Проблемы совместимости патчей PrintNightmare: решение ошибок печати
Симптомы блокировки сетевой печати после патчей PrintNightmare
После установки накопительных обновлений безопасности Windows пользователи сталкиваются с невозможностью подключения сетевых принтеров. Выдаются ошибки: 0x0000011b, 0x0000007c, 0x00000709 или сообщение: «Windows не удается подключиться к принтеру. Для завершения операции требуются права администратора».
| Код ошибки | Где возникает | Причина |
|---|---|---|
| 0x0000011b | Клиент при добавлении принтера | Несоответствие уровня шифрования RPC Spooler (RpcAuthnLevelPrivacyEnabled) |
| 0x0000007c | Подключение принтера Type 3 | Блокировка копирования файлов mscms.dll и драйверов из сетевого ресурса print$ |
| Запрос учетных данных администратора | Клиентская ОС | Политика RestrictDriverInstallationToAdministrators=1 запрещает загрузку стороннего кода |
Пошаговое восстановление работы сетевой печати
- Настройте политику Package Point and Print через GPO: в редакторе политик откройте: Конфигурация компьютера > Административные шаблоны > Принтеры > Серверы утвержденного указания и печати пакетов (Package Point and Print). Включите политику и добавьте FQDN серверов печати компании.
- Скорректируйте реестр сервера печати для совместимости с устаревшими клиентами (при необходимости):
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Print" -Name "RpcAuthnLevelPrivacyEnabled" -Value 0 -Type DWord -Force; Restart-Service -Name Spooler -Force - Устраните ошибку 0x0000007c копированием DLL на клиенте: если блокируется библиотека обработки цвета, выполните скрипт на клиенте:
Copy-Item "C:\Windows\System32\spool\drivers\x64\3\mscms.dll" -Destination "C:\Windows\System32\mscms.dll" -Force -ErrorAction SilentlyContinue - Обновите драйверы принтеров на сервере печати до архитектуры Type 4 (V4): драйверы Type 4 полностью изолированы и не подвержены ограничениям PrintNightmare.
Предупреждение: Полное отключение проверок через реестр снижает безопасность сети. Наиболее защищенным решением является предварительная установка проверенных драйверов на клиентские ПК через SCCM / GPO Startup Script.
Частые вопросы (FAQ)
Что такое уязвимость PrintNightmare?
Это критическая уязвимость (CVE-2021-34527 / CVE-2021-1675) в службе диспетчера очереди печати (Spooler), позволявшая удаленное выполнение произвольного кода с правами SYSTEM.
Почему Microsoft заблокировала установку драйверов обычным пользователям?
Потому что установка драйвера печати Type 3 представляет собой загрузку и исполнение бинарного кода в контексте привилегированной службы Spooler.
Где посмотреть список очередей печати и их драйверов?
Используйте командлеты Get-Printer и Get-PrinterDriver в PowerShell.
Как изолировать процесс печати от службы Spooler?
В оснастке Print Management включите для драйвера режим 'Изоляция драйверов' -> 'Изолированный' (Isolated).
