Cómo instalar y configurar Windows Server Update Services (WSUS)

Windows Server Update Services (WSUS) es el componente de Microsoft que permite la distribución centralizada de actualizaciones en dominios Active Directory, optimizando el ancho de banda y manteniendo el control total sobre qué parches se distribuyen y cuándo.

Esta guía, actualizada a 2026, cubre la instalación en Windows Server 2019, 2022 y 2025, la configuración mediante PowerShell y GUI, la gestión de clientes mediante GPO, el mantenimiento de la base de datos y las mejores prácticas para sysadmins y MSPs.

Nota importante: Microsoft anunció oficialmente la deprecación de WSUS en septiembre de 2024. El servicio sigue funcional y con soporte, pero no recibirá nuevas funcionalidades. Para entornos completamente gestionados en la nube (Azure AD / Entra ID + Intune), considera Windows Update for Business (WUfB) como alternativa que no requiere infraestructura on-premises. WSUS sigue siendo la opción adecuada para entornos tradicionales con Active Directory on-premises.

Requisitos previos de WSUS

Antes de iniciar la instalación, verifica que se cumplan los siguientes requisitos:

Requisito	Detalle
Sistema operativo	Windows Server 2019, 2022 o 2025 (miembro de dominio o independiente)
Rol del servidor	Servidor miembro del dominio AD o Domain Controller (no recomendado en producción)
Cuenta	Miembro del grupo Domain Admins o Local Administrators
Volumen dedicado	Al menos 100 GB libres en un volumen separado de C:\ para el contenido de las actualizaciones
Puertos de firewall	TCP 8530 (HTTP) o 8531 (HTTPS) abiertos desde los clientes hacia el servidor WSUS
Acceso a Internet	HTTPS hacia *.update.microsoft.com y *.windowsupdate.com desde el servidor WSUS
SQL Server (opcional)	SQL Server Express, Standard o Enterprise – preinstalado si no se usa WID

Decisiones de arquitectura

Topología: Standalone, Upstream/Downstream o Autónomo

En un entorno single-site, un único servidor WSUS es suficiente. En entornos multi-site o MSP con múltiples clientes, es posible configurar una jerarquía:

• Servidor upstream: se sincroniza directamente con Microsoft Update. Las aprobaciones definidas aquí se propagan a los servidores downstream.
• Servidor downstream (réplica): se sincroniza desde el servidor upstream y replica sus aprobaciones. Ideal para sedes remotas con ancho de banda WAN limitado.
• Servidor downstream autónomo: sincroniza el contenido desde el upstream pero gestiona sus propias aprobaciones. Ideal para MSPs que necesitan control granular por cliente.

Backend: WID (Windows Internal Database) o SQL Server?

La elección de la base de datos tiene un impacto directo en el rendimiento a largo plazo.

Criterio	WID	SQL Server
Clientes soportados	Hasta ~500 recomendados	Ilimitados
Mantenimiento de la base de datos	Limitado (solo sqlcmd)	Completo (SSMS)
Rendimiento con grandes datasets	Degradación progresiva conocida	Estable
Recomendado para	Entornos < 500 clientes	MSP, enterprise, > 500 clientes

Recomendaciones de dimensionamiento

Recurso	Mínimo	Recomendado
Disco (contenido)	100 GB (solo metadatos)	500 GB – 2 TB (depende de los productos)
RAM	8 GB	16 GB para > 500 clientes
CPU	2 núcleos	4 núcleos (WSUS es I/O-bound, no CPU-bound)
Tipo de almacenamiento	HDD	SSD – obligatorio para un rendimiento aceptable

Instalación mediante GUI (Server Manager)

Abre Server Manager y haz clic en Add Roles and Features:

En el asistente, selecciona el rol Windows Server Update Services.

En la pantalla Role Services, selecciona:

• WID Connectivity o SQL Server Connectivity (según la decisión de arquitectura)
• WSUS Services
• Management Tools (incluido automáticamente)

En la pantalla Content location, especifica la ruta del volumen dedicado:

El sistema tardará unos minutos en completar la instalación. Al finalizar, aparecerá una entrada WSUS en Server Manager.

Instalación mediante PowerShell (recomendada para MSPs y automatización)

PowerShell permite crear scripts de instalación y repetirla de forma consistente en múltiples servidores.

