Windows Server 2019 KB5122876 RDP 故障的首选处理方式，是核对系统是否已安装 KB5129238 或更晚的适用累积更新，再按步骤验证连接与登录；只有修复更新已确认、故障仍存在时，才转查网络、账户、会话主机和应用配置。此流程适用于 2026 年 9 月安全更新后出现 RDS 不稳定的部分环境，不代表每个 RDP 异常都由该更新导致。
仍在维护 Windows Server 2019、需要确认远程桌面故障是否关联这次更新的 IT 管理员，可以按下面的核对顺序操作。维护 RDS 会话主机或依赖 RDP 运行 Windows 业务软件的运维人员，也可用这些步骤完成修复验收。
最后更新于 2026 年 10 月 30 日；受影响更新、修复关系与当前更新记录核实自微软更新健康页面、KB5129238 支持说明及 Windows Server 发布信息。
先看故障发生阶段，不要只凭“RDP 卡住”定因
微软确认，安装 2026 年 9 月安全更新 KB5122876 后，部分组织可能遇到远程桌面服务异常。受影响表现包括 RDP 连接失败或停在连接中、登录停在欢迎界面、服务器卡在“请稍候，正在配置远程桌面”，也可能伴随 RDS、管理控制台或文件资源管理器失去响应。微软说明，KB5129238 及之后发布的更新已解决该问题；具体影响范围与状态应以Windows Server 2019 已解决问题页面和KB5129238 支持说明为准。
| 观察到的现象 | 与已知问题的关系 | 下一步 |
|---|---|---|
| RDP 停在“正在连接”，或登录停在“欢迎” | 与微软列出的症状相符，但单凭现象不能确认原因 | 核对 KB5122876 和修复更新状态 |
| 显示“请稍候，正在配置远程桌面”，RDS 或管理工具也无响应 | 与该次更新已知问题相符 | 记录时间、受影响端点和事件，再核对更新 |
| 端口可达，但某个用户登录失败 | 仍可能是账户、身份验证或会话问题 | 区分用户范围，检查身份验证与会话日志 |
| 客户端连接超时，服务器本机管理正常 | 不能据此归因于补丁 | 排查客户端到服务器的网络路径与防火墙 |
这次故障有清楚的时间线：KB5122876 于 2026 年 9 月 8 日发布，微软于 9 月 14 日发布 KB5129238 带外更新处理问题；Windows Server 更新记录还列出 10 月 13 日的 KB5126651 和 10 月 26 日的 KB5134124。微软将修复表述为 KB5129238 及之后发布的更新，因此在当前时间点，核对时应关注实际已安装的适用更新，而不是只寻找一个固定编号。版本与发布日期可对照Windows Server 发布信息复核。
第一阶段：核实系统版本与已安装更新
先确认目标机器确实是 Windows Server 2019，再判断已安装的安全更新和修复更新。不要用“某天安排过维护”推断补丁已装好，也不要只看一个 KB 是否出现在历史列表里：后续累积更新可能包含此前修复，显示方式会因更新渠道和安装情况而不同。
| 核对项 | 图形界面操作 | PowerShell 或命令行核对 |
|---|---|---|
| 系统版本和 OS 内部版本 | 运行 winver，记录 Windows Server 版本和 OS 内部版本 |
Get-ComputerInfo \| Select-Object WindowsProductName, WindowsVersion, OsBuildNumber |
| 更新历史 | 打开“设置”→“更新和安全”→“Windows 更新”→“查看更新历史记录”；也可在控制面板查看已安装更新 | Get-HotFix \| Where-Object {$_.HotFixID -in 'KB5122876','KB5129238','KB5126651','KB5134124'} \| Sort-Object InstalledOn |
| 当前适用更新 | 对照组织的更新管理记录，确认补丁适用于这台服务器 | 对照 Windows Server 发布信息查看 KB 与 OS 内部版本 |
命令返回为空，不一定就能证明修复没有安装：更新记录的呈现方式、累积更新替代关系都可能影响结果。将查询结果与图形界面更新历史、系统内部版本以及组织的补丁部署记录交叉核对。微软当前列出的 Windows Server 2019 更新记录包括 2026 年 10 月的 KB5126651 与 KB5134124；是否适用于特定设备，仍需结合系统状态和更新渠道判断。
修复更新怎么选：先检查状态，再安排变更
