Erro 0xc0000409 no Windows Server 2016: CompatTelRunner

Depois da atualização de agosto de 2026, servidores Windows Server 2016 passaram a registrar repetidamente o Event ID 1000 com o código de exceção 0xc0000409, sempre apontando para o processo CompatTelRunner.exe. A Microsoft já reconheceu a falha.

⚡ Solução Rápida em 10 Segundos (Resolva Agora):

Não faça nada — e não desinstale a atualização. A Microsoft confirmou que esses eventos não afetam o funcionamento do servidor e que podem ser ignorados com segurança até a correção sair em uma atualização futura. Se o ruído estiver poluindo seu monitoramento, crie uma regra de supressão para Event ID 1000 + CompatTelRunner.exe em vez de remover o patch de segurança.

Neste artigo

Status oficial da falha na Microsoft

A Microsoft classificou o problema como known issue ligado à atualização de agosto de 2026 do Windows Server 2016 (originada pela KB5120418). O reconhecimento oficial traz três informações que mudam a conduta do administrador.

Produto afetado	Windows Server 2016 com o Compatibility Appraiser habilitado
Evento registrado	Event ID 1000, código de exceção 0xc0000409, processo `CompatTelRunner.exe`
Impacto declarado	Nenhum: a Microsoft afirma que os erros não afetam a funcionalidade do dispositivo
Ambientes atingidos	Máquinas físicas e virtuais, incluindo VMware e Azure
Correção definitiva	⏳ Prevista para uma atualização futura, sem data divulgada
Workaround oficial	❌ Nenhum publicado — a orientação é ignorar os eventos temporariamente

Essa combinação é incomum e vale destacar: existe defeito confirmado, mas não existe ação corretiva recomendada. Qualquer receita de registro ou script que prometa “corrigir o 0xc0000409” hoje está indo além do que o fornecedor documentou.

O que é o CompatTelRunner.exe e por que ele trava

O CompatTelRunner.exe é o Compatibility Appraiser Telemetry Runner, componente do Microsoft Compatibility Appraiser. Ele roda como tarefa agendada em segundo plano e avalia se a máquina atende aos requisitos de hardware e software da próxima atualização cumulativa ou de recurso do Windows.

O código 0xc0000409 é STATUS_STACK_BUFFER_OVERRUN. Apesar do nome, na prática moderna ele indica que a proteção de integridade do processo detectou uma condição inválida e encerrou a execução deliberadamente — um fail-fast, não necessariamente uma exploração em andamento. É o Windows abortando o processo antes que ele continue em estado inconsistente.

O comportamento e a finalidade dessa coleta estão descritos na documentação da Microsoft sobre dados de diagnóstico do Windows em ambientes corporativos, que também detalha como as organizações controlam o nível dessa telemetria.

Como o Appraiser é uma tarefa de avaliação, e não um serviço de produção, o encerramento dele não interrompe funções do servidor. É exatamente por isso que a Microsoft classifica o impacto como nulo: o que quebra é a coleta de telemetria de compatibilidade, não a carga de trabalho hospedada.

Como confirmar que é este problema, e não outro

O Event ID 1000 é genérico: qualquer aplicação que trave gera esse evento. Antes de atribuir o registro à falha da Microsoft, confirme os três elementos juntos.

No PowerShell, execute como administrador:

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1000} -MaxEvents 50 |
  Where-Object { $_.Message -match 'CompatTelRunner' } |
  Select-Object TimeCreated, @{N='Excecao';E={ ($_.Message -split "`n" | Select-String '0xc0000409') -ne $null }} |
  Format-Table -AutoSize

Se o retorno trouxer ocorrências repetidas apontando para CompatTelRunner.exe, é o problema conhecido. Confirme também a build instalada:

Get-HotFix | Where-Object { $_.HotFixID -eq 'KB5120418' } | Select-Object HotFixID, InstalledOn

Se o evento apontar para outro executável — um serviço de aplicação, um agente de backup, um runtime .NET — o diagnóstico é diferente e este artigo não se aplica. Nesse caso, o caminho é analisar o despejo de memória do processo específico.

O que NÃO fazer

Três reações comuns pioram a situação em vez de resolvê-la.

Desinstalar a atualização de agosto. A KB5120418 é atualização de segurança. Removê-la para silenciar um evento cosmético expõe o servidor a vulnerabilidades corrigidas, em troca de nada — o Appraiser não executa carga produtiva.

Aplicar chaves de registro encontradas em fóruns. A Microsoft não publicou workaround. Receitas que circulam para “corrigir 0xc0000409” foram escritas para outros contextos, frequentemente para o Windows Server 2008 SP2, e alteram comportamento de subsistemas que nada têm a ver com o Appraiser.

Tratar como incidente de segurança. O nome STATUS_STACK_BUFFER_OVERRUN costuma acionar alertas em SIEM. Neste caso específico, com o processo identificado e a falha reconhecida pelo fornecedor, trata-se de defeito de software, não de tentativa de exploração.

Como reduzir o ruído no monitoramento

Se o volume de eventos estiver disparando alertas ou consumindo retenção de log, a conduta proporcional é filtrar, não remediar.

Em ferramentas de monitoramento, crie uma exceção que combine simultaneamente Application + Event ID 1000 + CompatTelRunner.exe. Manter os três critérios evita silenciar travamentos legítimos de outras aplicações, que continuam gerando o mesmo Event ID.

Administradores que já mantinham o Compatibility Appraiser desabilitado por política — prática comum em servidores sem plano de upgrade de versão — não observam o problema, porque a tarefa sequer é executada. Essa é uma decisão de gestão de telemetria que antecede a falha, e não um workaround para ela.

Por que o erro também aparece em VMware e Azure

A Microsoft registrou explicitamente que o problema atinge máquinas físicas e virtuais, incluindo VMware e Azure. Isso importa porque a reação natural de quem administra virtualização é suspeitar do hipervisor, das VMware Tools ou do agente da nuvem — e perder horas nessa trilha.

O Compatibility Appraiser roda dentro do sistema operacional convidado e avalia o hardware que o Windows enxerga, seja ele físico ou apresentado pelo hipervisor. A falha ocorre no processamento dessa avaliação, não na camada de virtualização. Por isso o evento se repete de forma idêntica em frotas heterogêneas: servidores bare metal, VMs VMware e instâncias do Azure registram o mesmo Event ID 1000 com o mesmo código.

Se você administra um parque grande, isso ajuda no inventário: a presença do evento correlaciona com a instalação da atualização de agosto e com o Appraiser habilitado, não com a plataforma de execução. A documentação sobre os dados coletados pelo Appraiser confirma que a avaliação é feita no convidado.

Quando a correção chegar

A Microsoft indicou que a resolução sairá em uma atualização futura, sem compromisso de data. O acompanhamento correto é pelo painel de Windows release health, que lista os problemas conhecidos por versão e marca a KB que os encerra.

Quando o item deixar o estado de investigação, a própria entrada indicará a atualização corretiva. Até lá, registre no seu inventário que os eventos são esperados nesses servidores, para que o próximo plantão não reabra a investigação do zero.

Para acompanhar o estado operacional de outros serviços de infraestrutura em tempo real, o painel de status das plataformas reúne incidentes publicados pelos próprios fornecedores. E se o seu ambiente combina servidores Windows com automação, vale revisar a trilha de certificações de infraestrutura para aprofundar diagnóstico de eventos e telemetria.

🎓 Preparando para o Microsoft Azure Fundamentals?

Treine para o exame AZ-900 com 200 questões autorais comentadas e atualizadas.

🔷 Simulado Azure AZ-900 Grátis