Windows Update rotará certificados en 2027: qué deben comprobar los administradores

Microsoft ha avisado de una rotación de certificados que puede dejar a equipos desactualizados sin acceso a Windows Update en 2027. Las caducidades relevantes son el 17 de mayo y el 19 de junio, según la versión de Windows. El anuncio del 8 de octubre pide preparar ahora el parque, aprovechando los parches que ya contienen los reemplazos.

No es una fecha de retirada general de Windows Update. Los sistemas soportados y al día seguirán recibiendo actualizaciones, mientras que otros necesitan comprobar un mínimo concreto o planificar una actualización de sistema. La diferencia resulta especialmente útil para servidores antiguos que funcionan correctamente y por eso llevan meses fuera de las conversaciones de mantenimiento.

El certificado sostiene el canal de actualización

Windows Update utiliza confianza basada en certificados para verificar que el dispositivo conecta con servidores autorizados. La renovación afecta a ese canal de confianza, no a la existencia de los paquetes que Microsoft publique. Si un equipo no incorpora los certificados necesarios antes de la caducidad aplicable, puede quedarse sin conexión al servicio.

Como interpretación operativa, esto introduce una dependencia que conviene tratar por separado del estado de una aplicación. Que el servicio de negocio responda no demuestra que el sistema pueda seguir parcheándose. Una máquina puede pasar la monitorización habitual y mantener pendiente un requisito de actualización con consecuencias meses después.

-InfraCrew dice: El servidor puede llevar años sin quejarse; el certificado, en cambio, sí ha aprendido a mirar el calendario.-

Dos fechas y mínimos diferentes

Microsoft fija para Windows Server 2016, Windows Server 2019 y Windows 10 Enterprise 2019 LTSC el parche de seguridad de julio de 2026 o posterior antes del 17 de mayo de 2027. Para Windows Server 2022 y otras versiones soportadas indicadas en su tabla, ese mismo mínimo debe estar instalado antes del 19 de junio.

Windows Server 2025 y Windows 11 24H2 tienen otra referencia: septiembre de 2025 o posterior antes del 19 de junio de 2027. Para Windows 11 25H2 y posteriores, Microsoft no pide una acción específica. Estas diferencias hacen poco útil una campaña con una única fecha y un único requisito para toda la organización.

El mensaje para inventario es comprobar versión y actualización instalada juntos. No basta con que el equipo aparezca como “gestionado” en una consola; esa etiqueta no explica si ha recibido el contenido necesario. En una flota mixta, separar las excepciones permite dedicar tiempo a los equipos que realmente lo necesitan.

-InfraCrew dice: La columna “último parche” acaba de ganar otra función: evitar que el equipo pierda precisamente la puerta por la que entran los parches.-

WSUS queda fuera del alcance indicado

El aviso excluye a dispositivos que reciben actualizaciones desde Windows Server Update Services (WSUS). Esa excepción debe leerse según el origen efectivo de las actualizaciones. No convierte en irrelevante el mantenimiento de los servidores ni permite concluir que cualquier herramienta de gestión queda automáticamente excluida.

Para InfraCrew, la comprobación práctica consiste en documentar la ruta de actualización de cada grupo. Un nombre de producto en el inventario no sustituye esa información. Si un equipo depende de Windows Update, aplicar la tabla correspondiente resulta más preciso que asumir que un agente instalado lo protege de este cambio.

Prepararlo antes de perder el acceso

Microsoft recomienda identificar sistemas antiguos, mantener al día los soportados y preparar la migración de los que ya están fuera de soporte. Si un dispositivo soportado pierde acceso por no tener los certificados nuevos, el fabricante remite a Microsoft Update Catalog o las herramientas habituales de distribución para instalar la actualización requerida. No propone solucionar el problema relajando la validación de certificados.

Como criterio editorial, resolver las excepciones ahora deja margen para probarlas sin convertir mayo de 2027 en una campaña de urgencia. Es una tarea pequeña si el parcheado está sano y una señal útil si descubre máquinas olvidadas. La verificación debería terminar con evidencia de actualización y canal utilizado, no solo con el ticket cerrado.

-InfraCrew dice: El mejor momento para reparar el mecanismo de actualización suele ser mientras todavía actualiza.-

Diccionario de InfraCrew

WSUS — Servicio de Microsoft para distribuir y gestionar actualizaciones de Windows dentro de una organización.

Fuentes

Microsoft — Windows IT Pro Blog | https://techcommunity.microsoft.com/blog/windows-itpro-blog/prepare-for-windows-update-certificate-rotation-in-2027/4562463

Microsoft — Windows message center | https://learn.microsoft.com/en-us/windows/release-health/windows-message-center