Microsoft publicó el 8 de octubre un aviso que no tiene fecha urgente, pero sí una consecuencia seria: los certificados que usan los equipos para conectarse de forma segura a Windows Update vencen el 17 de mayo y el 19 de junio de 2027. El equipo que llegue a esas fechas sin los certificados de reemplazo dejará de recibir actualizaciones por Windows Update, de cualquier tipo.
El aviso es el MC1491763 del Centro de mensajes de Microsoft 365. Para las computadoras al día no hay nada que hacer; el problema son las que no lo están, y en casi todas las PyMEs hay varias.
Qué necesita cada versión
Los certificados nuevos ya vienen dentro de las actualizaciones de seguridad mensuales. Lo que importa es que cada equipo tenga, como mínimo, la actualización indicada antes de su fecha límite:
| Versión de Windows | Actualización mínima | Fecha límite |
|---|---|---|
| Windows 11 25H2 y posteriores | Ninguna | No aplica |
| Windows 11 24H2 y Windows Server 2025 | Septiembre de 2025 o posterior | Antes del 19 de junio de 2027 |
| Otras versiones de Windows 11 con soporte y Windows Server 2022 | Julio de 2026 o posterior | Antes del 19 de junio de 2027 |
| Windows 10 con soporte (por ejemplo, con ESU) | Julio de 2026 o posterior | Antes del 19 de junio de 2027 |
| Windows 10 Enterprise LTSC 2019, Windows Server 2019 y Windows Server 2016 | Julio de 2026 o posterior | Antes del 17 de mayo de 2027 |
| Cualquier otra versión | Actualizar a una versión con soporte | Antes de la fecha que corresponda |
Fuente: aviso MC1491763 de Microsoft (8 de octubre de 2026).
Dos detalles que el cuadro no dice a simple vista:
- Windows Server 2016 sale de soporte el 12 de enero de 2027. Un servidor 2016 sin actualizaciones de seguridad extendidas (ESU) quedará en la fila de "cualquier otra versión" antes de que llegue mayo. La fecha del 17 de mayo solo le sirve al que pagó ESU.
- Windows 10 sin ESU ya está fuera. Si tienes equipos con Windows 10 que no se inscribieron al programa de actualizaciones extendidas, Microsoft los considera sin soporte y, según su aviso, los equipos con versiones sin soporte perderán el acceso a Windows Update. Para empresas, el primer año de ESU terminó el 13 de octubre y el segundo cuesta el doble.
Por qué esto es más grave de lo que parece
Un equipo que pierde el acceso a Windows Update no se apaga ni muestra un error llamativo. Simplemente deja de recibir parches, y nadie lo nota hasta que una vulnerabilidad conocida entra por ahí. En un año como 2026, con un Patch Tuesday de casi mil vulnerabilidades en septiembre, un equipo congelado es una puerta abierta.
Además, se suma a otros vencimientos de certificados de Microsoft que ya contamos: el certificado de Secure Boot de 2011 que vence el 19 de octubre. Es el mismo patrón: los equipos que se actualizan solos pasan sin enterarse; los olvidados se quedan atrás sin aviso.
Los sospechosos habituales en una PyME
Por experiencia, los equipos que más probablemente lleguen a 2027 sin la actualización de julio de 2026 son:
- La PC del checador, la báscula o la máquina de producción, a la que alguien le desactivó las actualizaciones "para que no se reinicie".
- El servidor del ERP o del sistema contable que nadie se atreve a reiniciar en horario de trabajo.
- Laptops de vendedores o de personal en campo que casi nunca se conectan a la red de la oficina.
- Equipos con versiones viejas de Windows 11 (22H2, 23H2) que nunca se movieron a una versión nueva. La 23H2 en ediciones Enterprise y Education recibe su última actualización el 10 de noviembre de 2026, según el Centro de mensajes de Windows; en Home y Pro ya estaba fuera de soporte.
Qué hacer desde ahora
- Haz el inventario de versiones. Necesitas saber qué versión exacta de Windows tiene cada equipo y cuál fue su última actualización instalada. En Intune, en tu consola de gestión remota o con un script de PowerShell (
Get-HotFixowinveren cada equipo) se obtiene en una tarde. - Marca los que no tienen la actualización de julio de 2026. Esa es tu lista de trabajo. Para Windows 11 24H2 y Server 2025, la referencia es septiembre de 2025.
- Separa los que no tienen soporte. Windows 10 sin ESU, versiones viejas de Windows 11 y Windows Server 2016 sin plan para después de enero. Para ellos no hay parche que valga: hay que actualizar la versión o reemplazar.
- Revisa las políticas que bloquean actualizaciones. Busca equipos con Windows Update deshabilitado, aplazamientos indefinidos o servicios detenidos. Corrígelos con ventanas de mantenimiento en lugar de apagar las actualizaciones.
- Enciende los equipos de respaldo una vez al mes y déjalos actualizarse. Un equipo de reserva que no arranca actualizado no es reserva.
- Pon las fechas en tu calendario de TI: 17 de mayo de 2027 para Server 2016, Server 2019 y LTSC 2019; 19 de junio de 2027 para todo lo demás.
Si en la revisión salen servidores con versiones viejas, aprovecha para planear la salida con tiempo. Ya explicamos qué cambia y qué no con el fin del soporte principal de Windows Server 2022, que sigue recibiendo parches hasta 2031. Y si te interesa delegar el control de parches de servidores y equipos, en servidores y soporte técnico lo hacemos como servicio administrado.
Faltan siete meses para la primera fecha: tiempo de sobra si empiezas ahora, y muy poco si te acuerdas en mayo.