Con Windows Internal Database (WID):

# Instala el rol WSUS con backend WID
Install-WindowsFeature -Name UpdateServices, UpdateServices-WidDB `
    -IncludeManagementTools -Restart:$false
 
# Configuración post-instalación: ruta del contenido
# Nota: --% deshabilita el análisis de PowerShell para el resto de la línea,
# evitando problemas de manejo de comillas al pasar argumentos a wsusutil.exe
& 'C:\Program Files\Update Services\Tools\WsusUtil.exe' postinstall --% CONTENT_DIR=D:\WSUS

Con SQL Server (recomendado para MSPs y > 500 clientes):

# SQL Server debe estar preinstalado antes de ejecutar este script
Install-WindowsFeature -Name UpdateServices, UpdateServices-DB `
    -IncludeManagementTools
 
# Configuración post-instalación: conexión a la instancia SQL
& 'C:\Program Files\Update Services\Tools\WsusUtil.exe' postinstall --% SQL_INSTANCE_NAME=SRVBLOG01\SQLEXPRESS CONTENT_DIR=D:\WSUS

Después de la post-instalación, en Windows Server 2019/2022 verifica que los tipos MIME .msu y .wim estén presentes en IIS. Son necesarios para soportar la Unified Update Platform (UUP) utilizada por las actualizaciones de características de Windows 10/11 y Server 2022/2025. Si no están presentes, añade los tipos MIME mediante IIS Manager (MIME Types → Add…) o mediante PowerShell usando Add-WebConfigurationProperty. En Windows Server 2025 están incluidos por defecto.

La configuración inicial puede realizarse mediante el asistente de configuración de WSUS o mediante PowerShell. Ambos métodos se describen a continuación.

Configuración mediante GUI (asistente de configuración de WSUS)

Después de la instalación, abre la consola WSUS desde Server Manager:

Al iniciar por primera vez se presenta el asistente de configuración de WSUS. Haz clic en Next para comenzar:

Selecciona la conexión upstream. Para el primer servidor WSUS, elige Synchronize from Microsoft Update:

Configura los ajustes de proxy si está presente en tu red:

Haz clic en Start Connecting y espera a que se complete la sincronización inicial de metadatos (puede tardar varios minutos):

Selecciona solo los idiomas necesarios (normalmente solo inglés, o inglés más el idioma local):

Selecciona solo los productos presentes en tu entorno. No habilites todo.

Selecciona las clasificaciones de actualizaciones:

Configura la programación de sincronización automática (recomendado: una vez al día a las 03:00):

El asistente de configuración ha finalizado:

Configuración mediante PowerShell

# Obtener el objeto del servidor WSUS
$wsus = Get-WsusServer -Name 'SRVBLOG01' -PortNumber 8530
 
# Configurar el origen upstream (Microsoft Update)
$wsusConfig = $wsus.GetConfiguration()
$wsusConfig.SyncFromMicrosoftUpdate = $true
$wsusConfig.Save()
 
# --- Sincronización inicial de metadatos para rellenar la lista de productos/clasificaciones ---
$sub = $wsus.GetSubscription()
$sub.StartSynchronization()
 
# Esperar a que se complete la sincronización con un bucle adecuado (sin sleeps hardcoded)
do {
    Start-Sleep -Seconds 30
    $status = $sub.GetSynchronizationStatus()
    Write-Host "Sync status: $status" -ForegroundColor Cyan
} while ($status -eq 'Running')
 
# Verificar el resultado de la última sincronización antes de continuar
$lastResult = $sub.GetLastSynchronizationInfo().Result
if ($lastResult -ne 'Succeeded') {
    throw "Initial synchronization failed with result: $lastResult"
}
 
# --- Habilitar solo los productos presentes en tu entorno ---
Get-WsusProduct | Where-Object {
    $_.Product.Title -in @(
        'Windows Server 2025',
        'Windows Server 2022',
        'Windows Server 2019',
        'Windows 11',
        'Windows 10',
        'Microsoft 365 Apps for Enterprise',
        'Microsoft Defender Antivirus'
    )
} | Set-WsusProduct
 
# --- Selección de clasificaciones ---
Get-WsusClassification | Where-Object {
    $_.Classification.Title -in @(
        'Critical Updates',
        'Security Updates',
        'Definition Updates',
        'Update Rollups',
        'Service Packs'
    )
} | Set-WsusClassification
 
# --- Programar la sincronización diaria a las 03:00 ---
$sub.SynchronizeAutomatically = $true
$sub.SynchronizeAutomaticallyTimeOfDay = [TimeSpan]'03:00:00'
$sub.NumberOfSynchronizationsPerDay = 1
$sub.Save()

Las Group Policy son el método estándar para dirigir los clientes Windows hacia el servidor WSUS.

