El 17 de maig i el 19 de juny del 2027 caduquen els certificats amb què els teus equips confien en Windows Update, i el de recanvi viatja dins d'una actualització mensual: «Devices must contain the replacement certificates to continue connecting to Windows Update and receiving updates after the applicable expiration date», diu l'avís MC1491763 de Microsoft, del 8 d'octubre. Això ja ho ha explicat la premsa. El que no hem vist enlloc és la conseqüència que ens preocupa a nosaltres: una restauració retorna la màquina amb el nivell d'actualització que tenia el dia de la còpia. El servidor que aixequis el 2027 des d'una imatge del març del 2026 arrenca sense el certificat, funciona perfectament i no es pot actualitzar sol.
Quina de les dues dates et toca depèn de què tinguis instal·lat, i hi anem de seguida. Abans, el que això no és: aquí no hi ha cap fallada, ni CVE, ni res per explotar. És la rotació normal d'una autoritat de certificació, la mena de manteniment que acostuma a passar sense que ningú de l'empresa se n'adoni. Passa desapercebuda mentre l'equip està encès i al dia. Els que fa mesos que estan apagats són una altra conversa, i és la d'aquest post.
Les cinc famílies i la seva actualització mínima
Aquesta és la taula que cal tenir al davant, amb els requisits tal com els publica Microsoft. Val la pena llegir-la per files i no per intuïció, perquè aquí la intuïció falla.
L'asimetria que no quadra a primera vista
Mira una altra vegada les dues files del mig. Windows 11 24H2 i Windows Server 2025 demanen l'actualització de setembre del 2025; tota la resta demana la de juliol del 2026. La plataforma més nova té el requisit més antic, i les veteranes el més recent. Si raones «el nou ja vindrà cobert, el vell és el que em preocupa», encertes per accident: el llistó de les màquines noves és deu mesos més avall, així que gairebé qualsevol Server 2025 encès l'últim any el passa. El llistó de les altres és al juliol d'aquest any, que són quatre mesos. Un portàtil que va deixar d'actualitzar-se el març del 2026 és dins del grup que no compleix, i no hi ha res a la seva pantalla que ho digui.
El que això no és
Tres acotacions abans de continuar, perquè el titular fàcil és «milions d'equips es queden sense actualitzacions» i els fets aguanten menys que això.
- No deixa la màquina inservible. Ho diu el mateix avís: si un equip amb suport arriba tard, l'actualització s'obté del Catàleg de Microsoft Update o es reparteix amb les eines de gestió de sempre. El destí és el mateix; canvia qui l'executa. Deixa de ser una cosa que passa sola de nit i passa a ser una tasca amb nom, cognoms i una visita per màquina.
- Si actualitzes cada mes, no has de fer res. I val la pena dir-ho en veu alta, perquè el soroll que va portar l'avís suggereix el contrari. Qualsevol equip amb suport que hagi rebut la seva acumulativa de juliol del 2026 o qualsevol posterior ja porta a dins el que cal.
- WSUS queda fora. Microsoft ho diu literal: «This change does not apply to devices receiving updates from Windows Server Update Services (WSUS)». Això és una bona notícia i alhora un mapa: el canvi afecta el que parla directament amb Windows Update. En un parc mitjà això gairebé mai són els servidors de l'armari; són els portàtils que viatgen, la màquina de la sucursal, l'equip que algú va aixecar «per provar» i la plantilla amb què clones.
El supòsit que es trenca
Tot pla d'actualitzacions es dimensiona sobre una idea que ningú escriu al procediment perquè es dona per feta: una màquina que es queda enrere es posa al dia sola el dia que l'engegues. Tardarà, demanarà dos reinicis i protestarà, però el camí hi és i no cal ningú. En aquestes dues dates, per a qui arribi tard, aquest camí es talla: el certificat que necessita per parlar amb Windows Update és dins d'una actualització que es descarrega de Windows Update.
L'inventari que ningú té: les màquines que ningú engega
La llista següent no surt de cap avís. Surt del que ens trobem quan entrem a un parc a fer l'inventari de debò, i en els pròxims set mesos cada línia és candidata a quedar-se fora del canal:
- Les plantilles i les imatges daurades. Una plantilla segellada la primavera del 2026 clonarà, el 2028, màquines nascudes sense el certificat. I la primera cosa que fa una màquina acabada de clonar és anar a buscar actualitzacions.
- Les màquines virtuals apagades. La de la migració que es va deixar «per si de cas», la del proveïdor que ja no hi és, la de l'any fiscal anterior que s'arrenca dues vegades l'any per a una consulta.
- Els equips de planta i de magatzem. El PC que mou una màquina de producció, amb una versió LTSC posada allà perquè ningú volia que canviés res. Fixa't en quina fila de la taula cau: la del 17 de maig, un mes abans que la resta.
- El portàtil que torna. D'una baixa llarga, d'un calaix, d'una persona que va estar fora dos trimestres. Torna amb el nivell d'actualització del dia que es va guardar.
- I la que aixeques en un simulacre. A aquesta li dediquem la secció següent, perquè és la que ens sembla seriosa.
La còpia retorna la màquina amb la seva data a dins
Això no ho diu l'avís de Microsoft: és la nostra lectura, i l'etiquetem com a tal. Una restauració no retorna «la màquina»: retorna la màquina tal com estava el dia de la còpia, i això inclou el seu nivell d'actualització. Ho donem per obvi quan parlem de dades —ningú espera recuperar un fitxer d'ahir en una còpia de fa un mes— i ho oblidem quan parlem del sistema.
Suma-hi les dates. Si la tardor del 2027 fas un simulacre de recuperació i aixeques una imatge completa d'un servidor presa el març del 2026, aquella màquina arrenca en un món en què el certificat amb què sap parlar ja ha caducat. Funciona, serveix, dona servei i no es pot actualitzar sola. En un simulacre això és una anècdota que descobreixes i corregeixes. El dia que no sigui un simulacre, és una màquina en producció, acabada de restaurar, a la qual cal anar a posar a mà l'acumulativa que li falta mentre sona el telèfon.
Es resol amb procediment i surt gairebé de franc: una línia més al guió de post-restauració —comprovar el nivell d'actualització abans de donar la màquina per bona— i un repàs de les plantilles abans del maig. El car és descobrir-ho el dia de l'incident. És la mateixa idea que repetim sempre: la fallada és inevitable, l'avaria és una decisió de disseny.
El calendari real, en ordre
Les dues dates del 2027 no estan soles. Hi ha dues més abans que les condicionen, i una cau d'aquí a tretze dies:
- 10-11-2026. Fi de servei de Windows 11 23H2 a Enterprise, Education i IoT Enterprise. Un equip en aquesta versió necessita l'actualització de juliol del 2026 o posterior, i li queda una entrega per agafar-la pel camí normal: la del 10 de novembre, que és el mateix dia en què se li acaba el suport. Després passa a l'última fila de la taula. Ja vam escriure sobre les quatre files del calendari de Windows 11 i les seves quatre dates diferents, que és la mateixa conversa amb altres xifres.
- 12-01-2027. Fi del suport estès de Windows Server 2016. A partir d'aquí no hi ha més actualitzacions mensuals sense pagar extensió, i el seu tall de certificat és el 17 de maig, quatre mesos després: la finestra per deixar-lo en regla es tanca abans que la data de l'avís. Si ets en aquest cas, aquí expliquem el que es paga per continuar rebent pedaços en un Windows Server 2016.
- 17-05-2027. Caduca el certificat per a Windows 10 Enterprise 2019 LTSC, Windows Server 2019 i Windows Server 2016. És la data primerenca i li toca al que menys es toca.
- 19-06-2027. Caduca el certificat per a tota la resta que tingui suport.
Les cinc coses que miraríem aquesta setmana
- 1. Inventariar per data de l'última acumulativa. Gairebé tots els inventaris responen «quina versió té cada equip». La dada que decideix aquí és una altra: quan va instal·lar la seva última acumulativa. En un equip solt es mira comparant la revisió de compilació —el número que va darrere del punt a
winver— amb la que Microsoft va publicar per al juliol del 2026 a l'historial d'aquella versió. En un parc, l'informe d'actualitzacions de la teva eina de gestió ja té la columna. - 2. Treure la llista de les que no reporten. El risc és el que falta a l'informe, no el que hi surt. Un equip que no ha parlat amb la consola en noranta dies està sense actualitzar, encara que a la pantalla surti com a «sense dades».
- 3. Tornar a segellar les plantilles abans del maig. Cada plantilla, imatge de desplegament i disc base passa per una actualització i es torna a segellar. En un parc amb tres o quatre plantilles és un matí, i t'estalvia una classe sencera de problema futur.
- 4. Afegir la línia al guió de restauració. «Comprovar el nivell d'actualització i aplicar l'acumulativa vigent abans de tornar la màquina al servei». Si el teu pla de recuperació ja té una llista de comprovació, això és una línia.
- 5. Separar el lot de maig. Windows Server 2016, 2019 i Windows 10 Enterprise 2019 LTSC —els que no estiguin darrere de WSUS— van un mes abans, i són gairebé sempre les màquines amb menys finestra de manteniment del parc. Tractar-les com un lot a part i no com «la resta» és el que evita que es quedin per al final. I val la pena recordar que l'exclusió de WSUS protegeix mentre WSUS hi sigui: el dia que una màquina torna a apuntar a Windows Update, torna al perímetre.
En curt
Una rotació de certificats és manteniment avorrit i el normal és que ningú se n'adoni. El que la fa interessant és l'ordre en què passen les coses: el recanvi viatja pel mateix canal que es tanca, de manera que la data que importa és la de la teva última acumulativa i no la de l'avís. Això ho resol qui sap quines màquines té enceses, quines no i amb quina data a dins torna cada còpia. No ho resol una eina més cara.
On encaixa això en el que fem
Quan muntem un lloc de treball modern, la part que es veu és la identitat i les aplicacions; la que decideix setmanes com aquesta és la de sota: un inventari que digui la veritat, una cadència d'actualització que es compleixi sense heroïcitats i la llista —sempre incòmoda— d'equips que no encaixen en el motlle. L'altra meitat és la de compliment i continuïtat: un sistema que no pot rebre pedaços és una troballa d'auditoria abans de ser un problema tècnic, i el guió de restauració és on s'arregla, no en una eina nova. Si vols que mirem el teu parc per data d'última actualització i no per versió, en parlem: en surt una taula i una llista d'òrfenes, i de vegades la llista és buida i t'ho diem.
Fonts (verificades el 28 d'octubre del 2026): avís MC1491763, «Prepare for Windows Update certificate rotation in 2027», publicat el 8 d'octubre del 2026 — dates de caducitat del 17 de maig i 19 de juny del 2027, requisits per família (cap en Windows 11 25H2 i posteriors; setembre del 2025 en Windows 11 24H2 i Windows Server 2025; juliol del 2026 en la resta amb suport, amb el 17 de maig per a Windows 10 Enterprise 2019 LTSC, Windows Server 2019 i 2016), la frase «Devices must contain the replacement certificates…» i l'exclusió dels equips atesos per WSUS; recollit al Windows IT Pro Blog de Microsoft, a Help Net Security (12-10-2026) i a PCWorld. Fi de servei de Windows 11 23H2 a Enterprise, Education i IoT Enterprise el 10 de novembre del 2026 — cicle de vida de Microsoft. Fi del suport estès de Windows Server 2016 el 12 de gener del 2027, sent l'actualització de gener del 2027 l'última — blog de Windows Server. La lectura sobre plantilles, màquines apagades i restauracions és nostra i està assenyalada com a tal al text.
Quantes màquines tens que no han parlat amb ningú en noranta dies?
Si la resposta és «no t'ho sabria dir», això és la feina d'una tarda i és la meitat d'aquest problema. Traiem l'inventari per data d'última actualització, separem el lot de maig del de juny i et diem quines plantilles cal tornar a segellar. Amb l'eina que ja tinguis.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN