Windows Server 2012 y 2012 R2 pierden sus últimos parches ESU
Microsoft cerró el 13 de octubre de 2026 el tercer y último año de Extended Security Updates para Windows Server 2012 y 2012 R2, tanto en Azure como fuera. Las nuevas vulnerabilidades ya no recibirán correcciones por ese programa.
El 13 de octubre terminó el tercer y último año de Extended Security Updates (ESU) para Windows Server 2012 y 2012 R2. Microsoft confirma que la fecha se aplica tanto a servidores en Azure como a los alojados fuera de Azure. A partir de ese cierre deja de proporcionar actualizaciones de seguridad para estas versiones mediante el programa ESU; no hay un cuarto año anunciado para prolongar la cobertura.
El cambio es distinto del fin de soporte extendido general, que llegó el 10 de octubre de 2023. Desde entonces, los ESU ofrecían una etapa adicional y limitada de actualizaciones de seguridad críticas e importantes: gratuita para servidores alojados en Azure y de pago para instalaciones fuera de Azure. Esa ventana termina ahora. No significa que el sistema deje de arrancar el 14 de octubre, pero sí que las nuevas vulnerabilidades ya no recibirán parches de Microsoft para esas versiones a través de ESU.
-InfraCrew dice: El servidor seguirá respondiendo a ping; lo que deja de responder es el ciclo de parches-
Qué cambia desde el 14 de octubre
Microsoft marca 13 de octubre de 2026 como fecha final del programa para ambas versiones, sin distinguir Azure y on-premises. El aviso de Lansweeper coincide en que después de esa fecha los servidores 2012 y 2012 R2 quedan fuera de las actualizaciones ESU. La consecuencia para operaciones y seguridad es directa: mantener esas instalaciones supone aceptar que los fallos nuevos no tendrán una actualización de Microsoft dentro de ese programa.
Conviene evitar dos errores de inventario. El primero es confundir ESU con soporte general: Server 2012 salió del soporte extendido en 2023; los tres años posteriores eran una extensión de actualizaciones de seguridad. El segundo es asumir que Azure conserva la protección indefinidamente: Microsoft fija la misma fecha final para cargas alojadas en Azure y fuera de Azure. La localización de la máquina no modifica el cierre de este programa.
-InfraCrew dice: “Está en Azure” puede cambiar el modelo de servicio; no mueve por sí solo una fecha de fin de soporte-
El inventario pasa a ser una decisión de riesgo
El primer trabajo es localizar todas las instancias, incluidas las que sobreviven en aplicaciones heredadas, entornos de laboratorio, servidores desconectados y dependencias que ya nadie atribuye a un equipo. Una CMDB actualizada ayuda, pero conviene cruzarla con descubrimiento real, plataformas de virtualización, herramientas de backup y dependencias de aplicación. Un sistema olvidado sigue teniendo una dirección IP y una superficie de exposición.
Después, el propietario del servicio debe decidir la ruta para cada carga: migrar o actualizar la plataforma, rediseñar la aplicación si la compatibilidad bloquea el cambio, o aceptar y documentar temporalmente el riesgo residual. Microsoft mantiene guías de actualización y migración; la ruta soportada depende del estado del servidor y de la aplicación. No existe una recomendación universal de “actualización in-place” que sirva para todos los roles.
Las excepciones requieren controles compensatorios concretos: limitar exposición de red, restringir administración, vigilar actividad y definir fecha y responsable de salida. Eso no restablece los parches que ya no se publican, pero ayuda a reducir el riesgo mientras se completa la transición. La fecha final ya pasó; el siguiente paso es saber cuántos sistemas siguen en producción y quién responde por cada uno.
-InfraCrew dice: La fecha de soporte no aparece en el monitor; por eso hace falta que aparezca en el inventario-
Diccionario de la Crew
ESU — Extended Security Updates: programa limitado de actualizaciones de seguridad posteriores al fin del soporte extendido.
Soporte extendido — etapa del ciclo de vida que sucede al soporte general y mantiene actualizaciones de seguridad durante un periodo definido.
Riesgo residual — riesgo que permanece después de aplicar los controles disponibles y que debe aceptarse o reducirse con una decisión explícita.