Nota: en Windows 10/11 y Windows Server 2016+, la ruta GPO para Windows Update fue reorganizada respecto a versiones anteriores.

Configuración mediante GUI (Group Policy Management Editor)

Abre Group Policy Management, crea una nueva GPO y vincúlala a la OU que contiene los equipos a gestionar con WSUS:

En el Group Policy Management Editor, navega a Computer Configuration > Administrative Templates > Windows Components > Windows Update.

En Windows 10/11 y Server 2016+, encontrarás dos subcarpetas: Manage end user experience y Manage updates offered from Windows Update (las directivas relevantes están distribuidas entre ellas como se describe a continuación).

Abre Configure Automatic Updates y configúralo de la siguiente manera:

• Estado: Enabled
• Opción: 4 – Auto download and schedule the install
• Día de instalación programado: Every day
• Hora de instalación programada: 03:00

Abre Specify intranet Microsoft update service location e introduce la dirección del servidor WSUS con el puerto 8530:

Configuración crítica para Windows 10/11: habilita la directiva Do not connect to any Windows Update Internet locations (configúrala en Enabled).

Sin esta configuración, Windows 10/11 y Server 2016+ realizan un dual-scan contra Microsoft Update, eludiendo parcialmente WSUS. Esta es la causa más común de mal funcionamiento de WSUS en entornos modernos.

Abre Enable client-side targeting y especifica el nombre del grupo WSUS al que pertenecen los equipos:

Configuración mediante PowerShell

# Crear y vincular la GPO a la OU
$gpoName = 'WSUS-Client-Configuration'
$ou      = 'OU=WSUS_tutorial,DC=THESOLVING,DC=local'
$wsusUrl = 'http://SRVBLOG01:8530'
 
New-GPO -Name $gpoName | New-GPLink -Target $ou
 
# Establecer valores de registro mediante GPO
$basePath = 'HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate'
 
Set-GPRegistryValue -Name $gpoName -Key $basePath `
    -ValueName 'WUServer' -Type String -Value $wsusUrl
Set-GPRegistryValue -Name $gpoName -Key $basePath `
    -ValueName 'WUStatusServer' -Type String -Value $wsusUrl
# Deshabilitar el dual-scan - crítico para Windows 10/11 y Server 2016+
Set-GPRegistryValue -Name $gpoName -Key $basePath `
    -ValueName 'DisableDualScan' -Type DWord -Value 1
Set-GPRegistryValue -Name $gpoName -Key "$basePath\AU" `
    -ValueName 'UseWUServer' -Type DWord -Value 1
Set-GPRegistryValue -Name $gpoName -Key "$basePath\AU" `
    -ValueName 'AUOptions' -Type DWord -Value 4

Los grupos de equipos en WSUS permiten un control granular sobre cuándo y qué actualizaciones se distribuyen. Una estrategia de distribución gradual reduce el riesgo de que un parche problemático afecte a todos los sistemas simultáneamente.

Estructura de grupos recomendada para MSPs

Abre WSUS Options y haz clic en Computers.

Selecciona Use Group Policy para asignar equipos a los grupos.

Desde el panel de WSUS, crea un nuevo grupo de equipos usando el cuadro de diálogo Add Computer Group:

Grupo	Sistemas	Aprobación
Pilot / Test Lab	5–10% de los sistemas, máquinas de prueba	Inmediatamente después del Patch Tuesday
Estaciones de trabajo	Todos los clientes Windows 10/11	7 días después de la validación Pilot
Servidores – No críticos	Servidores de archivos, servidores de impresión	7 días después de la validación Pilot
Servidores – Críticos	Domain Controllers, Exchange, SQL	14 días después de la validación Pilot
No asignados	Grupo predeterminado	Ninguna actualización aprobada – usar como alerta para equipos no clasificados

