KB5101649: una aplicación pierde red y aparece AFD 16003

El navegador abre páginas y otras aplicaciones tienen conexión, pero la VPN o un programa antiguo dejó de funcionar justo después de Windows Update. Esa diferencia importa: desde las actualizaciones de seguridad del 14 de julio de 2026, Windows puede bloquear un transporte TDI de terceros no registrado y anotarlo como AFD 16003.

Qué cambió con las actualizaciones de julio de 2026

Microsoft reforzó la validación de los transportes TDI de terceros. TDI es una interfaz de red antigua que todavía puede estar presente en clientes VPN, filtros de tráfico, agentes de seguridad o software empresarial. El cambio no significa que toda pérdida de red sea TDI. La combinación relevante es una interrupción selectiva y el evento 16003 con un controlador identificado.

La pista decisiva es el fallo selectivo.

En Windows 11 versión 26H1, KB5101649 actualiza el sistema a la compilación 28000.2525. El aviso KB5106257 incluye además varias versiones de Windows cliente y servidor que reciban actualizaciones de seguridad del 14 de julio de 2026 o posteriores. Por eso debes anotar la KB real de cada equipo y no buscar un número único en todo el parque.

Prueba el escenario sin cambiar la configuración

1. Abre dos sitios conocidos y una segunda aplicación que use Internet.
2. Apunta el nombre y versión del programa que falla, el mensaje y la hora.
3. Ejecuta winver y consulta el Historial de Windows Update.
4. Reinicia una vez, reproduce el problema y no encadenes más reinicios.
5. Abre Sistema enseguida y filtra por el identificador 16003.

Microsoft señala que se registra un solo evento 16003 por ciclo de reinicio. Si lo buscaste después de muchas pruebas, reinicia de forma controlada y vuelve a reproducir el fallo. Si ninguna aplicación conecta, trabaja con Link, dirección IP y Gateway antes de investigar TDI.

Cómo leer AFD 16003

En Visor de eventos, abre Registros de Windows, selecciona Sistema y usa Filtrar registro actual. El mensaje documentado por Microsoft indica que se detectó un proveedor TDI no registrado y muestra el controlador entre paréntesis. Copia el nombre completo; no borres, renombres ni reemplaces ese archivo por uno descargado de un sitio genérico.

Relaciona el nombre con los productos instalados: VPN, protección de endpoint, filtro de red o cliente antiguo. Consulta el portal oficial del proveedor. En un equipo corporativo, entrega el texto al administrador porque quitar el agente puede cortar el acceso remoto o incumplir una política de seguridad.

No borres el controlador. Alto.

Actualiza el producto que instaló el controlador

La corrección adecuada es una versión que registre el transporte correctamente o migre a una interfaz compatible. Descárgala del portal de la empresa o del sitio oficial. Después de instalarla, reinicia, prueba el programa y revisa si vuelve a aparecer el evento.

Reinstalar exactamente la misma versión antigua suele dejar el mismo controlador; si no hay actualización, abre un caso con la compilación de Windows, la KB, el nombre completo de Driver, la versión de la aplicación, la hora del fallo, el resultado del Web y la prueba de una segunda aplicación, porque ese conjunto separa una caída general de red del bloqueo de un componente concreto. Sé preciso.

Por qué Network Reset puede empeorar la investigación

El restablecimiento de red recrea adaptadores y puede retirar perfiles VPN o conmutadores virtuales. Si el navegador funciona y AFD nombra un proveedor TDI, el adaptador general ya está transportando tráfico. Reserva el reset para una avería global demostrada y guarda antes la configuración. Un error de permisos de actualización, como Windows Update 0x80070005, es otro problema y requiere su propia evidencia.

La clave de registro no es una reparación doméstica

Microsoft documenta el DWORD AfdTdiUnknownProviderValidationLevel en HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesAFDParameters. El valor 0 ignora la validación, 1 registra proveedores desconocidos, 2 los bloquea de forma predeterminada y 3 bloquea todos los proveedores TDI.

La lista sirve para interpretar la política del sistema, no para bajar la protección sin control. Una mitigación temporal corresponde a administradores autorizados con copia del registro, análisis de riesgo, ventana de cambio y plan de reversión. Si un proveedor recomienda usar 0 indefinidamente, pide una actualización y una fecha de retirada de la excepción.

La excepción necesita una fecha final.

¿Desinstalar KB5101649?

Quitar el parche puede restaurar el comportamiento anterior, pero también elimina correcciones de seguridad. No debe ser el primer paso ni una solución permanente. En una empresa, cualquier reversión necesita aprobación y fecha para volver a proteger el equipo. Es preferible probar la versión corregida del programa en un dispositivo piloto.

Qué enviar al soporte

• Edición de Windows, compilación, KB y fecha de instalación.
• Aplicación y versión, mensaje exacto y hora del intento.
• Texto de AFD 16003 y nombre del controlador.
• Resultado del navegador y de una segunda aplicación.
• Resultado después de actualizar el proveedor y reiniciar.

Oculta nombres internos, direcciones y datos de cuenta antes de publicar capturas. Si el problema es que Windows Update no se instala, resuélvelo por separado; no atribuyas todos los fallos posteriores al mismo evento.