Atualizou o Windows Server em setembro? O seu RDS pode bloquear em poucas horas

A Microsoft confirmou oficialmente que as atualizações de segurança de setembro de 2026 podem deixar os Serviços de Ambiente de Trabalho Remoto (RDS) instáveis em servidores e postos de trabalho Windows, com sessões que deixam de terminar corretamente, ligações RDP que falham e consolas de gestão que congelam. O reconhecimento surgiu no painel Windows Release Health depois de uma vaga de relatos de administradores de sistemas, e coloca muitas organizações perante um dilema desconfortável: remover a atualização devolve o acesso remoto, mas também retira correções para falhas críticas e para duas vulnerabilidades já exploradas ativamente.

O que a Microsoft confirmou

Nas páginas de release health da Microsoft, a empresa indica que, após a instalação da atualização de segurança de setembro de 2026, algumas organizações podem ter problemas com os Serviços de Ambiente de Trabalho Remoto, com o RDS a tornar-se instável, ligações RDP a falhar ao fim de vários minutos, problemas de início de sessão ou servidores bloqueados no ecrã «Please wait for the Remote Desktop Configuration». O impacto não se limita à ligação remota: ferramentas associadas, incluindo a Microsoft Management Console (MMC), o RDS Licensing Diagnoser e o Explorador de Ficheiros, podem deixar de responder, e a página do Windows Update pode ficar presa num indicador de carregamento contínuo.

Segundo o BleepingComputer, o problema conhecido abrange Windows Server 2012 e versões posteriores, além de dispositivos Windows 10 e Windows 11, e a confirmação surge depois de relatos generalizados de administradores de que as atualizações deste mês impedem os utilizadores de se ligarem e, nalguns casos, obrigam a um hard reset para repor o serviço. Antes disso, a Microsoft tinha dito à publicação que estava a par dos relatos e a investigar, prometendo orientações à medida que houvesse informação.

Versões e atualizações afetadas

A entrada publicada para o Windows Server 2025 aponta explicitamente para a atualização de setembro: após instalar a atualização de segurança de setembro de 2026 (KB5122871), algumas organizações podem ter problemas com o RDS. No lado cliente, a Microsoft documenta o mesmo comportamento após a instalação do KB5124008 e do KB5124012 no Windows 11 versão 26H1.

Os relatos iniciais de administradores concentraram-se em três pacotes: o KB5122876 para o Windows Server 2019, o KB5122882 para o Windows Server 2022 e o KB5122871 para o Windows Server 2025, lançados a 8 de setembro no ciclo mensal de atualizações de segurança. Para o Windows Server 2016, a Microsoft publicou o KB5123099 (build 14393.9512) na mesma data.

Como reconhecer o problema

O padrão descrito é consistente entre ambientes distintos: as falhas não surgem de imediato, os servidores funcionam normalmente durante algumas horas após a instalação e, a partir daí, as sessões existentes deixam de conseguir desligar-se ou terminar, enquanto as novas tentativas de ligação ficam suspensas até expirarem. Vários administradores referem que as falhas começam quando os utilizadores iniciam o encerramento das sessões e que, em casos mais graves, reiniciar o servidor não repõe o RDS.

Quanto à causa técnica, existe uma hipótese avançada pela comunidade, mas não confirmada pelo fabricante: um administrador que analisou o Windows Server 2022 relatou que o serviço RDP fica sem resposta quando os utilizadores começam a terminar sessão, com indícios de um deadlock entre o Ambiente de Trabalho Remoto e o Local Session Manager, ficando o serviço bloqueado em RDPSERVERBASE!WDLIB_Close. A Microsoft não confirmou esta explicação como causa do problema.

Em termos de sinais observáveis, publicações técnicas especializadas apontam três indicadores úteis para triagem em ambientes suspeitos: o evento 20498 de TerminalServices-RemoteConnectionManager («Remote Desktop Services has taken too long to complete the client connection»), o evento 6005 do Winlogon relativo ao subscritor de notificações SessionEnv e o serviço TermService em estado StopPending em vez de Running. Não são indicadores de comprometimento — são assinaturas de uma falha funcional —, mas ajudam a distinguir este defeito de um incidente de segurança.

O dilema: reverter ou manter as correções

Há administradores que repuseram a funcionalidade do Ambiente de Trabalho Remoto ao reverter as atualizações problemáticas, mas removê-las elimina também as correções de segurança incluídas no Patch Tuesday deste mês. E esse mês foi particularmente pesado. As contagens divulgadas divergem entre fornecedores de segurança — a Ivanti fala em 973 CVE, incluindo 119 classificados como críticos e duas vulnerabilidades de dia zero confirmadas como exploradas (CVE-2026-85880 e CVE-2026-81963), enquanto a SecurityWeek refere 974 CVE corrigidos — mas todas convergem no essencial: é um dos maiores lançamentos de sempre e inclui falhas já sob ataque.

Sobre o CVE-2026-85880, a Tenable descreve-o como uma falha de elevação de privilégios no Windows Advanced Local Procedure Call, com CVSSv3 7.8 e classificação «importante», explorada em ambiente real e permitindo obter privilégios de SYSTEM. Já quanto ao CVE-2026-81963, Dustin Childs, da Zero Day Initiative, considera improvável que o próprio processo de atualização automática esteja comprometido e admite que a falha esteja a ser combinada com uma vulnerabilidade de execução de código para distribuir malware ou ransomware, recomendando correção rápida. O paradoxo é evidente: a mesma atualização corrige o CVE-2026-69525, uma falha de execução remota de código do tipo use-after-free no RDS com CVSS 9.8. Remover o pacote num servidor RDS exposto significa trocar uma indisponibilidade por uma superfície de ataque aberta precisamente no serviço que se pretende proteger.

