- Un fallo en HTTP.sys tras KB5066835 y KB5065789 rompió conexiones HTTP/2 a 127.0.0.1 (localhost).
- Errores como ERR_CONNECTION_RESET y ERR_HTTP2_PROTOCOL_ERROR afectaron a Visual Studio, SSMS Entra ID, Duo Desktop e IIS.
- Mitigaciones: desinstalar los parches o desactivar HTTP/2 en el registro; actualizar firmas de Defender no siempre ayuda.
- Microsoft reconoció el problema y desplegó KIR; la corrección permanente llegará en una próxima actualización.
Tras la actualización de octubre de Windows 11, KB5066835, y la vista previa de septiembre, KB5065789, numerosos equipos han dejado de aceptar conexiones locales vía HTTP/2 hacia 127.0.0.1 (localhost). Para muchos desarrolladores esto ha supuesto un frenazo en seco: no podían levantar sus servicios ni depurar, lo que en la práctica es como si Windows 11 perdiera su localhost.
Los reportes se multiplicaron en los foros de Microsoft, Stack Exchange y Reddit con mensajes como “ERR_CONNECTION_RESET” y “ERR_HTTP2_PROTOCOL_ERROR”, afectando a herramientas populares como Visual Studio, autenticación con SSMS Entra ID o la aplicación de escritorio Duo, además de sitios alojados en IIS. También hubo referencias al impacto en entornos de Windows Server 2025 cuando se usaba el bucle invertido 127.0.0.1.
Qué ha pasado con HTTP.sys y HTTP/2
El origen del fallo apunta al componente del kernel HTTP.sys, responsable de gestionar el tráfico HTTP, que comenzó a comportarse de forma anómala tras instalar la build 26100.6899. El resultado: interrupciones de las conexiones locales y cuelgues al negociar HTTP/2 en servidores y servicios que escuchan en localhost, incluidos proyectos con ASP.NET Core y desarrollos que dependen del loopback.
En la práctica, algunas máquinas mostraban el problema de manera intermitente según el momento del reinicio o el estado de la red, pero siempre con el mismo patrón: fallos al establecer sesiones HTTP/2 en 127.0.0.1 y aplicaciones que dejaban de responder cuando necesitaban ese canal local.
Síntomas y aplicaciones afectadas
Entre los síntomas más repetidos destacan los errores como ERR_CONNECTION_RESET y ERR_HTTP2_PROTOCOL_ERROR al cargar sitios en IIS o al iniciar depuraciones locales. Algunos usuarios señalaron que no podían completar conexiones HTTP hacia 127.0.0.1, lo que rompía flujos de trabajo críticos.
Las aplicaciones más mencionadas fueron Visual Studio (depuración), SSMS Entra ID (login), Duo Desktop (políticas de seguridad, verificación por proximidad/Bluetooth) y servicios web locales en IIS. En escenarios corporativos, la consecuencia era clara: interrupción de tareas de desarrollo y autenticación con impacto operativo.
Soluciones temporales que han funcionado
Antes de que llegara una mitigación de Microsoft, la vía que mejor resultado dio fue desinstalar KB5066835 y KB5065789. Puede hacerse desde Configuración o mediante consola con el instalador de Windows:
Comandos para desinstalar: wusa /desinstalar /kb:5066835
wusa /desinstalar /kb:5065789
Otra solución de emergencia fue deshabilitar HTTP/2 en el registro para forzar el uso de HTTP/1.1 en las conexiones locales. Diversas guías citaron ajustes como:
Entradas de registro: "EnableHttp2Tls"=dword:00000000
"EnableHttp2Cleartext"=dword:00000000
Este cambio puede sacar del paso, pero conviene tratarlo como un apaño: no es recomendable mantenerlo en producción si no es imprescindible. También se mencionaron mejoras puntuales tras actualizar las firmas de Microsoft Defender, aunque los resultados fueron inconsistentes.
La respuesta de Microsoft y el estado actual
Microsoft terminó reconociendo el problema en su panel de estado y desplegó una mitigación automática mediante Known Issue Rollback (KIR) para equipos domésticos y dispositivos no gestionados. Para activarla basta con abrir Windows Update, pulsar en “Buscar actualizaciones” y reiniciar el equipo, incluso si no aparecen parches nuevos.
En entornos corporativos y dispositivos gestionados, la compañía indicó que es necesario aplicar la política de grupo KIR correspondiente a Windows 11 24H2, 25H2 y Windows Server 2025. Microsoft ha publicado instrucciones específicas para que los administradores desplieguen esta política en su infraestructura.
La compañía también adelantó que la solución permanente se incluirá en una próxima actualización acumulativa, lo que eliminará la necesidad de políticas temporales o de revertir parches cuando el arreglo definitivo esté disponible.
Recomendaciones para equipos y empresas
Si trabajas en entornos sensibles, valora pausar la distribución de KB5066835/KB5065789 en puestos críticos hasta confirmar que KIR está aplicado y estable. En caso de bloquear procesos clave, mejor optar por desinstalar los parches de forma controlada que por deshabilitar funcionalidades a largo plazo.
- Verifica si el equipo ya recibió el KIR y reinicia para completar la recuperación.
- Prueba en un entorno de staging los servicios en localhost (IIS, ASP.NET Core, herramientas de depuración).
- Evita dejar HTTP/2 deshabilitado indefinidamente; restáuralo cuando la corrección esté aplicada.
- Supervisa los avisos de estado de Windows y los boletines de Duo y otros proveedores afectados.
Si utilizas Visual Studio, IIS o frameworks como ASP.NET Core, revalida la depuración local tras recibir KIR; y si habías tocado el registro para desactivar HTTP/2, considera revertir ese cambio una vez que el sistema recupere la conectividad en 127.0.0.1.
Con todo lo aprendido, queda claro que un fallo en HTTP.sys tras KB5066835/KB5065789 provocó cortes en HTTP/2 sobre localhost, con impacto notable en desarrollo y autenticación; las salidas temporales pasaron por desinstalar los parches o desactivar HTTP/2, mientras que la mitigación oficial con KIR ya está desplegada y la corrección definitiva llegará mediante actualización del sistema.
