Redirección de impresoras RDP falla tras KB5035849 en Windows Server 2019: diagnóstico y solución

Tras la actualización acumulativa KB5035849 del 12 de marzo de 2024, numerosos administradores de Windows Server 2019 han comprobado que la redirección de impresoras en sesiones de Escritorio remoto deja de funcionar de forma intermitente o total. A continuación se ofrece una guía exhaustiva para diagnosticar, mitigar y resolver el problema sin exponer los servidores a riesgos de seguridad innecesarios.

Resumen del problema

La redirección de impresoras RDP, que permite a los usuarios imprimir en sus dispositivos locales desde una sesión alojada en el servidor, experimenta bloqueos del servicio de cola (spooler) y mensajes como:

• The handle is invalid
• Error 0x00000bc4 (cuando se intenta conectar la impresora)
• Eventos 372 y 808 en Event Viewer relacionados con PrintService

En algunos casos la redirección funciona si el administrador inicia la sesión con mstsc /admin, lo que apunta a cambios en DLLs de sistema que requieren privilegios elevados para cargar controladores.

Síntomas habituales

• Los trabajos permanecen en cola con estado “Error – Imprimiendo” y no alcanzan la impresora física.
• Al agregar una nueva impresora redirigida, el asistente se detiene en “Detectando controlador”.
• Incremento anómalo en el uso de memoria del proceso spoolsv.exe.
• Reinicio automático e inesperado del spooler tras un timeout de 30 segundos.

Causa probable

Investigaciones comunitarias apuntan a que KB5035849 actualiza MXDWDRV.DLL, driver del Microsoft XPS Document Writer (MXDW) compartido por la capa de redirección. El nuevo binario introduce comprobaciones de firma adicionales que fallan cuando el usuario no pertenece al grupo Administradores, de ahí que mstsc /admin (sesión de Sistema) pueda eludir el error temporalmente.

Acciones intentadas y resultados

Acción	Resultado reportado
Reiniciar servicios/servidor	Sin efecto permanente
Desinstalar KB5035849	La versión problemática de MXDWDRV.DLL permanece en el SxS; el fallo persiste
Instalar OOB KB5037425 (25 mar 2024)	Corrige fuga de memoria LSASS; no afecta a la impresión
Copiar DLLs de otra máquina	Solución temporal y no soportada por Microsoft; revierte al aplicar nuevas CU
Revertir VM a snapshot previo	Funciona, pero deja el servidor sin parches recientes
Instalar OOB KB5039705 (12 jun 2024)	Se informa de éxito parcial; requiere prueba en cada entorno
Migrar a Windows Server 2022	Redirección opera con normalidad

Matriz de compatibilidad de parches

Fecha	Boletín	Estado de impresión RDP	Notas relevantes
12 mar 2024	KB5035849 CU	Falla	Actualiza MXDWDRV.DLL a v10.0.17763.5729
25 mar 2024	KB5037425 OOB	Falla	Foco en LSASS; sin cambios de impresión
09 abr 2024	KB5036909 CU	Falla	Incluye binario problemático
14 may 2024	KB5037765 CU	Falla	Agrega firmas SHA‑2 estrictas
12 jun 2024	KB5039705 OOB	Éxito parcial	Actualiza MXDWDRV.DLL a v10.0.17763.5875
09 jul 2024	KB5040153 CU	Éxito —pendiente	Incluye corrección final según notas preliminares