Mitigações disponíveis

A solução alternativa publicada na documentação pública é limitada: se uma máquina virtual ficar inacessível por RDP, pode ser possível repor temporariamente a ligação parando (desalocando) e reiniciando a máquina virtual afetada. A via recomendada, porém, é outra. Vários especialistas relatam que a Microsoft marcou o problema como mitigado e disponibilizou um Known Issue Rollback (KIR) por Política de Grupo, com a particularidade de a informação ter sido partilhada sobretudo através do centro de administração do Microsoft 365 e não da página pública. O estado «Mitigated» é datado de 11 de setembro de 2026.

Um KIR não é o mesmo que desinstalar a atualização: reverte apenas a alteração de comportamento não relacionada com segurança responsável pela regressão, em vez de remover todo o pacote cumulativo. Em dispositivos geridos por empresas, a política KIR é instalada e configurada por Política de Grupo, sendo normalmente necessário reiniciar o equipamento para que a reversão produza efeito. Na prática, é preciso aplicar o GPO correspondente (por exemplo, a política «KB5122871 260911_18472 Known Issue Rollback» para o Windows Server 2025), executar gpupdate /force nos servidores afetados e reiniciar. Há ainda um aviso relevante para quem tentou atalhos: a solução por chave de registo foi reportada como pouco fiável, tendo falhado na prevenção do deadlock em pelo menos um servidor 2022 21H2.

• Identificar todos os anfitriões de sessão RDS, jump servers e servidores de licenciamento que receberam as atualizações de 8 de setembro.
• Garantir um caminho de administração alternativo (consola do hipervisor, iDRAC/iLO, consola cloud) antes de qualquer intervenção.
• Aplicar o pacote KIR correspondente à versão exata do sistema e reiniciar.
• Monitorizar os eventos 20498 e 6005 após ciclos de encerramento de sessão.
• Reservar a desinstalação da atualização para sistemas isolados e sem exposição à Internet.

Cronologia

Porque é que isto importa em Portugal

O RDS continua a ser a espinha dorsal do acesso remoto em muitas PME portuguesas, em consultórios, escritórios de contabilidade, escolas e autarquias, muitas vezes através de servidores de terminal alojados em datacenters nacionais. Uma falha que se manifesta horas depois da instalação, e que pode exigir reinício forçado, transforma-se rapidamente numa interrupção de serviço com impacto operacional — sobretudo se acontecer numa segunda-feira de manhã, com dezenas de utilizadores a tentar ligar-se em simultâneo.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), o episódio é um teste prático a dois requisitos centrais: a gestão de vulnerabilidades e de atualizações, e a continuidade de negócio. A resposta correta não é adiar indefinidamente o Patch Tuesday, mas dispor de um processo de validação por anéis — testar primeiro em anfitriões não críticos, manter um plano de reversão documentado e assegurar acesso administrativo alternativo. O CNCS e o CERT.PT funcionam como ponto de contacto nacional para incidentes e para a divulgação de alertas técnicos, e convém que as equipas internas saibam quando e como reportar uma indisponibilidade relevante.

Há também um ângulo de proteção de dados. Manter servidores RDS acessíveis a partir da Internet com correções removidas para recuperar disponibilidade aumenta o risco de acesso não autorizado a sistemas que, muitas vezes, tratam dados pessoais. O RGPD exige medidas técnicas adequadas ao risco, incluindo a capacidade de assegurar a confidencialidade, integridade e disponibilidade dos sistemas. A decisão de reverter uma atualização deve, por isso, ser registada, fundamentada e temporária — e nunca aplicada de forma indiscriminada a servidores expostos.

Perguntas frequentes

Quais são os sintomas exatos desta falha do RDS?

Ligações RDP que falham ao fim de alguns minutos, problemas de início de sessão, servidores bloqueados no ecrã «Please wait for the Remote Desktop Configuration» e ferramentas como a MMC, o RDS Licensing Diagnoser e o Explorador de Ficheiros sem resposta. Tipicamente, o servidor funciona bem durante algumas horas após a instalação e degrada-se quando os utilizadores começam a terminar sessão.

Devo desinstalar a atualização de setembro?

Só como último recurso. Remover o pacote repõe o Ambiente de Trabalho Remoto, mas elimina também as correções de segurança do mês, incluindo duas vulnerabilidades já exploradas em ataques reais e uma falha crítica de execução remota de código no próprio RDS. Em servidores acessíveis a partir da Internet, a reversão troca uma indisponibilidade por exposição.

O que é um Known Issue Rollback e porque é preferível?

É um mecanismo da Microsoft que desativa apenas a alteração de comportamento responsável pela regressão, mantendo instaladas as correções de segurança. É distribuído por Política de Grupo em equipamentos geridos e exige normalmente um reinício para produzir efeito.

Como posso verificar se os meus servidores estão afetados?

Confirme se as atualizações de 8 de setembro de 2026 estão instaladas, verifique se o serviço TermService está em estado StopPending em vez de Running e procure no registo de eventos as entradas 20498 do Terminal Services e 6005 do Winlogon após ciclos de encerramento de sessão.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (Windows Release Health e artigos de suporte), pela Zero Day Initiative, pela Tenable e pela Ivanti, bem como em relatos técnicos de administradores de sistemas.