Actualizaciones de Windows: WannaCry tenía parche disponible 59 días antes y aun así infectó 200.000 equipos

Las actualizaciones de Windows son la primera barrera frente a vulnerabilidades activamente explotadas: WannaCry infectó 200.000 equipos en 150 países en 2017 usando un fallo para el que existía parche disponible 59 días antes. En Seguridad en mi PC documentamos cómo desde 2021 el tiempo medio entre la publicación de una vulnerabilidad y su explotación activa se mide en días, y cómo tres métodos de Windows y PowerShell pueden automatizar el parcheo completo sin intervención manual. Todas las guías para mantener tu sistema protegido están en nuestra sección de actualizaciones y seguridad de Windows, y puedes consultar también el catálogo completo de guías de Windows Update y seguridad Windows disponibles en el sitio.

📅 2026 · 🕐 8 minutos de lectura

Las actualizaciones de Windows son esenciales para corregir vulnerabilidades, mejorar el rendimiento y proteger el sistema frente a virus, malware y ataques informáticos. En esta guía aprenderás a gestionar el ciclo de parcheo correctamente, automatizarlo con PowerShell y entender por qué no aplicar los parches a tiempo puede ser catastrófico. Es un tema que cubrimos también en nuestra sección de ciberseguridad y en todos los contenidos etiquetados como ciberseguridad.

Las actualizaciones de Windows son la base de cualquier estrategia de gestión de vulnerabilidades. Complementa esta guía con el hardening de Windows 11 y la correcta configuración de Windows Defender.

📌 ¿Por qué son importantes las actualizaciones de Windows?

Aplicar los parches de seguridad a tiempo cierra vulnerabilidades CVE antes de que los atacantes las exploten masivamente. Un CVE (Common Vulnerabilities and Exposures) sin parchear es una vulnerabilidad conocida, documentada y con exploits disponibles en repositorios públicos: el único paso que separa al atacante del sistema es que el administrador no haya aplicado el parche de seguridad correspondiente.

• ✔ Cierran vulnerabilidades CVE antes de que sean explotadas masivamente por ransomware o actores APT
• ✔ Reducen la ventana de explotación; sin parche, cualquier CVE publicado es un vector activo desde el primer día
• ✔ Mejoran la estabilidad del sistema operativo y corrigen errores (bugs) en componentes críticos
• ✔ Actualizan controladores (drivers) y firmware del hardware con correcciones de seguridad
• ✔ Añaden mejoras en Microsoft Defender y otros componentes de seguridad integrados en Windows

🚨 Riesgos de no aplicar las actualizaciones de Windows

⚙️ Tipos de actualizaciones disponibles en Windows

🔐 ¿Cómo gestionar y automatizar Windows Update?

🛠️ Método 1: Activar actualizaciones automáticas

1. Abre Configuración → Windows Update
2. Activa Actualizaciones automáticas para que el ciclo de parcheo se ejecute sin intervención manual
3. Configura Horas activas para evitar reinicios durante el trabajo
4. Activa también Recibir actualizaciones de otros productos de Microsoft para parchear Office, Defender y otros componentes

⏰ Método 2: Programar reinicios para no interrumpir el trabajo

• Ve a Configuración → Windows Update → Opciones avanzadas
• Configura un horario de reinicio fuera de tus horas de trabajo para completar la instalación de parches pendientes
• Activa Notificarme cuando sea necesario reiniciar para no dejar actualizaciones a medias

💻 Método 3: Automatizar con PowerShell y PSWindowsUpdate

El módulo PSWindowsUpdate permite gestionar el ciclo de parcheo completo desde la línea de comandos, con control detallado sobre qué actualizaciones instalar y verificación del historial de actualizaciones:

# Instalar modulo PSWindowsUpdate (solo primera vez, requiere PowerShell como administrador)
Install-Module PSWindowsUpdate -Force

# Ver actualizaciones de Windows pendientes con su KB y descripcion
Get-WindowsUpdate

# Instalar todas las actualizaciones de Windows automaticamente con reinicio si es necesario
Install-WindowsUpdate -AcceptAll -AutoReboot

# Verificar el historial de actualizaciones instaladas (ultimas 20)
Get-WUHistory | Select-Object -First 20 | Format-Table Date, Title, Status