如果目标服务器仍处于受影响的更新状态，优先确认组织批准并适用于该系统的修复更新。微软的 KB5129238 支持说明标明，该带外更新面向 Windows Server 2019，且修复了 KB5122876 后的 RDS 问题；微软也说明后续更新包含该修复。需要直接部署 KB5129238 时，应先确认获取渠道：这项带外更新可从 Microsoft Update Catalog 获取；若设备已有后续适用累积更新，则按组织的更新策略核实当前状态。
| 当前核对结果 | 建议动作 | 需要避免的判断 |
|---|---|---|
| 已安装 KB5122876，尚未确认修复更新或后续更新 | 先确认更新适用性、部署来源和维护窗口，再安装批准的修复更新 | 不因看到相似症状就直接卸载安全更新 |
| 已安装 KB5129238 | 进入重启与业务验收，记录 OS 内部版本和结果 | 不把“KB 已显示”当作业务恢复证明 |
| 已安装 KB5129238 之后的适用累积更新 | 核实安装成功、必要重启完成，再执行验收 | 不要求旧 KB 必须以独立条目保留 |
| 修复更新状态不清或安装失败 | 保留安装日志和现有状态，按组织变更与升级流程处理 | 不仅凭安装日期或社区建议采取回滚 |
此处不建议把社区帖子里的卸载补丁、暂停更新或手工规避方式当成普遍操作。社区讨论可以显示管理员近期确实在排查类似的 RDP 卡住与会话异常，但它不是微软对具体服务器故障原因的确认；例如，sysadmin 社区关于 2026 年 9 月 RDS 会话主机异常的讨论涉及不同 Windows Server 版本，不能替代对这台 Windows Server 2019 的更新核实。
FAQ：修复更新与 RDP 恢复核对
KB5129238 能否处理 KB5122876 后的 RDP 异常？
能。微软明确列出 KB5129238 为这项已知问题的带外修复，并说明后续更新也包含修复；安装前仍需确认适用系统、更新渠道和组织审批。若服务器已安装更晚的适用累积更新，应一并核实其安装成功和重启状态，而不是只寻找旧 KB 的独立显示记录。
怎样判断 RDS 修复更新已经生效？
先在更新历史中查找 KB5129238 或后续适用更新，再记录 winver 显示的 OS 内部版本，并将其与更新记录对照。随后分别用管理员账户和实际业务用户测试连接、登录与会话建立。更新记录是补丁证据，实际用户的登录验收才是业务恢复证据，两者应分别留档。
修复后仍卡在“正在连接”时，如何缩小范围？
把故障按连接链路拆开：先确认服务器端更新与重启状态，再检查远程桌面服务、监听器和相关事件；然后比较不同客户端、不同账户及不同网络路径的结果。若只有某个用户失败，优先查账户或身份验证；若多个会话主机同时异常，再检查连接代理、网关等 RDS 端点。
第二阶段：验证服务与业务，不以端口可达代替验收
修复后先完成服务器重启，再按“服务状态—管理员连接—业务用户登录—业务应用”的顺序验收。服务器端可在“服务器管理器”或“服务”管理单元中查看适用的远程桌面服务状态；也可用管理员 PowerShell 查询：
Get-Service -Name TermService,SessionEnv,UmRdpService
quser
微软的更新排障文档列出了这些服务和会话检查方法，并建议查看 TerminalServices-LocalSessionManager/Operational、TerminalServices-RemoteConnectionManager/Operational、RemoteDesktopServices-RdpCoreTS/Operational 以及系统和应用程序日志。图形界面可从“事件查看器”→“应用程序和服务日志”→“Microsoft”→“Windows”进入对应日志；注意记录故障发生时间和事件内容，分享日志或 quser 输出前遮盖账户名等敏感信息。(微软 RDS 更新故障排查文档)
| 验收层次 | 操作 | 通过标准 |
|---|---|---|
| 服务与会话 | 检查适用服务是否运行，并查看当前会话 | 没有与故障时间吻合的持续异常；结果已记录 |
| 管理员连接 | 从已知可用的管理端发起 RDP 登录 | 能完成身份验证并进入桌面，而不只是端口可达 |
| 实际用户登录 | 使用受影响业务用户按原路径登录 | 登录、会话建立及必要的断开重连均符合业务要求 |
| 应用与事件记录 | 打开实际依赖的业务软件，复查相关日志 | 应用可用；更新前后现象、时间和 OS 内部版本可追溯 |
对于涉及会话连接链路的多节点环境，可按微软 RDS 会话连接排查指引收集客户端、会话主机及相关节点的信息。
修复后仍异常：按故障边界分支排查
如果修复更新已确认、服务器也完成必要重启，但 RDP 仍卡住，不要继续把所有异常归因于 KB5122876。先保留故障现场：记录发生时间、客户端与目标服务器、失败阶段、错误原文、是否影响全部用户，以及事件日志中的对应记录；随后按下面的分支缩小范围。
- 只有某条网络路径失败： 对照同一服务器的其他管理路径或客户端，检查路由、防火墙和连接策略。端口连通只能说明部分网络路径可达，不能证明 RDP 会话能完成。
- 只有特定账户或用户组失败： 检查账户状态、授权、身份验证和组策略，不要为验证而随意放宽权限。
- 连接到了主机，但会话创建或断开异常： 核对会话主机的服务、当前会话和 TerminalServices 事件；在 RDS 多节点部署中，逐台确认承担连接链路的端点，而不是只检查客户端或一台服务器。
- 桌面可登录，但业务程序异常： 按应用配置、依赖服务和应用程序日志单独排查，不能把应用错误与补丁因果关系混为一谈。
若重启远程桌面服务作为临时恢复措施，先评估其对已连接用户的影响；微软指出重启 RDS 服务会断开当前 RDP 用户，因此应在授权的维护流程内操作。若故障复现、影响范围扩大或证据不足以判断根因，应依照组织流程升级，并参考微软的“远程桌面服务当前正忙”排障与数据收集说明保存诊断材料。
把补丁处理加入变更时间线
下一次 Windows 更新变更，可按“安装前—维护窗口—更新后”留存记录，而不是等用户报障后再回忆补丁状态。
- 安装前： 记录 Windows Server 版本、OS 内部版本、已安装 KB、RDS 角色和当前远程接入路径；确认维护窗口、业务联系人及组织批准的回退方案。
- 测试环境验证： 若组织有测试服务器，先按正式部署方式安装适用更新，检查登录、会话建立、断开重连和关键业务程序。
- 安排生产变更： 提前沟通可能的远程连接中断，准备经组织批准的本地或替代管理路径；按变更流程执行更新与必要重启。
- 更新后验收： 分别用管理员和实际用户账户测试连接与业务功能，核对事件日志及更新状态；未通过时记录失败阶段并暂停扩大部署。
- 保留证据与回退判断： 保存变更单、KB 编号、安装结果、系统内部版本和验收记录。需要回退时按组织的安全与变更政策评估，不把卸载安全更新作为默认修复。
需要重新部署 Windows Server 时，更新故障本身并不能说明换操作系统或换主机就能自动修复；仍需规划业务兼容性、更新管理和登录验收。若现有方案是共享 VPS 或公有云实例，邻居资源争用、实例规格限制及配置控制范围可能影响长期稳定运行，但这与 KB5122876 的已知软件问题是两类问题，迁移主机不应取代补丁修复。
如果业务需要长期运行、希望使用独享 AMD 物理服务器，并在重新部署时核对 Windows Server 可选版本与语言，可以先查看 CloudUDP 的 Windows 服务器配置与月租说明；页面列出的 Windows 版本和语言以实际配置页为准，Windows 通过 RDP 接入。首次连接流程可参考 Windows RDP 接入说明。选择独立服务器不会自动处理 RDS CAL、业务迁移或代运维；这些事项仍须由组织自行确认与安排。
常见问题
Windows Server 2019 装了 KB5122876 后，RDP 连不上怎么处理？
先确认服务器是否出现连接停在“正在连接”、登录卡在“欢迎”或远程桌面配置长时间等待等相符现象，再核对更新记录。微软确认 KB5129238 及其后续累积更新修复了这项已知问题；按组织变更流程安装适用更新并重启验证，不要默认卸载安全更新。
KB5129238 对 Windows Server 2019 的远程桌面问题有效吗？
有效。微软将 KB5129238 列为 Windows Server 2019 受影响更新 KB5122876 的带外修复，随后发布的累积更新也包含该问题的修复。若系统已经安装更晚的适用累积更新，不必只盯着 KB5129238 是否单独显示；应结合系统版本、OS 内部版本和更新历史核实。
怎样确认 Windows Server 2019 已经装上 RDS 修复更新？
在 Windows 更新历史或控制面板的已安装更新中查找 KB5129238 及后续累积更新；再用 PowerShell 查看已记录的 KB 编号，并通过 winver 或系统信息核对 OS 内部版本。较新的累积更新可能取代早期更新，因此只按安装日期判断不够，也不能只因列表里没有旧 KB 就断定修复未安装。
更新后 RDP 仍停在连接中，接下来检查哪些地方？
记录客户端和服务器上的具体阶段与报错，检查远程桌面服务、会话状态及 TerminalServices 相关事件日志。之后分别验证网络路径、账号权限与身份验证、RDP 监听器和会话主机；若多个端点组成 RDS 部署，还要确认受影响端点各自安装了适用修复。证据不足或影响扩大时，按组织流程升级处理。
EPYC 7543P 独享物理主机，$454/月起