PowerShell: crear grupos y configurar la aprobación automática para Pilot

# Crear grupos de equipos (idempotente: omitir si ya existen)
$groups = @('Pilot', 'Workstations', 'Servers-NonCritical', 'Servers-Critical')
foreach ($g in $groups) {
    if (-not ($wsus.GetComputerTargetGroups() | Where-Object Name -eq $g)) {
        $wsus.CreateComputerTargetGroup($g) | Out-Null
    }
}
 
# Regla de aprobación automática para Critical y Security Updates en el grupo Pilot
$approvalRule = $wsus.CreateInstallApprovalRule('AutoApprove-Pilot')
 
# Construir la ComputerTargetGroupCollection
# (el setter requiere una Collection tipada, no un objeto individual ni un array genérico)
$pilot = $wsus.GetComputerTargetGroups() | Where-Object { $_.Name -eq 'Pilot' }
$groupCollection = New-Object Microsoft.UpdateServices.Administration.ComputerTargetGroupCollection
$groupCollection.Add($pilot) | Out-Null
$approvalRule.SetComputerTargetGroups($groupCollection)
 
# Construir la UpdateClassificationCollection (mismo motivo)
$classifications = $wsus.GetUpdateClassifications() | Where-Object {
    $_.Title -in @('Critical Updates', 'Security Updates')
}
$classificationCollection = New-Object Microsoft.UpdateServices.Administration.UpdateClassificationCollection
foreach ($c in $classifications) { $classificationCollection.Add($c) | Out-Null }
$approvalRule.SetUpdateClassifications($classificationCollection)
 
$approvalRule.Enabled = $true
$approvalRule.Save()

Server Cleanup Wizard mediante PowerShell

$wsus = Get-WsusServer -Name 'SRVBLOG01' -PortNumber 8530
 
$cleanupScope = New-Object Microsoft.UpdateServices.Administration.CleanupScope
$cleanupScope.DeclineExpiredUpdates       = $true
$cleanupScope.DeclineSupersededUpdates    = $true
$cleanupScope.CleanupObsoleteUpdates      = $true
$cleanupScope.CleanupUnneededContentFiles = $true
$cleanupScope.CleanupObsoleteComputers    = $true
$cleanupScope.CompressUpdates             = $true
 
$cleanupManager = $wsus.GetCleanupManager()
$result = $cleanupManager.PerformCleanup($cleanupScope)
Write-Host "Disk space freed: $([math]::Round($result.DiskSpaceFreed/1GB, 2)) GB"

Mantenimiento de la base de datos (WID)

La base de datos de WSUS acumula una grave fragmentación de índices con el tiempo. En WID, usa sqlcmd para ejecutar la reindexación mensual:

# Guardar el archivo SQL como C:\Scripts\WSUS-DBMaintenance.sql
# Luego programar la ejecución mensual mediante Task Scheduler
 
sqlcmd -S np:\\.\pipe\MICROSOFT##WID\tsql\query `
    -E -i 'C:\Scripts\WSUS-DBMaintenance.sql' `
    -o 'D:\Logs\wsus-db-maintenance.log'
 
# Nota: la named pipe de WID es la misma en todas las versiones de Windows Server compatibles con WSUS
# desde la 2012 en adelante (2012, 2016, 2019, 2022, 2025).
# La pipe legacy MSSQL$MICROSOFT##SSEE se usaba solo en Server 2008/2008 R2
# y anteriores - NO se aplica a despliegues WSUS modernos.

Contenido de WSUS-DBMaintenance.sql:

USE SUSDB;
-- Reconstruir todos los índices en todas las tablas
EXEC sp_msforeachtable 'ALTER INDEX ALL ON ? REBUILD';
-- Actualizar estadísticas
EXEC sp_msforeachtable 'UPDATE STATISTICS ?';

sp_msforeachtable es un procedimiento almacenado no documentado pero ampliamente utilizado en entornos de producción. Para entornos con políticas SQL más restrictivas, se puede utilizar un cursor explícito sobre sys.tables como alternativa.

Limitaciones de WSUS y alternativas modernas

WSUS es una herramienta madura y fiable para entornos tradicionales con Active Directory, pero presenta limitaciones importantes a considerar en 2026:

• Deprecado: Microsoft anunció la deprecación en 2024 y no se prevén nuevas funcionalidades
• Sin parcheo de aplicaciones de terceros: Adobe, Chrome, 7-Zip, Java y cualquier aplicación no Microsoft no pueden gestionarse con WSUS
• Sin soporte para dispositivos Azure AD / Entra ID: los dispositivos gestionados por Intune no pueden ser gestionados por WSUS
• Actualizaciones acumulativas muy grandes: las actualizaciones acumulativas para Windows 10/11 y Server 2019/2022 alcanzan frecuentemente entre 500 MB y 3 GB cada una, sometiendo a estrés las bases de datos WSUS basadas en WID

Antes de consultar la tabla comparativa, una nota sobre Microsoft Configuration Manager: Microsoft Configuration Manager (anteriormente conocido como MECM/SCCM) es la solución on-premises de Microsoft para la gestión avanzada de endpoints. Soporta entornos híbridos mediante Cloud Management Gateway (CMG) y el parcheo de aplicaciones de terceros mediante System Center Updates Publisher (SCUP).

Comparativa de soluciones de gestión de parches

Solución	On-premises	Cloud/Híbrido	Parcheo de terceros	Ámbito recomendado
WSUS	Sí	No	No	Entornos AD on-prem existentes, redes offline / air-gapped
Windows Autopatch	No	Sí	No	Enterprise / E3+E5, orquestación completamente gestionada de actualizaciones Windows + M365 Apps
WUfB + Intune	No	Sí	No	Endpoints gestionados en la nube (Entra ID joined / hybrid joined)
Azure Update Manager	No	Sí	Limitado (mediante scripts personalizados)	Flotas de servidores (VMs Azure, servidores Arc-enabled)
Microsoft Configuration Manager (anteriormente MECM/SCCM)	Sí	Sí (CMG)	Sí (mediante SCUP / Patch My PC)	Enterprise on-prem / híbrido con necesidades de personalización avanzada
NinjaOne / Datto RMM / Atera	Sí	Sí	Sí	MSP / entornos heterogéneos con parcheo multiplataforma

Desde finales de 2024, Microsoft ha consolidado sus recomendaciones: Windows Autopatch e Intune para la gestión de actualizaciones de clientes, Azure Update Manager para la gestión de actualizaciones de servidores. Estas herramientas no sustituyen a WSUS en escenarios offline o air-gapped, donde WSUS sigue siendo la única opción viable de Microsoft. 

Seguridad de WSUS

CVE-2025-59287 – RCE crítica (CVSS 9.8)

En octubre de 2025, Microsoft divulgó CVE-2025-59287, una vulnerabilidad crítica de deserialización insegura en el rol de servidor WSUS. Permite a un atacante remoto no autenticado ejecutar código arbitrario con privilegios SYSTEM en cualquier servidor con el rol WSUS habilitado.

La actualización del Patch Tuesday de octubre de 2025 no resolvió completamente el problema. Microsoft publicó un parche de emergencia fuera de ciclo el 23 de octubre de 2025. CISA añadió CVE-2025-59287 a su catálogo Known Exploited Vulnerabilities en menos de 24 horas; se reportaron exploits proof-of-concept públicos y explotación activa in the wild (incluido el despliegue de infostealers) esa misma semana.

Afectados: Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2025 – cualquier servidor con el rol de servidor WSUS habilitado. El rol no está habilitado por defecto; solo los servidores WSUS son vulnerables.

Acción requerida

Aplicar el parche inmediatamente. Instala la actualización fuera de ciclo para tu versión de Windows Server. Referencia: MSRC update guide – CVE-2025-59287.

Verifica la exposición. WSUS nunca debería ser accesible desde Internet. Bloquea el tráfico entrante TCP 8530/8531 en el perímetro y restringe el acceso interno a la VLAN de gestión y a las subredes de clientes que realmente lo necesiten.

Si no es posible aplicar el parche inmediatamente, deshabilita el rol WSUS en los servidores afectados o bloquea completamente el tráfico entrante 8530/8531 hasta que el parche pueda ser aplicado.

Resolución de problemas

Los clientes no se comunican con WSUS

# Forzar el re-registro del cliente (ejecutar en el cliente)
# En Windows 10/11 y Server 2016+, usa UsoClient en lugar de wuauclt
UsoClient StartScan
 
# Verificar que la GPO esté aplicada correctamente
gpresult /R | Select-String 'WSUS'
reg query 'HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' /v WUServer
 
# Ver el log de Windows Update
Get-WindowsUpdateLog -LogPath 'C:\Temp\WindowsUpdate.log'

Consola WSUS lenta o con timeout

Casi siempre causado por la fragmentación de la base de datos. Ejecuta el mantenimiento de la base de datos descrito en el Paso 5. Si el rendimiento no mejora en 24 horas, considera migrar de WID a SQL Server.

La sincronización falla – errores HTTP 400 o SSL/TLS

# Comprobar los logs del servicio WSUS
# PowerShell 7+ y Server 2022/2025 (recomendado)
Get-WinEvent -ProviderName 'Windows Server Update Services' -MaxEvents 50 |
    Format-List TimeCreated, Id, Message
 
# PowerShell 5.1 / Server 2019 y anteriores
# Get-EventLog -LogName Application -Source 'Windows Server Update Services' `
#     -Newest 50 | Format-List
 
# Solo para PowerShell 5.1 / .NET Framework (Server 2016/2019)
# En PowerShell 7+ y Server 2022/2025, TLS 1.2 está habilitado por defecto - no necesario
# Si estás en Server 2016/2019 con PS5.1, descomenta la siguiente línea:
# [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
 
# Fix de registro para TLS 1.2 en Server 2012 R2 (si aún está presente en el entorno)
Set-ItemProperty `
    -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' `
    -Name 'Enabled' -Value 1 -Type DWord

Actualizaciones aprobadas pero no instaladas en los clientes

Comprueba estos puntos en orden:

1. Deadline no configurada: las aprobaciones sin deadline podrían no instalarse automáticamente en todos los escenarios
2. Servicio Windows Update deshabilitado: wuauserv debe estar en estado Running en el cliente
3. Reinicio pendiente: muchas actualizaciones requieren un reinicio previo antes de que se puedan instalar nuevas actualizaciones
4. Dual-scan activo: verifica que la directiva DisableDualScan esté aplicada (ver Paso 3)

Las actualizaciones de características (Windows 10/11, Server 2022/2025) no se descargan en los clientes

Síntoma: las actualizaciones acumulativas se instalan correctamente, pero las actualizaciones de características (ej. 23H2 → 24H2) se quedan bloqueadas en «downloading 0%» en los clientes. La causa es casi siempre: tipos MIME .msu y .wim ausentes en el sitio IIS de WSUS, necesarios para el protocolo Unified Update Platform (UUP).

# Añadir los tipos MIME requeridos mediante PowerShell (en el servidor WSUS)
Import-Module WebAdministration
 
Add-WebConfigurationProperty -PSPath 'IIS:\Sites\WSUS Administration' `
    -Filter 'system.webServer/staticContent' -Name '.' `
    -Value @{ fileExtension='.msu'; mimeType='application/octet-stream' }
 
Add-WebConfigurationProperty -PSPath 'IIS:\Sites\WSUS Administration' `
    -Filter 'system.webServer/staticContent' -Name '.' `
    -Value @{ fileExtension='.wim'; mimeType='application/octet-stream' }
 
iisreset

WSUS en 2026: todavía vigente, con un horizonte claro

WSUS sigue siendo una solución de gestión de parches válida y rentable para entornos on-premises con Active Directory en 2026, a pesar de la deprecación anunciada por Microsoft. Con un dimensionamiento adecuado, un backend SQL Server para los despliegues más grandes, grupos de equipos estructurados, reglas de aprobación automática y mantenimiento mensual de la base de datos, WSUS puede gestionar de forma fiable desde decenas hasta miles de endpoints. Con la CVE-2025-59287 crítica parcheada y el acceso de red correctamente restringido, WSUS sigue siendo una elección defendible durante todo el ciclo de vida de Windows Server 2025 (soporte mainstream hasta 2029, extendido hasta 2034).

Para las organizaciones que se están moviendo hacia endpoints gestionados en la nube, o MSPs que gestionan entornos heterogéneos con requisitos de parcheo de aplicaciones de terceros, se recomienda encarecidamente evaluar Windows Update for Business con Intune o una plataforma RMM moderna como capa principal de gestión de parches.