El 17 de mayo y el 19 de junio de 2027 caducan los certificados con los que tus equipos confían en Windows Update, y el de repuesto viaja dentro de una actualización mensual: «Devices must contain the replacement certificates to continue connecting to Windows Update and receiving updates after the applicable expiration date», dice el aviso MC1491763 de Microsoft, del 8 de octubre. Eso ya lo ha contado la prensa. Lo que no hemos visto en ningún sitio es la consecuencia que nos preocupa a nosotros: una restauración devuelve la máquina con el nivel de actualización que tenía el día de la copia. El servidor que levantes en 2027 desde una imagen de marzo de 2026 arranca sin el certificado, funciona perfectamente y no se puede actualizar solo.
Cuál de las dos fechas te toca depende de qué tengas instalado, y a eso vamos enseguida. Antes, lo que esto no es: aquí no hay fallo, ni CVE, ni nada que explotar. Es la rotación normal de una autoridad de certificación, la clase de mantenimiento que suele ocurrir sin que nadie en la empresa se entere de que ha ocurrido. Pasa desapercibida mientras el equipo está encendido y al día. Los que llevan meses apagados son otra conversación, y es la de este post.
Las cinco familias y su actualización mínima
Esta es la tabla que hay que tener delante, con los requisitos tal como los publica Microsoft. Conviene leerla por filas y no por intuición, porque la intuición falla aquí.
La asimetría que no cuadra a primera vista
Mira otra vez las dos filas de en medio. Windows 11 24H2 y Windows Server 2025 piden la actualización de septiembre de 2025; todo lo demás pide la de julio de 2026. La plataforma más nueva tiene el requisito más antiguo, y las veteranas el más reciente. Si razonas «lo nuevo ya vendrá cubierto, lo viejo es lo que me preocupa», aciertas por accidente: el listón de las máquinas nuevas está diez meses más abajo, así que casi cualquier Server 2025 encendido en el último año lo pasa. El listón de las demás está en julio de este año, que son cuatro meses. Un portátil que dejó de actualizarse en marzo de 2026 está dentro del grupo que no cumple, y no hay nada en su pantalla que lo diga.
Lo que esto no es
Tres acotaciones antes de seguir, porque el titular fácil es «millones de equipos se quedan sin actualizaciones» y los hechos aguantan menos que eso.
- No deja la máquina inservible. Lo dice el propio aviso: si un equipo en soporte llega tarde, la actualización se obtiene del Catálogo de Microsoft Update o se reparte con las herramientas de gestión de siempre. El destino es el mismo; cambia quién lo ejecuta. Deja de ser algo que ocurre solo por la noche y pasa a ser una tarea con nombre, apellidos y una visita por máquina.
- Si parcheas cada mes, no tienes que hacer nada. Y conviene decirlo en voz alta, porque el ruido que trajo el aviso sugiere lo contrario. Cualquier equipo en soporte que haya recibido su acumulativa de julio de 2026 o cualquiera posterior ya lleva dentro lo que hace falta.
- WSUS queda fuera. Microsoft lo dice literal: «This change does not apply to devices receiving updates from Windows Server Update Services (WSUS)». Eso es una buena noticia y a la vez un mapa: el cambio afecta a lo que habla directamente con Windows Update. En un parque mediano eso casi nunca son los servidores del armario; son los portátiles que viajan, la máquina de la sucursal, el equipo que alguien levantó «para probar» y la plantilla con la que clonas.
El supuesto que se rompe
Todo plan de parcheo se dimensiona sobre una idea que nadie escribe en el procedimiento porque se da por hecha: una máquina que se queda atrás se pone al día sola el día que la enciendas. Tardará, pedirá dos reinicios y protestará, pero el camino está ahí y no hace falta nadie. En esas dos fechas, para quien llegue tarde, ese camino se corta: el certificado que necesita para hablar con Windows Update está dentro de una actualización que se descarga de Windows Update.
