Parches en Windows: anillos, plazos y KEV primero
Un proceso de parches de Windows que termina cada mes: anillos con plazos, WSUS frente a Update for Business, hotpatch, prioridad a KEV y huecos fuera de Windows.
Todos los controles de este sitio dan por hecho que el sistema operativo subyacente está al día. En la práctica, la aplicación de parches falla menos por falta de herramientas que por el proceso: las actualizaciones se aprueban pero nunca se imponen, un grupo piloto nunca termina, los servidores esperan una ventana de mantenimiento que no llega, y los controladores, el firmware y las aplicaciones de terceros que los atacantes realmente explotan quedan completamente fuera del proceso.
Esta guía plantea un proceso de parches para clientes y servidores Windows que termina cada mes.
Cómo se distribuyen las actualizaciones de Windows
- Actualización acumulativa mensual (LCU) el Patch Tuesday, el segundo martes de cada mes, con todas las correcciones de seguridad y calidad. Acumulativa significa que instalar la más reciente deja el dispositivo completamente al día.
- Versión preliminar opcional sin cambios de seguridad más avanzado el mes. Útil para probar pronto los cambios del mes siguiente; no es necesaria para la seguridad.
- Versiones fuera de banda (OOB) para problemas urgentes, fuera del ciclo mensual.
- Actualizaciones de características (nueva versión de Windows) una vez al año en Windows 11; cada versión tiene un ciclo de mantenimiento fijo.
- Las actualizaciones de la pila de mantenimiento se incluyen ahora en la actualización acumulativa en las versiones actuales.
- La plataforma y la inteligencia de seguridad de Microsoft Defender se actualizan por separado, varias veces al día.
Elige la herramienta de distribución
| Herramienta | Ideal para | Notas |
|---|---|---|
| Directivas de cliente de Windows Update (Windows Update for Business) por GPO o Intune | Clientes administrados en la nube e híbridos | Las actualizaciones vienen de Microsoft; tú controlas el calendario con aplazamientos y plazos |
| Windows Autopatch | Clientes administrados con Intune | Anillos e informes gestionados por Microsoft sobre Update for Business |
| Configuration Manager | Grandes parques locales, servidores | Control total y caché de contenido; necesita infraestructura |
| WSUS | Redes heredadas o desconectadas | En desuso (sin funciones nuevas), aún con soporte |
| Azure Update Manager / hotpatch | Windows Server en Azure o habilitado para Arc | Hotpatch instala muchas actualizaciones de seguridad sin reinicio en las ediciones compatibles |
La mayoría de las organizaciones acaban con Update for Business o Autopatch para los clientes y con Configuration Manager o Azure Update Manager para los servidores.
Crea anillos con plazos
Los anillos permiten detectar la rara actualización defectuosa sin retrasar a todo el mundo. Un modelo típico de cuatro anillos para clientes:
| Anillo | Quién | Aplazamiento de actualizaciones de calidad | Plazo | Período de gracia |
|---|---|---|---|---|
| 0 - Prueba | Dispositivos del laboratorio de TI, máquinas virtuales | 0 días | 2 días | 1 día |
| 1 - Piloto | Personal de TI y voluntarios de todos los departamentos (~5 %) | 0 días | 3 días | 2 días |
| 2 - General | La mayoría de los usuarios | De 3 a 5 días | 5 días | 2 días |
| 3 - Crítico | Dispositivos en los que una interrupción sale cara (clínicos, trading, producción) | 7 días | 7 días | 2 días |
Con estos valores, todo el parque queda actualizado en unas dos semanas desde el Patch Tuesday. La propia guía de cumplimiento de actualizaciones de Microsoft es más estricta: aplazamiento más plazo más período de gracia no deberían superar 7 días para las actualizaciones de calidad. Trata los anillos más largos de la tabla como un límite superior, no como un objetivo. La columna clave es Plazo: sin él, los usuarios posponen los reinicios indefinidamente y los dispositivos quedan con la actualización descargada pero sin aplicar.
La directiva de grupo de las directivas de cliente de Windows Update está en Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Update y Manage end user experience:
| Configuración | Valor |
|---|---|
| Select when Quality Updates are received | Aplazamiento por anillo (0-7 días) |
| Select when Preview Builds and Feature Updates are received | Aplazamiento por anillo, o fija una versión con Select the target Feature Update version |
| Specify deadlines for automatic updates and restarts | Plazo de calidad y período de gracia por anillo |
| Configure Automatic Updates | No es necesaria una vez fijados los plazos (Microsoft recomienda no depender de ella); si la configuras, usa 4, descarga automática y programación de la instalación |
| Remove access to "Pause updates" feature | Enabled |
Intune expone la misma lógica en Devices > By platform > Windows > Manage updates > Windows updates, en la pestaña Update rings.
Servidores
Los servidores necesitan la misma disciplina con otra mecánica:
- Agrupa los servidores por grupo de parches (por ejemplo, por aplicación y redundancia), no por versión del sistema operativo. Los nodos de clúster y los pares redundantes van en grupos distintos.
- Da a cada grupo una ventana mensual fija: la primera, en la semana siguiente al Patch Tuesday; la última, en unas tres semanas.
- Aplica parches pronto y por lotes a los controladores de dominio (nunca todos a la vez): son a la vez de alto valor y están bien probados por Microsoft.
- Hotpatch está disponible para Windows Server 2022 Datacenter: Azure Edition y para Windows Server 2025 (en Azure y en máquinas conectadas a Arc), e instala la mayoría de las actualizaciones de seguridad mensuales sin reinicio, con un reinicio de línea base cada trimestre. Donde está disponible, elimina el principal motivo por el que los servidores se quedan atrás.
Prioriza por explotación, no solo por gravedad
No todas las vulnerabilidades son iguales. Prioriza:
- Las vulnerabilidades que se sabe que se explotan: marcadas como "Exploitation Detected" en la Security Update Guide de Microsoft o incluidas en el catálogo CISA Known Exploited Vulnerabilities (KEV). Justifican un despliegue fuera de ciclo en días.
- Las vulnerabilidades en servicios expuestos: todo lo accesible desde Internet (pasarelas VPN, Exchange, RD Gateway, servidores web) o los servicios de identidad centrales (DC, AD CS).
- El resto de la actualización mensual, al ritmo normal de tus anillos.
La puntuación CVSS por sí sola prioriza mal: una vulnerabilidad "media" en un servicio expuesto a Internet que se está explotando pesa más que una "crítica" en un componente que no ejecutas.
Cierra los huecos fuera de Windows Update
Los atacantes explotan lo que no está parcheado, y buena parte de eso no es Windows:
| Hueco | Enfoque |
|---|---|
| Navegadores, lectores de PDF, Java, entornos de ejecución, herramientas de colaboración | Actualizaciones automáticas cuando el fabricante lo permite; si no, una herramienta de parches de terceros, Intune Enterprise App Management o winget en tu proceso de empaquetado |
| Controladores | Permite las actualizaciones de controladores por Windows Update (o con una herramienta del fabricante) con los mismos anillos |
| Firmware / BIOS / UEFI | Herramientas del fabricante o cápsulas de firmware de Windows Update; inclúyelos en los anillos, porque puede que haya que suspender BitLocker durante un reinicio |
| Dispositivos de red, hipervisores, almacenamiento | Proceso aparte, pero regístralos en el mismo inventario de vulnerabilidades |
| Software sin soporte | Elimínalo o aíslalo. Windows 10 llegó al fin del soporte el 14 de octubre de 2025 y solo recibe correcciones de seguridad mediante el programa de pago Extended Security Updates. Comprueba la fecha de ciclo de vida de cada sistema operativo de servidor que ejecutes |
Mide el cumplimiento
Lo que se mide se parchea. Haz un seguimiento por anillo y por grupo de servidores de:
- El porcentaje de dispositivos con la actualización acumulativa actual (te lo dice el número de compilación del sistema operativo:
Get-ComputerInfo -Property OsBuildNumber, OsVersiono el valor UBR enHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion). - Los días transcurridos desde la última instalación correcta de una actualización.
- Los dispositivos que no se han comunicado en 30 días (a menudo los que acaban comprometidos).
En un solo equipo:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
(Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion").UBRLos informes de Windows Update de Intune, los de Autopatch, el cumplimiento de Configuration Manager o Azure Update Manager dan la visión del parque.
Lista de comprobación
- Herramienta de distribución elegida por tipo de dispositivo; migración planificada para los diseños basados solo en WSUS
- Anillos de clientes con aplazamientos y plazos; pausa deshabilitada para los usuarios
- Grupos de parches de servidores con ventanas fijas; hotpatch donde esté disponible
- Las vulnerabilidades KEV o explotadas activamente activan un proceso acelerado
- Aplicaciones de terceros, controladores y firmware dentro del alcance
- Sistemas sin soporte inventariados con un plan de retirada
- Informe mensual de cumplimiento por anillo y por grupo
La aplicación de parches es el área menos vistosa del mapa de endurecimiento y la que hace que todos los demás controles se sostengan. Combínala con las líneas base de seguridad para que las nuevas compilaciones estén a la vez al día y bien configuradas.
Preguntas frecuentes
¿Con qué rapidez deben instalarse las actualizaciones de seguridad?
Apunta a tener la actualización acumulativa mensual en todos los clientes en dos o tres semanas y en los servidores en un mes, y a tratar en días las vulnerabilidades que se sabe que se explotan (por ejemplo, las del catálogo KEV de CISA). Los objetivos exactos son una decisión de riesgo; lo importante es tener plazos que se imponen, no que solo se recomiendan.
¿Sigue siendo compatible WSUS?
Microsoft anunció en 2024 que WSUS está en desuso: sigue disponible y con soporte, pero no recibe funciones nuevas. Los diseños nuevos deberían preferir las directivas de cliente de Windows Update (Windows Update for Business), Intune, Autopatch o Configuration Manager.
¿Y Windows 10?
Windows 10 llegó al fin del soporte el 14 de octubre de 2025. Los dispositivos que aún lo ejecutan solo reciben actualizaciones de seguridad si están inscritos en el programa de pago Extended Security Updates. Migrarlos es en sí una tarea de endurecimiento.
Parches en Windows: anillos, plazos y KEV primero