Solución definitiva recomendada

1. Validar el último parche disponible
   
   • En un servidor de pruebas instala la CU más reciente (o el OOB posterior a junio).
   • Comprueba la versión de MXDWDRV.DLL en %systemroot%\System32\spool\drivers\x64\3; debería ser ≥ 10.0.17763.5875.
   • Inicia sesión RDP como usuario estándar y confirma que se crea la impresora redirigida.
2. Si la redirección sigue sin funcionar tras la CU más nueva
   1. Realiza una copia de seguridad (imagen o Veeam bare‑metal).
   2. Abre pnputil /enum-drivers | findstr /i mxdw. Si el driver “Microsoft XPS Document Writer v” muestra versión ≤ 10.0.17763.58xx continúa con el paso siguiente.
   3. Ejecuta:
      pnputil /delete-driver oem###.inf /uninstall /force
      para eliminar la versión problemática.
   4. Desde una ISO oficial de Windows Server 2019 (build 17763.1) extrae los archivos:
      • MXDWDRV.DLL
      • MXDWDRV.GPD
      • MXDWDRVUI.DLL
      y cópialos a la ruta original.
   5. Reinstala las CU posteriores EXCEPTO KB5035849 utilizando políticas de WSUS o wushowhide.
   6. Bloquea específicamente KB5035849 mediante GPO (Computadora → Plantillas administrativas → Sistema → Administración de comunicaciones por Windows Update → “No permitir la instalación de actualizaciones específicas”).

Procedimientos de mitigación rápida

• Servidor alternativo: Mantén un nodo RDS con Windows Server 2022 o un 2019 limpio para impresiones críticas.
• Easy Print: Activa la directiva “Usar solo controlador Easy Print” (gpedit.msc → Configuración de equipo → Plantillas administrativas → Componentes de Windows → Servicios de Escritorio remoto → Host de Sesión de Escritorio remoto → Impresiones).
• Asignación de impresoras de red: Conecta impresoras vía TCP/IP en lugar de redirigirlas.
• Monitor del Spooler: Usa Get-WinEvent -LogName Microsoft-Windows-PrintService/Operational para detectar errores al instante.

Buenas prácticas preventivas

1. Separación de roles
   Migrar el servicio de impresión a servidores dedicados (Print Server) minimiza el impacto si las CU de RDS fallan.
2. Lab de pruebas permanente
   Automatiza la instalación de nuevas CUs en una VM idéntica a producción y ejecuta una batería de pruebas RDP con PsExec y scripts de impresión.
3. Snapshots diarios
   En entornos virtualizados (VMware, Hyper‑V) programa instantáneas automáticas; así podrás restaurar en minutos sin perder parches acumulados de semanas.
4. Auditoría de cambios
   Registra con Sysmon (config ModTemplate) la carga de DLLs en C:\Windows\System32\spool para detectar binarios inesperados tras Windows Update.

Preguntas frecuentes

¿El problema afecta también a Windows Server 2016?

No de forma general. Aunque KB5035849 se ofrece para 2016 (build 14393), ese sistema mantiene una rama de los binarios de impresión diferente y no actualiza MXDWDRV.DLL con la misma versión.

¿Deshabilitar el servicio Print Spooler mejora la seguridad?

Sí, a costa de eliminar la función de impresión local y redirigida. Sin embargo, al dejar de exponer spoolsv.exe reduces la superficie frente a exploits como PrintNightmare. Considera habilitarlo sólo en los servidores que realmente deban imprimir.

¿Por qué desinstalar KB5035849 no revierte la DLL?

El instalador de la CU sobrescribe la versión previa en el repositorio WinSxS y marca el paquete como “permanente” para evitar regresiones. Por eso, aunque quites el KB desde Panel de Control, las DLLs permanecen y siguen cargándose.

Datos que debes aportar al soporte de Microsoft

• Archivos: versiones de MXDWDRV.DLL, win32spl.dll, localspl.dll.
• Registros: archivos .evtx del canal Microsoft‑Windows‑PrintService/Operational.
• Minivolcados: crea spoolsv.exe.dmp con ProcDump (procdump -ma -e spoolsv).
• Escenario reproducible: pasos detallados desde conexión RDP hasta el error para que el ingeniero de soporte trace las API llamadas.

Conclusión

El fallo de redirección de impresoras tras KB5035849 se debe principalmente a una regresión en el controlador MXDW y afecta a miles de servidores RDS basados en Windows Server 2019. La actualización fuera de banda de junio o las CU posteriores deberían corregirlo, pero si no es tu caso, la guía anterior ofrece un procedimiento seguro y soportado para restaurar la funcionalidad sin renunciar a la protección de seguridad. Mantén un ciclo de pruebas constante, aplica la separación de funciones y conserva instantáneas recientes para minimizar el tiempo de inactividad ante futuras incidencias.