El inventario que nadie tiene: las máquinas que nadie enciende
La lista siguiente no sale de ningún aviso. Sale de lo que nos encontramos cuando entramos a un parque a hacer el inventario de verdad, y en los próximos siete meses cada línea es un candidato a quedarse fuera del canal:
- Las plantillas y las imágenes doradas. Una plantilla sellada en primavera de 2026 clonará, en 2028, máquinas nacidas sin el certificado. Y lo primero que hace una máquina recién clonada es ir a buscar actualizaciones.
- Las máquinas virtuales apagadas. La de la migración que se dejó «por si acaso», la del proveedor que ya no está, la del año fiscal anterior que se arranca dos veces al año para una consulta.
- Los equipos de planta y de almacén. El PC que mueve una máquina de producción, con una versión LTSC puesta ahí porque nadie quería que cambiara nada. Fíjate en qué fila de la tabla cae: la del 17 de mayo, un mes antes que el resto.
- El portátil que vuelve. De una baja larga, de un cajón, de una persona que estuvo fuera dos trimestres. Vuelve con el nivel de actualización del día que se guardó.
- Y la que levantas en un simulacro. A esta le dedicamos la sección siguiente, porque es la que nos parece seria.
La copia devuelve la máquina con su fecha dentro
Esto no lo dice el aviso de Microsoft: es nuestra lectura, y la etiquetamos como tal. Una restauración no devuelve «la máquina»: devuelve la máquina tal como estaba el día de la copia, y eso incluye su nivel de actualización. Lo damos por obvio cuando hablamos de datos —nadie espera recuperar un fichero de ayer en una copia de hace un mes— y lo olvidamos cuando hablamos del sistema.
Súmale las fechas. Si en otoño de 2027 haces un simulacro de recuperación y levantas una imagen completa de un servidor tomada en marzo de 2026, esa máquina arranca en un mundo en el que el certificado con el que sabe hablar ya ha caducado. Funciona, sirve, da servicio y no se puede actualizar sola. En un simulacro eso es una anécdota que descubres y corriges. El día que no sea un simulacro, es una máquina en producción, recién restaurada, a la que hay que ir a poner a mano la acumulativa que le falta mientras suena el teléfono.
Se arregla con procedimiento y sale casi gratis: una línea más en el guion de post-restauración —comprobar el nivel de actualización antes de dar la máquina por buena— y un repaso de las plantillas antes de mayo. Lo caro es descubrirlo el día del incidente. Es la misma idea que repetimos siempre: el fallo es inevitable, la avería es una decisión de diseño.
El calendario real, en orden
Las dos fechas de 2027 no están solas. Hay otras dos antes que las condicionan, y una de ellas cae en trece días:
- 10-11-2026. Fin de servicio de Windows 11 23H2 en Enterprise, Education e IoT Enterprise. Un equipo en esa versión necesita la actualización de julio de 2026 o posterior, y le queda una entrega para cogerla por el camino normal: la del 10 de noviembre, que es el mismo día en que se le acaba el soporte. Después pasa a la última fila de la tabla. Ya escribimos sobre las cuatro filas del calendario de Windows 11 y sus cuatro fechas distintas, que es la misma conversación con otras cifras.
- 12-01-2027. Fin del soporte extendido de Windows Server 2016. A partir de ahí no hay más actualizaciones mensuales sin pagar extensión, y su corte de certificado es el 17 de mayo, cuatro meses después: la ventana para dejarlo en regla se cierra antes que la fecha del aviso. Si estás en ese caso, aquí contamos lo que se paga por seguir recibiendo parches en un Windows Server 2016.
- 17-05-2027. Caduca el certificado para Windows 10 Enterprise 2019 LTSC, Windows Server 2019 y Windows Server 2016. Es la fecha temprana y le toca a lo que menos se toca.
- 19-06-2027. Caduca el certificado para todo lo demás que esté en soporte.
Las cinco cosas que miraríamos esta semana
- 1. Inventariar por fecha de última acumulativa. Casi todos los inventarios contestan «qué versión tiene cada equipo». El dato que decide aquí es otro: cuándo instaló su última acumulativa. En un equipo suelto se mira comparando la revisión de compilación —el número que va detrás del punto en
winver— con la que Microsoft publicó para julio de 2026 en el historial de esa versión. En un parque, el informe de actualizaciones de tu herramienta de gestión ya tiene la columna. - 2. Sacar la lista de las que no reportan. El riesgo está en lo que falta del informe, no en lo que sale. Un equipo que no ha hablado con la consola en noventa días está sin parchear, aunque en la pantalla aparezca como «sin datos».
