal che lavora tranquillo, poi un utente qualsiasi si disconnette e tutto si blocca. Nessuno riesce più ad accedere, nessuno riesce più a uscire, e l'unico modo per rimettere in piedi la macchina è il tasto di reset fisico. È lo scenario che stanno descrivendo numerosi amministratori di sistema dopo l'installazione degli aggiornamenti cumulativi di settembre 2026 per Windows Server, con i Servizi Desktop remoto (RDS) che smettono di funzionare su Windows Server 2019, 2022 e 2025.

Microsoft ha rilasciato un aggiornamento straordinario (Out-of-band) che risolve questo è altri problemi:

• Windows 10 21H2 and 22H2: KB5129236
• Windows 11 24H2 and 25H2: KB5129195
• Windows 11 26H1: KB5129194
• Windows Server 2019: KB5129238
• Windows Server 2022: KB5129237
• Windows Server 2025: KB5129235

Le prime segnalazioni sono arrivate dalla community r/sysadmin di Reddit. A renderle credibili non è il singolo racconto, ma la loro convergenza: amministratori diversi, in ambienti non collegati fra loro, descrivono la stessa identica sequenza di guasto.

Il blocco arriva quando una sessione si chiude

Il comportamento è ricorrente. Dopo l'avvio il session host funziona regolarmente per alcune ore, poi si inchioda. L'innesco, nella maggior parte dei casi, è banale: un singolo utente che si disconnette, si riconnette o effettua il logoff. Da quel momento le nuove connessioni RDP restano appese alla schermata di accesso a tempo indeterminato, mentre le sessioni già attive non riescono più a disconnettersi né a chiudersi in modo pulito.

Il contagio si estende agli strumenti diagnostici. Gestione attività si congela perché non riesce a dialogare con il Local Session Manager (LSM.exe), il comando query user non risponde, l'app Impostazioni si blocca, e con essa praticamente qualsiasi applicazione che interroghi lo stato delle sessioni di Windows. Nel registro eventi TerminalServices-RemoteConnectionManager compare l'evento 20498, con il messaggio Servizi Desktop remoto ha impiegato troppo tempo per completare la connessione del client; Winlogon registra invece l'evento 6005, che segnala come SessionEnv stia impiegando troppo tempo a gestire la notifica di disconnessione.

Non esiste una via d'uscita elegante: il riavvio ordinato spesso si pianta a sua volta, e solo un reset hardware brutale restituisce il controllo della macchina. Con l'aggiornamento ancora installato, il blocco tende a ripresentarsi nel corso della stessa giornata.

Gli aggiornamenti coinvolti e il deadlock sospettato

Gli update cumulativi indicati nelle segnalazioni sono KB5122876 per Windows Server 2019, KB5122882 per Windows Server 2022 e KB5122871 per Windows Server 2025.

Sulla causa, Microsoft non si è ancora espressa. Le analisi disponibili arrivano dal debugging a livello kernel condotto dagli amministratori colpiti, e puntano a un deadlock all'interno della libreria di base del server RDP, nella routine RDPSERVERBASE!WDLIB_Close, invocata durante lo smontaggio della sessione. È una ricostruzione tecnica plausibile e coerente con i sintomi osservati, ma resta una diagnosi indipendente: nessuna conferma ufficiale da Redmond, che al momento non ha risposto nemmeno alle richieste di commento della stampa.

Perché disinstallare la patch non è una scelta indolore

Rimuovere l'aggiornamento restituisce stabilità a RDS, ma toglie anche un pacchetto di correzioni a cui nessun amministratore serio vuole rinunciare. Il Patch Tuesday di settembre 2026 ha chiuso circa 973 vulnerabilità nell'ecosistema Microsoft, comprese due zero-day già sfruttate attivamente: CVE-2026-81963, nello stack di Windows Update, e CVE-2026-85880, nell'Advanced Local Procedure Call di Windows. Entrambe figurano nel catalogo Known Exploited Vulnerabilities della CISA.

» Leggi: Record assoluto di patch Microsoft: quasi 1.000 falle corrette in Windows e dintorni, 2 già sotto attacco

C'è di più, e il paradosso è amaro: lo stesso ciclo di update corregge CVE-2026-69525, una falla di esecuzione di codice da remoto proprio nei Servizi Desktop remoto, con punteggio CVSS 9.8, oltre a CVE-2026-69485 nel client Desktop remoto. Tornare indietro significa riaprire una porta critica esattamente sul componente che l'aggiornamento manda in tilt.

Cosa fare adesso

Se gestisci session host Windows Server e hai già applicato gli aggiornamenti di settembre, il primo controllo è sul registro eventi: la presenza dell'evento 20498 in TerminalServices-RemoteConnectionManager, accompagnata dal 6005 di Winlogon sui ritardi di SessionEnv, è la firma del problema. Sui sistemi non ancora aggiornati, rimandare il deployment sui server RDS in attesa di comunicazioni ufficiali è una scelta difendibile, purché sia una pausa consapevole e a tempo, non una rinuncia.

Chi decide di disinstallare deve sapere che sta scambiando disponibilità del servizio con esposizione a due zero-day già sfruttate attivamente, e agire di conseguenza: limitare l'esposizione di RDP verso Internet, imporre l'accesso tramite gateway o VPN, alzare il livello di monitoraggio. Nessuna delle due opzioni è buona, ed è precisamente questo il costo di una patch difettosa su un servizio di produzione.

Fonti: bleepingcomputer.com, radar.offseq.com, cybersecuritynews.com