⚙️ Script completo: Vigilancia automática de Windows Update con tareas programadas

A continuación encontrarás un script PowerShell completo y unificado que no fuerza instalaciones agresivas, sino que vigila el estado del ciclo de parcheo y alerta cuando algo no está bien: si alguien ha deshabilitado el servicio Windows Update, si hay un reinicio pendiente sin aplicar desde hace días, si pasan más de 45 días sin recibir parches o si quedan actualizaciones pendientes de instalar. Esta estrategia es la más segura: el ciclo oficial de Windows Update sigue encargándose del parcheo, pero tú tienes trazabilidad completa de su funcionamiento mediante tres tareas programadas que se ejecutan en cada inicio del equipo, en cada inicio de sesión y cada hora.

📅 Tareas programadas que crea este script

El script registra tres tareas independientes en el Programador de tareas de Windows. Cada una se ejecuta en un disparador distinto para garantizar la cobertura completa de la vigilancia del ciclo de parcheo:

📥 Pasos para instalar y activar la vigilancia automática

1. Abre PowerShell como administrador: pulsa la tecla Windows, escribe PowerShell, haz clic derecho sobre Windows PowerShell y selecciona Ejecutar como administrador.
2. Permite la ejecución de scripts en la sesión actual (no afecta a futuras sesiones):
   Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass
3. Crea la carpeta de scripts del sistema: el script se instalará en C:\Scripts\ para que las tareas programadas lo encuentren siempre en la misma ruta:
   New-Item -ItemType Directory -Path "C:\Scripts" -Force
4. Crea el archivo del script: abre el Bloc de notas, pega el código que verás más abajo y guárdalo como Update-Check.ps1 directamente en C:\Scripts\. Asegúrate de que el tipo de archivo sea Todos los archivos, no .txt.
5. Ejecuta el script por primera vez desde PowerShell (esto hará la primera verificación Y creará las tres tareas programadas):
   C:\Scripts\Update-Check.ps1
6. Verifica que las tres tareas programadas se crearon correctamente:
   Get-ScheduledTask -TaskName "Update-Check-*"
7. Revisa el log y el CSV histórico: C:\Logs\update-check.log contiene los resultados detallados y C:\Logs\update-check-historico.csv el resumen de cada ejecución.
8. Reinicia el equipo: la tarea de inicio se ejecutará automáticamente y la vigilancia quedará activa 24/7.

💻 Script de vigilancia de Windows Update (copia y pega)

# ============================================================
# Script: Vigilancia de Windows Update + 3 tareas programadas
# Autor:  seguridadenmipc.com
# Compat: Windows 10 / 11 / Server 2019+
# Uso:    Ejecutar como administrador (1a vez)
#         Despues se ejecuta solo: inicio, logon y cada hora
# Ruta:   C:\Scripts\Update-Check.ps1
# Objetivo: NO fuerza instalaciones. Solo vigila el estado
#           de Windows Update y avisa si algo esta mal.
# ============================================================

# 1. Verificar privilegios de administrador
if (-not ([Security.Principal.WindowsPrincipal] `
    [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole(`
    [Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Write-Host "[X] Ejecuta este script como Administrador." -ForegroundColor Red
    exit
}

# 2. Preparar log y CSV historico
$logDir = "C:\Logs"
if (-not (Test-Path $logDir)) { New-Item -ItemType Directory -Path $logDir | Out-Null }
$log = "$logDir\update-check.log"
$csv = "$logDir\update-check-historico.csv"
Start-Transcript -Path $log -Append | Out-Null

$disparador = if ($args[0]) { $args[0] } else { "Manual" }
Write-Host "=== Vigilancia de Windows Update ===" -ForegroundColor Cyan
Write-Host "Fecha: $(Get-Date)  |  Disparador: $disparador" -ForegroundColor Gray

# 3. Verificar servicios criticos de Windows Update
Write-Host "`n--- Estado de servicios ---" -ForegroundColor Yellow
$serviciosCriticos = @{
    "wuauserv" = "Windows Update"
    "BITS"     = "Background Intelligent Transfer Service"
    "UsoSvc"   = "Update Orchestrator"
    "cryptsvc" = "Cryptographic Services"
}
$serviciosMal = 0
foreach ($svc in $serviciosCriticos.Keys) {
    try {
        $s = Get-Service -Name $svc -ErrorAction Stop
        $startType = (Get-WmiObject Win32_Service -Filter "Name='$svc'").StartMode
        if ($startType -eq "Disabled") {
            Write-Host "[!] $($serviciosCriticos[$svc]) DESHABILITADO. Reactivando..." -ForegroundColor Red
            Set-Service -Name $svc -StartupType Manual
            $serviciosMal++
        } else {
            Write-Host "[OK] $($serviciosCriticos[$svc]): $($s.Status) / $startType" -ForegroundColor Green
        }
    } catch {
        Write-Host "[X] No se encontro $svc" -ForegroundColor Red
    }
}

# 4. Comprobar reinicio pendiente por actualizacion
Write-Host "`n--- Reinicio pendiente ---" -ForegroundColor Yellow
$rebootPending = $false
$keysReboot = @(
    "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\RebootPending",
    "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired"
)
foreach ($k in $keysReboot) {
    if (Test-Path $k) { $rebootPending = $true }
}
if ($rebootPending) {
    Write-Host "[!] Hay actualizaciones instaladas pendientes de REINICIO." -ForegroundColor Red
    Write-Host "    Reinicia el equipo para activar los parches." -ForegroundColor Yellow
} else {
    Write-Host "[OK] Sin reinicio pendiente." -ForegroundColor Green
}

# 5. Listar actualizaciones pendientes (consulta, no instala)
Write-Host "`n--- Actualizaciones pendientes ---" -ForegroundColor Yellow
$pendientes = 0
try {
    $session = New-Object -ComObject Microsoft.Update.Session
    $searcher = $session.CreateUpdateSearcher()
    $result = $searcher.Search("IsInstalled=0 and Type='Software'")
    $pendientes = $result.Updates.Count
    if ($pendientes -gt 0) {
        Write-Host "[!] $pendientes actualizaciones pendientes de instalar." -ForegroundColor Yellow
        foreach ($u in $result.Updates) {
            Write-Host "    - $($u.Title)" -ForegroundColor Gray
        }
    } else {
        Write-Host "[OK] Sistema al dia: sin actualizaciones pendientes." -ForegroundColor Green
    }
} catch {
    Write-Host "[!] No se pudo consultar Windows Update: $_" -ForegroundColor Yellow
}

# 6. Dias desde el ultimo parche instalado
Write-Host "`n--- Ultimo parche instalado ---" -ForegroundColor Yellow
$diasSinParche = 0
$ultimaKB = "N/A"
try {
    $ultimoHotfix = Get-HotFix | Where-Object { $_.InstalledOn } |
                    Sort-Object InstalledOn -Descending | Select-Object -First 1
    if ($ultimoHotfix -and $ultimoHotfix.InstalledOn) {
        $diasSinParche = (New-TimeSpan -Start $ultimoHotfix.InstalledOn -End (Get-Date)).Days
        $ultimaKB = $ultimoHotfix.HotFixID
        if ($diasSinParche -gt 45) {
            Write-Host "[X] CRITICO: $diasSinParche dias desde el ultimo parche ($ultimaKB)." -ForegroundColor Red
            Write-Host "    Revisa Windows Update urgentemente." -ForegroundColor Red
        } elseif ($diasSinParche -gt 14) {
            Write-Host "[!] $diasSinParche dias desde el ultimo parche ($ultimaKB)." -ForegroundColor Yellow
        } else {
            Write-Host "[OK] Ultimo parche hace $diasSinParche dias: $ultimaKB." -ForegroundColor Green
        }
    }
} catch { Write-Host "[!] No se pudo consultar el historial: $_" -ForegroundColor Yellow }

# 7. Verificar configuracion de actualizaciones automaticas
Write-Host "`n--- Configuracion de Windows Update ---" -ForegroundColor Yellow
try {
    $auOptions = Get-ItemProperty `
        "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" `
        -Name AUOptions -ErrorAction SilentlyContinue
    if ($auOptions.AUOptions -eq 1) {
        Write-Host "[!] Actualizaciones automaticas DESACTIVADAS manualmente." -ForegroundColor Red
    } else {
        Write-Host "[OK] Actualizaciones automaticas activas." -ForegroundColor Green
    }
} catch {}

# 8. Anadir resumen al CSV historico
$resumen = [PSCustomObject]@{
    Fecha                = (Get-Date -Format "yyyy-MM-dd HH:mm:ss")
    Disparador           = $disparador
    ServiciosDeshabilit  = $serviciosMal
    ReinicioPendiente    = $rebootPending
    ActualizPendientes   = $pendientes
    DiasSinParche        = $diasSinParche
    UltimaKB             = $ultimaKB
}
$resumen | Export-Csv -Path $csv -Append -NoTypeInformation -Encoding UTF8
Write-Host "[OK] Resumen anadido al CSV historico." -ForegroundColor Green

# 9. CREAR LAS 3 TAREAS PROGRAMADAS (solo si no existen)
$scriptPath = "C:\Scripts\Update-Check.ps1"

# 9a. Tarea: al iniciar Windows
try {
    if (-not (Get-ScheduledTask -TaskName "Update-Check-Inicio" -ErrorAction SilentlyContinue)) {
        $action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
            -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$scriptPath`" Inicio"
        $trigger = New-ScheduledTaskTrigger -AtStartup
        $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" `
            -LogonType ServiceAccount -RunLevel Highest
        $settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries `
            -DontStopIfGoingOnBatteries -StartWhenAvailable `
            -ExecutionTimeLimit (New-TimeSpan -Minutes 10)
        Register-ScheduledTask -TaskName "Update-Check-Inicio" `
            -Action $action -Trigger $trigger -Principal $principal -Settings $settings `
            -Description "Vigilancia de Windows Update al arranque - seguridadenmipc.com" | Out-Null
        Write-Host "[OK] Tarea 'Update-Check-Inicio' creada (al arrancar)." -ForegroundColor Green
    } else {
        Write-Host "[i] Tarea 'Update-Check-Inicio' ya existe." -ForegroundColor Cyan
    }
} catch { Write-Host "[X] Error en tarea Inicio: $_" -ForegroundColor Red }

# 9b. Tarea: al iniciar sesion
try {
    if (-not (Get-ScheduledTask -TaskName "Update-Check-Logon" -ErrorAction SilentlyContinue)) {
        $action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
            -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$scriptPath`" Logon"
        $trigger = New-ScheduledTaskTrigger -AtLogOn
        $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" `
            -LogonType ServiceAccount -RunLevel Highest
        $settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries `
            -DontStopIfGoingOnBatteries -StartWhenAvailable `
            -ExecutionTimeLimit (New-TimeSpan -Minutes 10)
        Register-ScheduledTask -TaskName "Update-Check-Logon" `
            -Action $action -Trigger $trigger -Principal $principal -Settings $settings `
            -Description "Vigilancia de Windows Update al iniciar sesion - seguridadenmipc.com" | Out-Null
        Write-Host "[OK] Tarea 'Update-Check-Logon' creada (al iniciar sesion)." -ForegroundColor Green
    } else {
        Write-Host "[i] Tarea 'Update-Check-Logon' ya existe." -ForegroundColor Cyan
    }
} catch { Write-Host "[X] Error en tarea Logon: $_" -ForegroundColor Red }

# 9c. Tarea: cada hora
try {
    if (-not (Get-ScheduledTask -TaskName "Update-Check-Horaria" -ErrorAction SilentlyContinue)) {
        $action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
            -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$scriptPath`" Horaria"
        $trigger = New-ScheduledTaskTrigger -Once -At (Get-Date).AddMinutes(10) `
            -RepetitionInterval (New-TimeSpan -Hours 1)
        $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" `
            -LogonType ServiceAccount -RunLevel Highest
        $settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries `
            -DontStopIfGoingOnBatteries -StartWhenAvailable `
            -ExecutionTimeLimit (New-TimeSpan -Minutes 10)
        Register-ScheduledTask -TaskName "Update-Check-Horaria" `
            -Action $action -Trigger $trigger -Principal $principal -Settings $settings `
            -Description "Vigilancia de Windows Update cada hora - seguridadenmipc.com" | Out-Null
        Write-Host "[OK] Tarea 'Update-Check-Horaria' creada (cada 1h)." -ForegroundColor Green
    } else {
        Write-Host "[i] Tarea 'Update-Check-Horaria' ya existe." -ForegroundColor Cyan
    }
} catch { Write-Host "[X] Error en tarea Horaria: $_" -ForegroundColor Red }

Write-Host "`n[OK] Vigilancia activa. Disparador: $disparador" -ForegroundColor Green
Write-Host "     Log:    $log" -ForegroundColor Gray
Write-Host "     CSV:    $csv" -ForegroundColor Gray
Stop-Transcript | Out-Null

↩️ Script de reversión (elimina las 3 tareas programadas)

Si necesitas desactivar la vigilancia automática (por ejemplo, para diagnosticar un problema o usar una solución corporativa de gestión de parches), ejecuta este script. Importante: este script no modifica la configuración de Windows Update, solo elimina las tareas de vigilancia y preserva el log y el CSV histórico para consulta posterior.

# ============================================================
# Revertir vigilancia de Windows Update
# ============================================================

# Eliminar las 3 tareas programadas
$tareas = @("Update-Check-Inicio", "Update-Check-Logon", "Update-Check-Horaria")
foreach ($t in $tareas) {
    if (Get-ScheduledTask -TaskName $t -ErrorAction SilentlyContinue) {
        Unregister-ScheduledTask -TaskName $t -Confirm:$false
        Write-Host "[OK] Tarea $t eliminada." -ForegroundColor Green
    }
}

Write-Host ""
Write-Host "[OK] Vigilancia desactivada. Tareas programadas eliminadas." -ForegroundColor Green
Write-Host "    Nota: Windows Update sigue funcionando con su ciclo oficial." -ForegroundColor Yellow
Write-Host "    Logs preservados en C:\Logs\update-check.log" -ForegroundColor Cyan

⚠️ Riesgos y efectos reales del script

Este script es uno de los más conservadores de la serie: es de solo lectura con una única acción correctiva. Lee el estado de los servicios, el registro y el historial de parches, y solo interviene si detecta que un servicio crítico de Windows Update ha sido deshabilitado (lo reactiva en modo manual). No fuerza instalaciones, no reinicia el equipo y no modifica la configuración del ciclo de parcheo.

En equipos domésticos o profesionales sin solución corporativa de gestión de parches, este script es seguro y proporciona la trazabilidad completa del ciclo de parcheo recomendada por organismos como CISA y NIST: detecta en menos de una hora si Windows Update ha dejado de funcionar, si alguien lo ha deshabilitado, o si el equipo lleva demasiados días sin recibir parches críticos.

🔎 ¿Cómo verificar que la vigilancia está activa?

# Verificar que las 3 tareas programadas existen y estan activas
Get-ScheduledTask -TaskName "Update-Check-*" | `
  Select-Object TaskName, State, LastRunTime, LastTaskResult

# Consultar las ultimas ejecuciones registradas en el CSV historico
Import-Csv C:\Logs\update-check-historico.csv | Select-Object -Last 24

# Ver el log completo de la ultima ejecucion
Get-Content C:\Logs\update-check.log -Tail 60

# Ver actualizaciones pendientes manualmente
Get-WindowsUpdate

🧠 Buenas prácticas para mantener Windows siempre actualizado

• 🚨 No retrases los parches de seguridad críticos del Patch Tuesday, la ventana de explotación entre publicación del CVE y su uso activo se mide en días según el Attack Intelligence Report 2024
• 🔄 Reinicia cuando el sistema lo solicite, muchas actualizaciones no se aplican hasta que el reinicio pendiente se completa; dejar parches sin activar equivale a no haberlos instalado
• 🔍 Verifica parches pendientes regularmente con Get-WindowsUpdate para detectar actualizaciones que no se instalaron automáticamente
• 🖥️ Mantén los drivers actualizados, los controladores desactualizados también tienen vulnerabilidades CVE documentadas y pueden ser vectores de escalación de privilegios
• 📋 Revisa el historial de actualizaciones mensualmente con Get-WUHistory para confirmar que los parches del Patch Tuesday se instalaron correctamente
• 📊 Revisa el CSV de vigilancia periódicamente: si el campo DiasSinParche sube por encima de 45 o ServiciosDeshabilit es distinto de 0, algo está interfiriendo con el ciclo de parcheo
• 🛡️ Combina con Windows Defender y Microsoft Defender para protección en tiempo real frente a amenazas zero-day mientras llega el parche
• 🔒 Aplica el hardening de cuentas Windows como capa adicional de gestión de vulnerabilidades

✅ Checklist del ciclo de parcheo mensual en Windows

🆚 Sistema actualizado vs sin parchear

🏁 Conclusión

Mantener las actualizaciones de Windows al día es una de las medidas de gestión de vulnerabilidades más importantes y de menor coste que puedes aplicar. Los casos de WannaCry y PrintNightmare demuestran que las consecuencias de no cerrar la ventana de explotación a tiempo pueden ser devastadoras. Según la alerta oficial de CISA sobre el ataque WannaCry de 2017, el parche MS17-010 llevaba casi dos meses disponible cuando se produjo el brote; la única diferencia entre los equipos infectados y los no infectados fue haber aplicado ese parche de seguridad.

Lo más valioso de la combinación PSWindowsUpdate + script de vigilancia es que convierte una tarea que la mayoría pospone indefinidamente en un proceso con trazabilidad completa. Las tres tareas programadas (inicio, logon y cada hora) no fuerzan instalaciones agresivas, pero garantizan que el servicio Windows Update sigue activo y que sabrás en menos de 60 minutos si alguien lo ha deshabilitado, si el equipo lleva demasiado tiempo sin parchear o si hay un reinicio pendiente olvidado. Encuentra más guías sobre protección del sistema en nuestros contenidos de seguridad online y en todos los artículos etiquetados como ciberseguridad.

• 🔒 No retrases nunca un parche de seguridad crítico del Patch Tuesday: la ventana de explotación entre publicación del CVE y uso activo es de días, no semanas
• 🔒 Instala PSWindowsUpdate y automatiza con Install-WindowsUpdate -AcceptAll -AutoReboot: es la forma más eficaz de garantizar el ciclo de parcheo sin intervención manual
• 🔒 Reinicia siempre cuando el sistema lo solicite: los parches con reinicio pendiente no están activos y la vulnerabilidad CVE sigue abierta hasta completar el reinicio
• 🔒 Activa las tres tareas programadas de vigilancia: te dan trazabilidad completa del ciclo de parcheo y detectan en menos de una hora si algún componente de Windows Update ha dejado de funcionar
• 🔒 Combina con el hardening de Windows 11: las actualizaciones cierran vulnerabilidades CVE y el hardening reduce la superficie de ataque; son capas complementarias de seguridad
• 🔒 Verifica con Get-WUHistory mensualmente: confirma que los parches del Patch Tuesday y los parches fuera de banda de emergencia se instalaron correctamente

Comparte este artículo con quien siga posponiendo las actualizaciones de Windows. WannaCry infectó 200.000 equipos con un parche de seguridad disponible casi dos meses antes: el coste de aplicar el parche es cero, el de no hacerlo puede ser catastrófico.

❓ Preguntas frecuentes sobre actualizaciones de Windows

¿Es obligatorio instalar las actualizaciones de Windows?

👉 No es obligatorio, pero es altamente recomendable. Las actualizaciones de seguridad corrigen vulnerabilidades CVE activamente explotadas. No instalarlas es dejar abierta la ventana de explotación de forma innecesaria, asumiendo un riesgo documentado que puede evitarse con un ciclo de parcheo mensual.

¿Qué pasa si no actualizo Windows?

👉 Tu equipo queda expuesto a vulnerabilidades CVE conocidas que los atacantes explotan en días con herramientas públicas. WannaCry y NotPetya son ejemplos reales: ambos usaron el mismo CVE con puntuación CVSS 9.3 para el que existía parche disponible meses antes del brote.

¿Se puede automatizar Windows Update?

👉 Sí, desde la Configuración de Windows activando las actualizaciones automáticas, o mediante PowerShell con el módulo PSWindowsUpdate para mayor control sobre qué actualizaciones instalar, cuándo ejecutar el ciclo de parcheo y cómo verificar el historial de actualizaciones instaladas.

¿Las actualizaciones afectan al rendimiento del sistema?

👉 Generalmente lo mejoran. Las actualizaciones acumulativas incluyen correcciones de errores y optimizaciones de rendimiento acumuladas. Algunas actualizaciones de características pueden requerir reinicio, pero el impacto negativo en rendimiento es excepcional y temporal. Los sistemas sin parchear acumulan bugs y errores que sí degradan el rendimiento con el tiempo.

¿Con qué frecuencia publica Microsoft parches de seguridad?

👉 Microsoft publica actualizaciones de seguridad el segundo martes de cada mes en el ciclo Patch Tuesday. Para vulnerabilidades críticas con puntuación CVSS alta y explotación activa confirmada puede publicar parches fuera de banda de carácter urgente en cualquier momento del mes, sin esperar al siguiente Patch Tuesday.

¿Cómo verifico qué parches de Windows tengo pendientes?

👉 Desde Configuración → Windows Update → Buscar actualizaciones. O mediante PowerShell ejecutando Get-WindowsUpdate tras instalar el módulo PSWindowsUpdate, que devuelve un listado detallado con los identificadores KB, descripción del CVE corregido y tamaño de cada parche pendiente.

¿Qué es un reinicio pendiente y por qué es importante aplicarlo?

👉 Un reinicio pendiente significa que hay parches instalados cuyos cambios en el kernel o en componentes críticos del sistema no se activarán hasta completar el reinicio. Mientras el reinicio esté pendiente, la vulnerabilidad CVE que ese parche corrige sigue técnicamente activa. Reiniciar es la última fase del ciclo de parcheo, no un paso opcional.

¿Por qué la tarea de vigilancia se ejecuta cada hora?

👉 Porque una hora es el intervalo óptimo entre tiempo de reacción y coste sobre el sistema. Consultar el catálogo de Windows Update dura unos pocos segundos y consume muy pocos MB de red: 24 consultas diarias es una carga marginal. A cambio, si malware o un tercero deshabilita wuauserv para impedir que el equipo reciba parches, el script lo detecta y lo reactiva en menos de 60 minutos. Si prefieres un intervalo mayor (cada 3, 6 o 12 horas), puedes editarlo directamente en el Programador de tareas sin tocar el script.

¿Las tres tareas programadas ralentizan el equipo o consumen mucha red?

👉 No de forma perceptible. Cada ejecución dura entre 5 y 15 segundos, se realiza en background como SYSTEM y en modo oculto (sin ventana visible). La tarea de inicio y la de logon no consultan el catálogo remoto, solo verifican el estado local de servicios y registro; la tarea horaria sí consulta el catálogo pero consume pocos MB por ejecución. El total diario (24 consultas horarias) suma unos pocos minutos de CPU y unos MB de red; es marginal incluso en conexiones con cuota de datos moderada.

¿Cómo desactivo las tareas programadas si quiero parar la vigilancia?

👉 Tienes dos opciones. La rápida: ejecuta el script de reversión incluido en esta guía, que elimina las tres tareas (Update-Check-Inicio, Update-Check-Logon y Update-Check-Horaria) en un solo paso. La manual: abre el Programador de tareas (Win+R → taskschd.msc), localiza las tres tareas en la Biblioteca y pulsa Eliminar en cada una. La configuración de Windows Update sigue activa por seguridad y los logs históricos se conservan en C:\Logs\.

¿Puedo cambiar la frecuencia de la tarea horaria si me parece excesiva?

👉 Sí. Abre el Programador de tareas, localiza Update-Check-Horaria, ve a la pestaña Desencadenadores, edita el desencadenador y cambia el campo "Repetir cada" a 2 horas, 6 horas, 12 horas o el intervalo que prefieras. También puedes desactivar esa tarea en concreto y dejar solo las dos basadas en eventos (inicio y logon), aunque perderás la vigilancia continua entre sesiones. Cada hora es el equilibrio recomendado en este escenario porque garantiza que, si malware o un tercero deshabilita wuauserv, la desviación se detecta y corrige en menos de 60 minutos.