Windows Update: aplazamientos, plazos y reinicios

La guía principal sobre parches explica por qué los anillos con plazos son la columna vertebral de un proceso de parches. Esta guía es la capa de configuración que hay debajo: las directivas de cliente de Windows Update exactas (antes Windows Update for Business), qué hace cada valor en el dispositivo, cómo se corresponden directiva de grupo e Intune con el mismo Policy CSP y cómo demostrar que un dispositivo sigue realmente el anillo en el que crees que está.

Todo lo que sigue se aplica a Windows 11 23H2, 24H2 y 25H2, y a Windows Server cuando obtiene las actualizaciones de Windows Update y no de WSUS o Configuration Manager.

Cómo decide el cliente cuándo instalar

Cuatro valores gobiernan todo el comportamiento, y ayuda verlos como una línea temporal para cada actualización:

1. Publicación. Microsoft publica la actualización acumulativa el Patch Tuesday.
2. Aplazamiento. El dispositivo no ve la actualización hasta que transcurre el aplazamiento (0-30 días para las actualizaciones de calidad, 0-365 para las de características).
3. Plazo. Se cuenta desde que se ofrece la actualización. Antes de él, el usuario puede elegir la hora de reinicio; al llegar, Windows instala y reinicia fuera del horario activo.
4. Período de gracia. Si el dispositivo estaba apagado o sin conexión y se entera tarde de la actualización, dispone al menos de estos días antes de un reinicio forzado.

Sin plazo, una actualización descargada puede esperar un reinicio indefinidamente, y un dispositivo que dice "reinicio necesario" no está parcheado. El plazo es la configuración que convierte una recomendación en una garantía.

Paso 1: elimina las configuraciones heredadas y en conflicto

Antes de configurar los anillos, elimina las configuraciones que los invalidan en silencio. Ejecuta gpresult /h C:\Temp\gp.html en un dispositivo de muestra y busca:

• Specify intranet Microsoft update service location (WUServer y WUStatusServer en HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate). Si hay un servidor WSUS configurado, el dispositivo examina WSUS y tus aplazamientos no se le aplican. En Windows 11, usa Specify source service for specific classes of Windows Updates si necesitas separar clases (por ejemplo, actualizaciones de calidad desde Windows Update y controladores desde WSUS).
• Cualquier cosa de la carpeta Legacy Policies, en particular No auto-restart with logged on users for scheduled automatic updates installations. Choca con los plazos de cumplimiento y es el motivo más habitual por el que los dispositivos nunca se reinician.
• Do not allow update deferral policies to cause scans against Windows Update (dual scan). No se aplica a Windows 11; sustitúyela por la directiva de servicio de origen anterior.
• Valores de registro antiguos aplicados por scripts o imágenes en la misma clave WindowsUpdate. Los valores de directiva de esa clave siempre prevalecen sobre la aplicación Configuración.

Paso 2: configura las opciones de directiva de grupo

En las plantillas ADMX de Windows 11, las opciones están en Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Update, repartidas entre Manage end user experience y Manage updates offered from Windows Update. Usa en el almacén central las ADMX de la versión de Windows más reciente que ejecutes, para que las plantillas antiguas no oculten opciones.

Las actualizaciones automáticas en sí están un nivel más abajo, en la subclave AU. La guía de cumplimiento de actualizaciones de Microsoft recomienda no configurar Configure Automatic Updates una vez establecidos los plazos, porque es el plazo el que dirige la instalación. Si tienes que configurarla, usa 4 - Auto download and schedule the install (NoAutoUpdate = 0, AUOptions = 4).

La versión de destino y el aplazamiento de características son dos formas de controlar las actualizaciones de características. Fijar una versión es más predecible: el dispositivo se queda en 24H2 hasta que cambias el valor y se mueve en cuanto lo haces. No uses ambas para la misma población.

Experiencia de reinicio

En Manage end user experience:

• Turn off auto-restart for updates during active hours con un intervalo realista, o deja el horario activo a la detección automática del dispositivo.
• Specify deadlines... tiene también la opción Don't auto-restart until end of grace period (ConfigureDeadlineNoAutoReboot = 1). Úsala en anillos de trabajadores del conocimiento, donde un reinicio inesperado haría perder trabajo; déjala desactivada en quioscos y dispositivos compartidos.
• Display options for update notifications: conserva el valor predeterminado. El nivel 2 (UpdateNotificationLevel = 2) oculta también las advertencias de reinicio, lo que significa que los usuarios se reinician sin aviso al llegar el plazo.

Paso 3: crea los mismos anillos en Intune

Intune escribe los mismos valores a través del área Update del Policy CSP (./Device/Vendor/MSFT/Policy/Config/Update/..., con nombres como DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates, ConfigureDeadlineGracePeriod y SetDisablePauseUXAccess). Rara vez necesitas OMA-URI en bruto:

• Devices > By platform > Windows > Manage updates > Windows updates > Update rings: aplazamientos, plazos, período de gracia, reinicio automático antes del plazo, la opción de pausa y la configuración de la experiencia del usuario. Un perfil por anillo, asignado a un grupo de dispositivos.
• Los perfiles de Feature updates fijan una versión de Windows. Cuando los uses, pon a 0 días el aplazamiento de características en el anillo, como recomienda Microsoft, para que los dos retrasos no se sumen.
• Los perfiles de Quality updates permiten acelerar (expedite) una actualización acumulativa concreta en los dispositivos por debajo de una compilación dada, invalidando los aplazamientos. Es la herramienta para una vulnerabilidad explotada activamente que no puede esperar al ciclo normal.
• Los perfiles de Driver updates dan control de aprobación sobre los controladores y el firmware ofrecidos por Windows Update.

Si usas Windows Autopatch, Autopatch crea y gestiona estos perfiles de anillo por ti. Modifícalos a través de Autopatch en lugar de crear perfiles paralelos, o entrarán en conflicto.

No apliques al mismo dispositivo un anillo por directiva de grupo y otro por Intune. En los dispositivos con administración conjunta, pasa la carga de trabajo de Windows Update a Intune y quita la GPO de esas OU. La documentación de Windows Update de Microsoft indica que la directiva de grupo tiene prioridad sobre MDM en la configuración de actualizaciones; la opción MDMWinsOverGP descrita en la guía de líneas base de Intune solo lo cambia para las directivas que cubre. Para las directivas de actualización, la respuesta más limpia es tener un único origen.

Paso 4: detén una actualización defectuosa sin romper el modelo

Los anillos existen para poder detener una actualización que rompe algo. Deja el mecanismo de detención en manos de TI:

• En Intune, pausa las actualizaciones de calidad o de características en un perfil de anillo. Las pausas caducan a los 35 días, así que no pueden olvidarse indefinidamente.
• Con directiva de grupo, aumenta DeferQualityUpdatesPeriodInDays en el anillo afectado, o usa la opción de pausa dentro de Select when Quality Updates are received con una fecha de inicio.
• Desinstalar una actualización acumulativa en los dispositivos ya afectados debería ser excepcional; consulta primero la página de estado de las versiones de Microsoft (release health), porque las reversiones de problemas conocidos (Known Issue Rollback) suelen resolver el problema sin desinstalar.

Anota siempre por qué se pausó un anillo y cuándo se reanudará. Una pausa olvidada es la forma más habitual de que un anillo entero acabe con un mes de retraso.

Verificación

En un dispositivo, empieza por la aplicación Configuración: Settings > Windows Update > Advanced options > Configured update policies enumera todas las directivas en vigor y si proceden de directiva de grupo o de Mobile Device Management. Después comprueba los valores directamente:

# Valores de directiva de grupo
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
  Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates,
    ConfigureDeadlineGracePeriod, SetDisablePauseUXAccess, TargetReleaseVersionInfo, WUServer

# Valores entregados por Intune (Policy CSP)
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update' -ErrorAction SilentlyContinue

# Compilación y revisión actuales
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
'{0}.{1}' -f $cv.CurrentBuild, $cv.UBR

El historial de instalación está en el registro System con el origen Microsoft-Windows-WindowsUpdateClient: evento 19 (instalación correcta), 20 (error de instalación) y 43 (instalación iniciada). Para un diagnóstico más profundo, Get-WindowsUpdateLog convierte los seguimientos ETW en un WindowsUpdate.log legible en el escritorio.

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WindowsUpdateClient'; Id=19,20} -MaxEvents 20 |
  Format-Table TimeCreated, Id, Message -Wrap

A nivel de parque, los informes de Windows Update de Intune (y los de Autopatch) muestran el cumplimiento por anillo. Compara el número de dispositivos con la revisión actual con el número asignado a cada anillo, no solo el recuento de "correctos" del perfil.

Qué se rompe

• Dispositivos que nunca se reinician. Casi siempre es una directiva de reinicio heredada, la falta de un plazo o un mal uso de UpdateNotificationLevel. Corrige la directiva, no al usuario.
• Aplazamientos ignorados. Un valor WUServer residual envía el dispositivo a WSUS. Comprueba el registro, no solo la GPO que crees que se aplica.
• Actualización de características por sorpresa. Un dispositivo sin versión de características fijada pasa a la siguiente versión cuando termina su aplazamiento. Fija la versión para todos los grupos de dispositivos.
• Portátiles sin conexión que se reinician en el primer arranque. Es el período de gracia funcionando según lo previsto; dos días es un compromiso razonable.
• Servidores parcheados con la herramienta equivocada. Deja los servidores fuera de las directivas de anillos de clientes y gestiónalos como se describe en la guía de hotpatch y clústeres.

Las directivas de cliente de Windows Update solo cubren las actualizaciones de Microsoft. Los navegadores, los entornos de ejecución y las demás aplicaciones necesitan su propio proceso, tratado en parches de terceros, y las directivas de esta guía forman parte de la documentación de tu línea base de seguridad como cualquier otra configuración. Consulta toda el área de parches y actualizaciones para el resto del proceso.

Lista de comprobación

• Eliminadas las directivas de reinicio heredadas, el dual scan y los valores WUServer sueltos
• Plantillas ADMX actuales de Windows 11 en el almacén central
• Aplazamiento de calidad y plazo configurados por anillo, período de gracia de 2 días
• Versión de características fijada con la versión de destino o un perfil de Feature updates de Intune
• Pausa eliminada de la aplicación Configuración; procedimiento de pausa central documentado
• Un único origen de directivas por dispositivo (GPO o Intune), confirmado en Configured update policies
• Proceso de aceleración listo para vulnerabilidades explotadas
• Cumplimiento por anillo medido sobre la revisión de compilación, no sobre el estado del perfil