Cómo bloquear actualizaciones concretas de Windows sin detener todo el ciclo de parches

Microsoft publica actualizaciones acumulativas cada mes, pero no todos los parches se pueden desplegar de inmediato sin riesgo. Algunas actualizaciones rompen aplicaciones, interrumpen flujos de trabajo o provocan problemas de estabilidad en los dispositivos de los clientes. Los MSP y los administradores de TI suelen necesitar una forma de bloquear una actualización concreta de Windows sin alterar el calendario del resto del ciclo de parches. Cada actualización de Windows se identifica con un número de Knowledge Base (KB) único, lo que permite señalar y bloquear únicamente el parche problemático.

Si prefieres una visión general rápida en vídeo, mira nuestra guía Cómo bloquear actualizaciones concretas de Windows sin detener todo el ciclo de parches.

Guía para bloquear una actualización concreta de Windows sin detener los ciclos de parches

Con herramientas como PowerShell, las directivas de grupo, las modificaciones del Registro y los scripts de tu RMM, puedes detener de forma selectiva las KB problemáticas sin pausar Windows Update por completo. Así los endpoints siguen protegidos con las últimas correcciones y, al mismo tiempo, evitas que los parches defectuosos conocidos provoquen tiempo de inactividad.

📌 Requisitos previos:

• Los dispositivos deben ejecutar Windows 11 o Windows Server 2016, 2019, 2022 o posterior.
• Necesitas permisos de administrador en los endpoints locales o remotos para bloquear o diferir actualizaciones.
• Debes tener PowerShell 5.1 o superior para ejecutar los scripts que ocultan o muestran actualizaciones KB concretas.
• Necesitas acceso al Registro de Windows si vas a configurar los bloqueos de actualizaciones manualmente.
• En entornos de dominio conviene tener disponible la consola de administración de directivas de grupo (GPMC) para aplicar reglas de actualización a gran escala.
• De forma opcional, puedes usar una plataforma RMM como NinjaOne para desplegar scripts, aplicar políticas y generar informes sobre las actualizaciones bloqueadas en los dispositivos de los clientes.

NOTA: Los dispositivos con Windows 11 que utilizan bloqueos de protección (safeguard holds) o políticas modernas de orquestación de actualizaciones pueden comportarse de forma distinta a los flujos de mantenimiento heredados de Windows 10. Valida las exclusiones de actualizaciones con tu canal de mantenimiento y la configuración de anillos de actualización actuales.

Método 1: bloquear una actualización concreta de Windows con PowerShell

Puedes usar PowerShell para ocultar una única KB problemática y evitar que se instale, mientras el resto de las actualizaciones siguen su curso con normalidad.

Requisitos previos:

• Permisos de administrador en el endpoint o a través de tu RMM
• PowerShell 5.1 o superior con acceso a internet para instalar el módulo PSWindowsUpdate
• El número exacto de la KB que quieres bloquear

Estos son los pasos para bloquear una actualización concreta de Windows con PowerShell:

1. Abre PowerShell e instala el módulo con este comando:

Install-Module PSWindowsUpdate -Force

2. A continuación, usa este comando para listar las actualizaciones pendientes y confirmar el número de KB:

Get-WindowsUpdate -MicrosoftUpdate

3. Después, usa este código para ocultar la KB concreta (sustituye KB5000000 por la tuya) y evitar que se instale:

Get-WindowsUpdate -KBArticleID KB5029263 | Hide-WindowsUpdate -Confirm:$false

4. Para ver las actualizaciones ocultas, usa esto:

Get-WindowsUpdate -IsHidden

5. Para volver a mostrarlas, usa este comando:

Hide-WindowsUpdate -KBArticleID ‘KB5000000’ -MicrosoftUpdate -Hide:$false -Confirm:$false

En entornos empresariales restringidos, el acceso a PowerShell Gallery puede estar bloqueado. Quizá tengas que preparar el módulo PSWindowsUpdate internamente o permitir temporalmente el acceso de salida a PSGallery.

Método 2: usar la herramienta wushowhide.diagcab de Microsoft para bloquear actualizaciones concretas

La herramienta wushowhide.diagcab te permite bloquear manualmente actualizaciones concretas de Windows sin detener todo el ciclo de parches. Funciona bien en equipos individuales, pero no sirve para automatizar ni desplegar a gran escala.

Requisitos previos:

• Necesitas permisos de administrador local en el endpoint.
• Descargar la herramienta wushowhide.diagcab de Microsoft.

Usa la herramienta wushowhide.diagcab siguiendo estos pasos:

1. Descarga wushowhide.diagcab del sitio de Microsoft.
2. Ejecuta la herramienta y sigue las indicaciones en pantalla para buscar las actualizaciones disponibles.
3. Selecciona la actualización problemática y elige Ocultar actualización para bloquearla.

La utilidad wushowhide.diagcab de Microsoft se considera obsoleta y puede no funcionar de forma coherente en las versiones más recientes de Windows 11. Microsoft recomienda ahora usar Windows Update for Business y Microsoft Intune.

Método 3: bloquear actualizaciones con GPO o el Registro (ejemplo con un controlador)

Si una actualización de Windows insiste en instalar un controlador que no quieres, puedes bloquearlo apuntando a su ID de hardware. Puedes hacerlo mediante GPO o el Registro.

Requisitos previos:

• Permisos de administrador y acceso a la consola de administración de directivas de grupo (en dispositivos de dominio) o al Editor del Registro (en dispositivos independientes)
• El ID de hardware del controlador que quieres bloquear, que encontrarás en Administrador de dispositivos > Propiedades del dispositivo > pestaña Detalles > Id. de hardware

Para bloquear una actualización concreta de Windows con directivas de grupo, sigue estos pasos:

1. Abre el Editor de directivas de grupo y ve a:

Configuración del equipo > Plantillas administrativas > Sistema > Instalación de dispositivos > Restricciones de instalación de dispositivos.

2. Activa Impedir la instalación de dispositivos que coincidan con cualquiera de estos identificadores de dispositivo. Para quitar la directiva, puedes dejarla de nuevo en No configurada o Deshabilitada.
3. Añade los ID de hardware del controlador que quieres bloquear.

Puedes aplicar el método del Registro ejecutando este código en PowerShell:

Para deshacer el cambio, sigue estos pasos:

1. Abre el Editor del Registro.
2. Ve a: HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
3. Elimina la entrada DenyDeviceIDs o borra toda la clave Restrictions.
4. Reinicia el equipo para que los cambios surtan efecto.

⚠️ Advertencia: usa este método con cuidado. Si bloqueas por ID de hardware, Windows no podrá reinstalar el controlador correctamente hasta que elimines la directiva o la entrada del Registro.

Método 4: usar el Registro para registrar o etiquetar las actualizaciones bloqueadas

Puedes dejar constancia de las KB bloqueadas escribiéndolas en el Registro. Así los técnicos o las herramientas RMM disponen de un registro local con el que comparar durante las auditorías o las comprobaciones de cumplimiento.

Requisitos previos:

• Permisos de administrador para crear o editar claves del Registro en HKLM
• Convenciones de nombres coherentes para las entradas del Registro (por ejemplo, usar los números de KB como nombres de valor)

Así se usa el Registro para registrar o etiquetar las actualizaciones bloqueadas:

1. Para crear una clave del Registro donde guardar las KB bloqueadas, ejecuta este comando:

New-Item -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Force

2. A continuación, añade el número de KB que quieres controlar:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "KB5029263" -Value "Blocked"

3. Así puedes anotar cuándo se actualizó el bloqueo por última vez:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "LastUpdated" -Value (Get-Date).ToString(«u»)

4. Para validarlo, ejecuta esto en el símbolo del sistema:

reg query HKLM\SOFTWARE\Org\UpdateExclusions

Este método es ideal para mantener un registro local sencillo de las KB bloqueadas en cada endpoint, y también se puede desplegar a gran escala mediante un RMM.

Método 5: usar políticas de Windows Update for Business (WUfB) para retrasar actualizaciones (opcional)

Windows Update for Business te permite retrasar ciertos tipos de actualizaciones mediante directivas de grupo. No bloquea una KB individual, pero sí te deja pausar categorías enteras de actualizaciones hasta que tengas tiempo de probarlas.

Requisitos previos:

• Necesitas la edición Pro, Enterprise o Education de Windows (WUfB no está disponible en Home).
• Acceso a la consola de administración de directivas de grupo (GPMC).

Así puedes usar las políticas de Windows Update for Business (WUfB) para impedir las actualizaciones por el momento:

1. Abre el Editor de directivas de grupo.
2. Ve a:

Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Update > Windows Update for Business.

3. Configura estas directivas:
   1. Seleccionar cuándo se reciben las actualizaciones de calidad
   2. Seleccionar cuándo se reciben las actualizaciones de características
4. Indica el número de días que quieres diferir cada tipo de actualización según tu estrategia de parches.

Las organizaciones que usan Microsoft Intune o Windows Autopatch también pueden aplicar diferimientos y bloqueos de protección mediante anillos de implementación y políticas de actualización. Esto ofrece un control de actualizaciones más granular y gestionado desde el cloud para entornos híbridos y de trabajo remoto.

¿Cuándo conviene bloquear una actualización de Windows?

Bloquear una actualización de Windows debería ser, por norma general, una medida de mitigación temporal para cuando un parche introduce riesgo operativo. Estos son algunos escenarios habituales:

• Pantallas azules o bucles de arranque después del Patch Tuesday
• Fallos en la VPN, la impresión o RDP
• Problemas de compatibilidad con aplicaciones
• Inestabilidad de controladores tras actualizaciones acumulativas
• Conflictos con el software de seguridad
• Despliegues fallidos en los grupos piloto

Los equipos de TI deberían evitar suprimir actualizaciones a largo plazo siempre que sea posible. En su lugar, valida las KB problemáticas en grupos de prueba, sigue los avisos de Microsoft y vuelve a habilitar las actualizaciones cuando haya una versión corregida.

⚠️ Aspectos a tener en cuenta

Otros aspectos a considerar al bloquear actualizaciones concretas de Windows

Vigila las sustituciones

Algunas KB bloqueadas pueden ser reemplazadas por paquetes acumulativos más nuevos. Revisa las actualizaciones de cada mes y vuelve a bloquear la nueva KB si es necesario.

Informes

Usa los registros de eventos y los registros de Windows Update con el comando Get-WindowsUpdateLog para confirmar que las actualizaciones se están suprimiendo correctamente.

Herramientas de parches de terceros

Ten cuidado con los conflictos si además usas WSUS, Intune o una gestión de parches de terceros. Estas herramientas pueden anular o eludir los bloqueos manuales.

Dependencias

Algunas actualizaciones de Windows requieren requisitos previos. Bloquear una actualización puede retrasar otras hasta que se instale la dependencia.

Buenas prácticas para bloquear actualizaciones de Windows con seguridad

Bloquear actualizaciones de Windows debe tratarse como una salvaguarda operativa temporal, no como una estrategia de parches permanente. Para reducir el riesgo sin perder el cumplimiento:

• Prueba las actualizaciones mensuales en grupos piloto antes de desplegarlas de forma general
• Documenta todas las KB bloqueadas y revísalas con regularidad
• Usa anillos de implementación o despliegues por fases en los sistemas de producción
• Sigue las notas de publicación y los avisos de problemas conocidos de Microsoft
• Vuelve a habilitar las actualizaciones bloqueadas cuando haya correcciones o parches que las sustituyan
• Evita retrasar las actualizaciones de seguridad más de lo necesario

En el caso de los MSP, combinar el bloqueo selectivo de KB con la automatización del RMM y los informes de cumplimiento ayuda a mantener la visibilidad en entornos con muchos endpoints.

Resolución de problemas al bloquear actualizaciones concretas de Windows

La actualización se sigue instalando

Comprueba si la KB ha sido reemplazada por un paquete acumulativo más reciente o si llega dentro de otro paquete de actualizaciones. Si es necesario, bloquea también la KB que la sustituye.

Hide-WindowsUpdate no funciona

Asegúrate de que el módulo PSWindowsUpdate está actualizado y de que PowerShell se ejecuta con permisos de administrador.

El bloqueo por ID de dispositivo no surte efecto

Verifica que estás usando el ID de hardware correcto. Ejecuta pnputil /enum-devices /connected para listar los ID y confirmar que es el adecuado.

El Registro no se aplica

Revisa la ruta del Registro, el tipo de datos y los permisos. Comprueba que la clave se ha creado en HKLM y no en HKCU.

Servicios de NinjaOne para bloquear actualizaciones concretas de Windows

Bloquea actualizaciones concretas y mantén la estabilidad sin desviar los ciclos de parches

Bloquear actualizaciones individuales de Windows es imprescindible cuando la estabilidad o la compatibilidad están en juego, sobre todo si las actualizaciones pueden interferir con las herramientas y los flujos de trabajo de tus técnicos. Al actuar sobre KB concretas en lugar de pausar todo el proceso de parches, los MSP y los administradores de TI mantienen los dispositivos protegidos y evitan el tiempo de inactividad que provocan las actualizaciones problemáticas.

Temas relacionados:

• 4 formas sencillas de desactivar las actualizaciones de Windows en Windows 10
• Cómo activar o desactivar las notificaciones de reinicio de Windows Update en Windows 10
• Cómo borrar el historial de Windows Update en Windows 10 y Windows 11
• Guía para diagnosticar problemas de Windows Update con PowerShell
• Cómo activar o desactivar la optimización de distribución de Windows Update en Windows 11