Actualizaciones de Windows: WannaCry tenía parche disponible 59 días antes y aun así infectó 200.000 equipos

Las actualizaciones de Windows son la primera barrera frente a vulnerabilidades activamente explotadas: WannaCry infectó 200.000 equipos en 150 países en 2017 usando un fallo para el que existía parche disponible 59 días antes. En Seguridad en mi PC documentamos cómo desde 2021 el tiempo medio entre la publicación de una vulnerabilidad y su explotación activa se mide en días, y cómo tres métodos de Windows y PowerShell pueden automatizar el ciclo de parcheo sin intervención manual. Todas las guías para mantener tu sistema protegido están en nuestra sección de actualizaciones y seguridad de Windows.

📅 2026 · 🕐 8 minutos de lectura

Las actualizaciones de Windows son esenciales para corregir vulnerabilidades, mejorar el rendimiento y proteger el sistema frente a virus, malware y ataques informáticos. En esta guía aprenderás a gestionar el ciclo de parcheo correctamente, automatizarlo con PowerShell y entender por qué no aplicar los parches a tiempo puede ser catastrófico. Es un tema que cubrimos también en nuestra sección de ciberseguridad.

Mantener Windows al día es la base de cualquier estrategia de gestión de vulnerabilidades. Complementa esta guía con el hardening de Windows 11 y la correcta configuración de Windows Defender.

📌 ¿Por qué son importantes las actualizaciones de Windows?

Aplicar las actualizaciones de Windows a tiempo cierra vulnerabilidades CVE antes de que los atacantes las exploten masivamente. Un CVE (Common Vulnerabilities and Exposures) sin parchear es una vulnerabilidad conocida, documentada y con exploits disponibles en repositorios públicos: el único paso que separa al atacante del sistema es que el administrador no haya aplicado el parche correspondiente.

• ✔ Las actualizaciones de Windows cierran vulnerabilidades CVE antes de que sean explotadas masivamente por ransomware o actores APT
• ✔ Reducen la ventana de explotación; sin parche, cualquier CVE publicado es un vector activo desde el primer día
• ✔ Mejoran la estabilidad del sistema operativo y corrigen errores (bugs) en componentes críticos
• ✔ Actualizan controladores (drivers) y firmware del hardware con correcciones de seguridad
• ✔ Añaden mejoras en Microsoft Defender y otros componentes de seguridad integrados en Windows

🚨 Riesgos de no aplicar las actualizaciones de Windows

Estos son los cuatro casos más documentados que muestran el coste real de retrasar los parches críticos:

⚙️ Tipos de actualizaciones de Windows disponibles

Las actualizaciones se clasifican en seis tipos según su función y prioridad. Conocerlos ayuda a entender qué parches no se pueden aplazar y cuáles admiten más flexibilidad:

🔐 ¿Cómo gestionar y automatizar las actualizaciones de Windows?

Existen tres enfoques complementarios: la configuración nativa del sistema, la programación de reinicios y la automatización completa con PowerShell mediante el módulo PSWindowsUpdate.

🛠️ Método 1: Activar las actualizaciones de Windows automáticas

1. Abre Configuración → Windows Update
2. Activa Actualizaciones automáticas para que el ciclo se aplique sin intervención manual
3. Configura Horas activas para evitar reinicios durante el trabajo
4. Activa también Recibir actualizaciones de otros productos de Microsoft para parchear Office, Defender y otros componentes

⏰ Método 2: Programar reinicios para no interrumpir el trabajo

• Ve a Configuración → Windows Update → Opciones avanzadas
• Configura un horario de reinicio fuera de tus horas de trabajo para completar la instalación de parches pendientes
• Activa Notificarme cuando sea necesario reiniciar para no dejar actualizaciones a medias

💻 Método 3: Automatizar las actualizaciones de Windows con PowerShell y PSWindowsUpdate

El módulo PSWindowsUpdate permite gestionar Windows Update por completo desde la línea de comandos, con control detallado sobre qué actualizaciones instalar y verificación del historial de actualizaciones:

# Instalar modulo PSWindowsUpdate (solo primera vez, requiere PowerShell como administrador)
Install-Module PSWindowsUpdate -Force

# Ver actualizaciones de Windows pendientes con su KB y descripcion
Get-WindowsUpdate

# Instalar todas las actualizaciones de Windows automaticamente con reinicio si es necesario
Install-WindowsUpdate -AcceptAll -AutoReboot

# Verificar el historial de actualizaciones instaladas (ultimas 20)
Get-WUHistory | Select-Object -First 20 | Format-Table Date, Title, Status

⚙️ Script completo: Vigilancia automática de Windows Update con tareas programadas

A continuación encontrarás un script PowerShell completo y unificado que no fuerza instalaciones agresivas, sino que vigila el estado del ciclo de actualizaciones de Windows y alerta cuando algo no está bien: si alguien ha deshabilitado el servicio Windows Update, si hay un reinicio pendiente sin aplicar desde hace días, si pasan más de 45 días sin recibir parches o si quedan parches pendientes de instalar. Esta estrategia es la más segura: el ciclo oficial de Windows Update sigue encargándose del parcheo, pero tú tienes trazabilidad completa de su funcionamiento mediante tres tareas programadas que se ejecutan en cada inicio del equipo, en cada inicio de sesión y cada hora.

📅 Tareas programadas que crea este script de vigilancia

El script registra tres tareas independientes en el Programador de tareas de Windows. Cada una se ejecuta en un disparador distinto para garantizar la cobertura completa de la vigilancia del ciclo de parcheo:

📥 Pasos para instalar y activar la vigilancia de actualizaciones de Windows

1. Abre PowerShell como administrador: pulsa la tecla Windows, escribe PowerShell, haz clic derecho sobre Windows PowerShell y selecciona Ejecutar como administrador.
2. Permite la ejecución de scripts en la sesión actual (no afecta a futuras sesiones):
   Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass
3. Crea la carpeta de scripts del sistema: el script se instalará en C:\Scripts\ para que las tareas programadas lo encuentren siempre en la misma ruta:
   New-Item -ItemType Directory -Path "C:\Scripts" -Force
4. Crea el archivo del script: abre el Bloc de notas, pega el código que verás más abajo y guárdalo como Update-Check.ps1 directamente en C:\Scripts\. Asegúrate de que el tipo de archivo sea Todos los archivos, no .txt.
5. Ejecuta el script por primera vez desde PowerShell (esto hará la primera verificación Y creará las tres tareas programadas):
   C:\Scripts\Update-Check.ps1
6. Verifica que las tres tareas programadas se crearon correctamente:
   Get-ScheduledTask -TaskName "Update-Check-*"
7. Revisa el log y el CSV histórico: C:\Logs\update-check.log contiene los resultados detallados y C:\Logs\update-check-historico.csv el resumen de cada ejecución.
8. Reinicia el equipo: la tarea de inicio se ejecutará automáticamente y la vigilancia quedará activa 24/7.

💻 Script de vigilancia de Windows Update (copia y pega)

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/PSWindowsUpdate.txt" -OutFile "$HOME\pswindowsupdate.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\pswindowsupdate.ps1"

En caso de que la terminal no devuleva nada Get-Content C:\Logs\update-check.log -Tail 30 

↩️ Script de reversión (elimina las 3 tareas programadas)

Si necesitas desactivar la vigilancia automática (por ejemplo, para diagnosticar un problema o usar una solución corporativa de gestión de parches), ejecuta este script. Importante: este script no modifica la configuración de Windows Update, solo elimina las tareas de vigilancia y preserva el log y el CSV histórico para consulta posterior.

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/PSWindowsUpdate.txt" -OutFile "$HOME\pswindowsupdate.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\pswindowsupdate.ps1"

⚠️ Riesgos y efectos reales del script de vigilancia

Este script de vigilancia es uno de los más conservadores de la serie: es de solo lectura con una única acción correctiva. Lee el estado de los servicios, el registro y el historial de parches, y solo interviene si detecta que un servicio crítico ha sido deshabilitado (lo reactiva en modo manual). No fuerza instalaciones, no reinicia el equipo y no modifica la configuración del ciclo de parcheo.

En equipos domésticos o profesionales sin solución corporativa de gestión de parches, este script es seguro y proporciona la trazabilidad completa del ciclo recomendada por organismos como CISA y NIST: detecta en menos de una hora si Windows Update ha dejado de funcionar, si alguien lo ha deshabilitado, o si el equipo lleva demasiados días sin recibir las actualizaciones de Windows críticas.

🔎 ¿Cómo verificar que la vigilancia de actualizaciones de Windows está activa?

Test-Path "$HOME\pswindowsupdate.ps1"

🧠 Buenas prácticas para mantener las actualizaciones de Windows al día

Estas son las reglas básicas que toda gestión sana del ciclo de parcheo debe seguir:

• 🚨 No retrases los parches de seguridad críticos del Patch Tuesday, la ventana de explotación entre publicación del CVE y su uso activo se mide en días según el Attack Intelligence Report 2024
• 🔄 Reinicia cuando el sistema lo solicite, muchas actualizaciones no se aplican hasta que el reinicio pendiente se completa; dejar parches sin activar equivale a no haberlos instalado
• 🔍 Verifica parches pendientes regularmente con Get-WindowsUpdate para detectar parches que no se instalaron automáticamente
• 🖥️ Mantén los drivers actualizados, los controladores desactualizados también tienen vulnerabilidades CVE documentadas y pueden ser vectores de escalación de privilegios
• 📋 Revisa el historial de actualizaciones mensualmente con Get-WUHistory para confirmar que los parches del Patch Tuesday se instalaron correctamente
• 📊 Revisa el CSV de vigilancia periódicamente: si el campo DiasSinParche sube por encima de 45 o ServiciosDeshabilit es distinto de 0, algo está interfiriendo con el ciclo de parcheo
• 🛡️ Combina con Windows Defender y Microsoft Defender para protección en tiempo real frente a amenazas zero-day mientras llega la próxima ronda de parches
• 🔒 Aplica el hardening de cuentas Windows como capa adicional de gestión de vulnerabilidades

✅ Checklist mensual de actualizaciones de Windows

🆚 Sistema actualizado vs sin parchear: el impacto de las actualizaciones de Windows

La diferencia entre un sistema parcheado al día y otro sin parchear se ve claramente en superficie de ataque, riesgo de ransomware y trazabilidad del ciclo de parcheo:

🏁 Conclusión

Mantener Windows actualizado es una de las medidas de gestión de vulnerabilidades más importantes y de menor coste que puedes aplicar. Los casos de WannaCry y PrintNightmare demuestran que las consecuencias de no parchear a tiempo pueden ser devastadoras. Según la alerta oficial de CISA sobre el ataque WannaCry de 2017, el parche MS17-010 llevaba casi dos meses disponible cuando se produjo el brote; la única diferencia entre los equipos infectados y los no infectados fue haber aplicado las actualizaciones de Windows correspondientes.

Lo más valioso de la combinación PSWindowsUpdate + script de vigilancia de Windows Update es que convierte una tarea que la mayoría pospone indefinidamente en un proceso con trazabilidad completa. Las tres tareas programadas (inicio, logon y cada hora) no fuerzan instalaciones agresivas, pero garantizan que el servicio Windows Update sigue activo y que sabrás en menos de 60 minutos si alguien lo ha deshabilitado, si el equipo lleva demasiado tiempo sin parchear o si hay un reinicio pendiente olvidado.

• 🔒 No retrases nunca un parche de seguridad crítico del Patch Tuesday: la ventana de explotación entre publicación del CVE y uso activo es de días, no semanas
• 🔒 Instala PSWindowsUpdate y automatiza con Install-WindowsUpdate -AcceptAll -AutoReboot: es la forma más eficaz de garantizar el ciclo de actualizaciones de Windows sin intervención manual
• 🔒 Reinicia siempre cuando el sistema lo solicite: los parches con reinicio pendiente no están activos y la vulnerabilidad CVE sigue abierta hasta completar el reinicio
• 🔒 Activa las tres tareas programadas de vigilancia: te dan trazabilidad completa del ciclo de actualizaciones de Windows y detectan en menos de una hora si algún componente de Windows Update ha dejado de funcionar
• 🔒 Combina con el hardening de Windows 11: las actualizaciones de Windows cierran vulnerabilidades CVE y el hardening reduce la superficie de ataque; son capas complementarias de seguridad
• 🔒 Verifica con Get-WUHistory mensualmente: confirma que las actualizaciones de Windows del Patch Tuesday y los parches fuera de banda de emergencia se instalaron correctamente

Comparte este artículo con quien siga posponiendo las actualizaciones de Windows. WannaCry infectó 200.000 equipos con un parche de seguridad disponible casi dos meses antes: el coste de aplicar las actualizaciones de Windows es cero, el de no hacerlo puede ser catastrófico.

❓ Preguntas frecuentes sobre actualizaciones de Windows

¿Es obligatorio instalar las actualizaciones de Windows?

👉 No es obligatorio, pero es altamente recomendable. Las actualizaciones de Windows de seguridad corrigen vulnerabilidades CVE activamente explotadas. No instalarlas es dejar abierta la ventana de explotación de forma innecesaria, asumiendo un riesgo documentado que puede evitarse con un ciclo de actualizaciones de Windows mensual.

¿Qué pasa si no actualizo Windows?

👉 Tu equipo queda expuesto a vulnerabilidades CVE conocidas que los atacantes explotan en días con herramientas públicas. WannaCry y NotPetya son ejemplos reales: ambos usaron el mismo CVE con puntuación CVSS 9.3 para el que existían las actualizaciones de Windows disponibles meses antes del brote.

¿Se puede automatizar Windows Update?

👉 Sí, desde la Configuración de Windows activando las actualizaciones automáticas, o mediante PowerShell con el módulo PSWindowsUpdate para mayor control sobre qué actualizaciones de Windows instalar, cuándo ejecutar el ciclo de parcheo y cómo verificar el historial de actualizaciones instaladas.

¿Las actualizaciones afectan al rendimiento del sistema?

👉 Generalmente lo mejoran. Las actualizaciones de Windows acumulativas incluyen correcciones de errores y optimizaciones de rendimiento acumuladas. Algunas actualizaciones de características pueden requerir reinicio, pero el impacto negativo en rendimiento es excepcional y temporal. Los sistemas sin parchear acumulan bugs y errores que sí degradan el rendimiento con el tiempo.

¿Con qué frecuencia publica Microsoft parches de seguridad?

👉 Microsoft publica actualizaciones de seguridad el segundo martes de cada mes en el ciclo Patch Tuesday. Para vulnerabilidades críticas con puntuación CVSS alta y explotación activa confirmada puede publicar parches fuera de banda de carácter urgente en cualquier momento del mes, sin esperar al siguiente Patch Tuesday.

¿Cómo verifico qué parches de Windows tengo pendientes?

👉 Desde Configuración → Windows Update → Buscar actualizaciones. O mediante PowerShell ejecutando Get-WindowsUpdate tras instalar el módulo PSWindowsUpdate, que devuelve un listado detallado con los identificadores KB, descripción del CVE corregido y tamaño de cada parche pendiente.

¿Qué es un reinicio pendiente y por qué es importante aplicarlo?

👉 Un reinicio pendiente significa que hay parches instalados cuyos cambios en el kernel o en componentes críticos del sistema no se activarán hasta completar el reinicio. Mientras el reinicio esté pendiente, la vulnerabilidad CVE que ese parche corrige sigue técnicamente activa. Reiniciar es la última fase del ciclo de parcheo, no un paso opcional.

¿Por qué la tarea de vigilancia se ejecuta cada hora?

👉 Porque una hora es el intervalo óptimo entre tiempo de reacción y coste sobre el sistema. Consultar el catálogo de Windows Update dura unos pocos segundos y consume muy pocos MB de red: 24 consultas diarias es una carga marginal. A cambio, si malware o un tercero deshabilita wuauserv para impedir que el equipo reciba parches, el script lo detecta y lo reactiva en menos de 60 minutos. Si prefieres un intervalo mayor (cada 3, 6 o 12 horas), puedes editarlo directamente en el Programador de tareas sin tocar el script.

¿Las tres tareas programadas ralentizan el equipo o consumen mucha red?

👉 No de forma perceptible. Cada ejecución dura entre 5 y 15 segundos, se realiza en background como SYSTEM y en modo oculto (sin ventana visible). La tarea de inicio y la de logon no consultan el catálogo remoto, solo verifican el estado local de servicios y registro; la tarea horaria sí consulta el catálogo pero consume pocos MB por ejecución. El total diario (24 consultas horarias) suma unos pocos minutos de CPU y unos MB de red; es marginal incluso en conexiones con cuota de datos moderada.

¿Cómo desactivo las tareas programadas si quiero parar la vigilancia?

👉 Tienes dos opciones. La rápida: ejecuta el script de reversión incluido en esta guía, que elimina las tres tareas (Update-Check-Inicio, Update-Check-Logon y Update-Check-Horaria) en un solo paso. La manual: abre el Programador de tareas (Win+R → taskschd.msc), localiza las tres tareas en la Biblioteca y pulsa Eliminar en cada una. La configuración de Windows Update sigue activa por seguridad y los logs históricos se conservan en C:\Logs\.

¿Puedo cambiar la frecuencia de la tarea horaria si me parece excesiva?

👉 Sí. Abre el Programador de tareas, localiza Update-Check-Horaria, ve a la pestaña Desencadenadores, edita el desencadenador y cambia el campo "Repetir cada" a 2 horas, 6 horas, 12 horas o el intervalo que prefieras. También puedes desactivar esa tarea en concreto y dejar solo las dos basadas en eventos (inicio y logon), aunque perderás la vigilancia continua entre sesiones. Cada hora es el equilibrio recomendado en este escenario porque garantiza que, si malware o un tercero deshabilita wuauserv, la desviación se detecta y corrige en menos de 60 minutos.