- 3. Volver a sellar las plantillas antes de mayo. Cada plantilla, imagen de despliegue y disco base pasa por una actualización y se vuelve a sellar. En un parque con tres o cuatro plantillas es una mañana, y te ahorra una clase entera de problema futuro.
- 4. Añadir la línea al guion de restauración. «Comprobar nivel de actualización y aplicar la acumulativa vigente antes de devolver la máquina al servicio». Si tu plan de recuperación ya tiene una lista de comprobación, esto es un renglón.
- 5. Separar el lote de mayo. Windows Server 2016, 2019 y Windows 10 Enterprise 2019 LTSC —los que no estén detrás de WSUS— van un mes antes, y son casi siempre las máquinas con menos ventana de mantenimiento del parque. Tratarlas como un lote aparte y no como «el resto» es lo que evita que se queden para el final. Y conviene recordar que la exclusión de WSUS protege mientras WSUS esté ahí: el día que una máquina vuelve a apuntar a Windows Update, vuelve al perímetro.
En corto
Una rotación de certificados es mantenimiento aburrido y lo normal es que nadie se entere. Lo que la vuelve interesante es el orden en que pasan las cosas: el repuesto viaja por el mismo canal que se cierra, de modo que la fecha que importa es la de tu última acumulativa y no la del aviso. Eso lo resuelve quien sabe qué máquinas tiene encendidas, cuáles no y con qué fecha dentro vuelve cada copia. No lo resuelve una herramienta más cara.
Dónde encaja esto en lo que hacemos
Cuando montamos un puesto de trabajo moderno, la parte que se ve es la identidad y las aplicaciones; la que decide semanas como esta es la de debajo: un inventario que diga la verdad, una cadencia de actualización que se cumpla sin heroicidades y la lista —siempre incómoda— de equipos que no encajan en el molde. La otra mitad es la de cumplimiento y continuidad: un sistema que no puede recibir parches es un hallazgo de auditoría antes de ser un problema técnico, y el guion de restauración es donde se arregla, no en una herramienta nueva. Si quieres que miremos tu parque por fecha de última actualización y no por versión, hablamos: sale una tabla y una lista de huérfanas, y a veces la lista está vacía y te lo decimos.
Fuentes (verificadas el 28 de octubre de 2026): aviso MC1491763, «Prepare for Windows Update certificate rotation in 2027», publicado el 8 de octubre de 2026 — fechas de caducidad del 17 de mayo y 19 de junio de 2027, requisitos por familia (ninguno en Windows 11 25H2 y posteriores; septiembre de 2025 en Windows 11 24H2 y Windows Server 2025; julio de 2026 en el resto en soporte, con el 17 de mayo para Windows 10 Enterprise 2019 LTSC, Windows Server 2019 y 2016), la frase «Devices must contain the replacement certificates…» y la exclusión de los equipos atendidos por WSUS; recogido en el Windows IT Pro Blog de Microsoft, en Help Net Security (12-10-2026) y en PCWorld. Fin de servicio de Windows 11 23H2 en Enterprise, Education e IoT Enterprise el 10 de noviembre de 2026 — ciclo de vida de Microsoft. Fin del soporte extendido de Windows Server 2016 el 12 de enero de 2027, siendo la actualización de enero de 2027 la última — blog de Windows Server. La lectura sobre plantillas, máquinas apagadas y restauraciones es nuestra y está señalada como tal en el texto.
¿Cuántas máquinas tienes que no han hablado con nadie en noventa días?
Si la respuesta es «no sabría decirte», eso es el trabajo de una tarde y es la mitad de este problema. Sacamos el inventario por fecha de última actualización, separamos el lote de mayo del de junio y te decimos qué plantillas hay que volver a sellar. Con la herramienta que ya tengas.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN