Todo PC con Windows 10 que siga en servicio necesita esta semana una de estas tres cosas: una licencia ESU de pago, un plan de aislamiento documentado o una fecha de sustitución firmada por alguien. El soporte terminó el 14 de octubre de 2025, y un equipo que no cumpla ninguna de las tres es un endpoint sin parches con un usuario trabajando en él.
Las páginas de Microsoft describen el primer año de dos maneras. La cobertura empieza en la fecha de fin de soporte, mientras que el año de compra se describe como iniciado en noviembre de 2025. Consulte su propio registro de licencias en lugar de darlo por supuesto.
Determine qué cubre realmente ESU
ESU es una suscripción anual de pago que entrega actualizaciones de seguridad clasificadas como críticas e importantes. No incluye nuevas funciones, actualizaciones no relacionadas con la seguridad solicitadas por clientes ni solicitudes de cambios de diseño. El soporte técnico cubre únicamente la activación de la licencia, la instalación y las regresiones del propio ESU, y requiere un plan de soporte activo.
Un dispositivo solo es elegible si tiene Windows 10 versión 22H2. La página de ciclo de vida de Microsoft indica que la 21H2 terminó en junio de 2023 y la 21H1 en diciembre de 2022, de modo que un PC con cualquiera de ellas necesita antes una actualización de características. Las versiones LTSC siguen sus propios ciclos de vida más allá de octubre de 2025, así que déjelas fuera de este ejercicio.
Compruebe la elegibilidad y las claves
Extraiga de su herramienta de inventario la versión de características de Windows 10 de cada equipo que no sea LTSC y marque como no elegible todo lo que esté por debajo de la 22H2 hasta que se actualice. Después revise las claves. Las ESU Multiple Activation Keys del Microsoft 365 admin center no se podían usar hasta la fecha de fin de soporte, así que una clave guardada ahí no demuestra que haya cobertura.
Confirme la activación en cada dispositivo y registre el resultado. La descripción general del programa ESU de Microsoft no ofrece pasos de activación. Remite a otra página, "Enable Extended Security Updates (ESU)", así que siga esa para entornos comerciales.
Haga las cuentas
El primer año cuesta 61 $ por dispositivo mediante licencias por volumen. El precio se duplica cada año hasta un máximo de tres años, de modo que el total es 61 $ + 122 $ + 244 $ = 427 $ por dispositivo. No se pueden comprar años parciales, y las ESU son acumulativas.
Esa regla acumulativa condiciona los plazos. Un dispositivo que se inscribe por primera vez en el segundo año cuesta 183 $, porque también hay que pagar el primero. Compare la cifra que le corresponda con un presupuesto de sustitución, más el tiempo necesario para crear la imagen del equipo y trasladar al usuario.
La cobertura también tiene un límite estricto. Los PC comerciales inscritos reciben actualizaciones como máximo durante tres años tras el fin de soporte, por lo que toda fecha de "Sustituir antes de" debe caer antes de que termine el último año de ESU pagado.
Las máquinas virtuales con Windows 10 en Windows 365, Azure Virtual Desktop y Azure virtual machines reciben ESU sin coste adicional. Compruebe si alguno de los equipos rezagados puede trasladarse allí.
Aísle lo que ESU no cubrirá
Para cualquier PC sin ESU, base su trabajo en la guía del NCSC sobre productos obsoletos. Su postura es rotunda: nada de lo que contiene hace que seguir usando el producto esté libre de riesgo, y la única solución totalmente eficaz es dejar de usarlo.
Empiece cortando las vías por las que el contenido no confiable llega al equipo: correo electrónico, navegación web, recursos compartidos de archivos, puertos de red y medios extraíbles. Aplíquelo de forma técnica, porque los controles que no se imponen técnicamente no funcionan. Si el PC necesita acceder a un navegador o a aplicaciones ofimáticas, conviértalo en un thin client de un escritorio remoto que ejecute software con parches, con el portapapeles compartido y la transferencia de archivos desactivados.
Tomemos el caso de un PC controlador de una máquina CNC que sigue con Windows 10 porque el driver del fabricante nunca llegó a Windows 11. Yo le daría su propia zona, permitiría tráfico únicamente hacia el servidor de archivos que contiene los programas de la máquina, bloquearía por completo internet y el correo, desactivaría los puertos USB e introduciría los archivos a través de una pasarela con análisis.
Trate cada uno de estos PC como no gestionado y no confiable, de forma muy parecida a un dispositivo BYOD. Defina los flujos de tráfico entre zonas y no dé por hecho que el firewall de software de un dispositivo comprometido siga funcionando. Siempre que pueda, mantenga los clientes Windows obsoletos en un bosque de Active Directory distinto del que usa el servicio de escritorio remoto.
Reinstalar la imagen puede eliminar durante un tiempo el malware residente, pero la vulnerabilidad que usó sigue ahí. No lo cuente como una solución.
Detección y las personas que rodean a los equipos
El antivirus y la detección de intrusiones siguen interceptando parte del código malicioso, pero es posible que sus firmas no estén ajustadas a los ataques contra sistemas obsoletos. No se apoye en ellos.
Registrar eventos sin generar alertas sirve de poco, ya que muchas organizaciones almacenan eventos de seguridad y nunca actúan sobre ellos. Asegúrese de que alguien reciba un aviso cuando una máquina heredada se comporte de forma extraña, y acuerde de antemano quién la aísla y cómo. Nuestro servicio de respuesta a incidentes puede ayudarle a ensayarlo, y la monitorización gestionada puede encargarse de las propias alertas.
Revise también a los terceros. Los proveedores que conectan sus propios dispositivos pueden estar usando también Windows sin soporte, así que pregúnteselo antes de que ocurra un incidente y coloque sus conexiones en una zona separada.
Elabore la lista de sustitución con fechas
La guía de gestión de vulnerabilidades del NCSC considera que la decisión de no actualizar es una decisión de riesgo de nivel directivo. Incluya cada una en su registro de riesgos, con su plazo y su presupuesto, para que el responsable sea visible. Cuando aparezca una nueva vulnerabilidad en una máquina que no puede parchear, hágale primero un triaje; nuestra calculadora CVSS le ayuda con la puntuación. Después construya una tabla como esta, con una fila por máquina:
| Activo | Responsable | Motivo por el que sigue en Windows 10 | Estado de ESU | Controles aplicados | Sustituir antes de | Riesgo aceptado por |
|---|---|---|---|---|---|---|
| (hostname) | (nombre) | (aplicación, driver, presupuesto) | (sí / no) | (zona, sin web, sin correo) | (fecha, antes de que termine ESU) | (nombre) |
Cada fila necesita una fecha real y un aprobador con nombre. Revise la lista con regularidad, porque las nuevas amenazas y vulnerabilidades pueden cambiar la respuesta.
Por dónde empezar
- Exporte su inventario de Windows 10, filtre los dispositivos LTSC y marque todo lo que esté por debajo de la versión 22H2.
- Compruebe en los registros de licencias si hay claves ESU, confirme que cada dispositivo se ha activado y compare 427 $ (o 183 $ si se inscribe en el segundo año) por dispositivo con su presupuesto de sustitución.
- Traslade lo que pueda a Windows 365 o a máquinas virtuales con Windows 10 alojadas en Azure, donde ESU no tiene coste adicional.
- Para el resto, bloquee el correo, la navegación web, los recursos compartidos de archivos, los medios extraíbles y los puertos innecesarios, y coloque esos equipos en una zona separada.
- Active las alertas para esa zona, no solo el registro de eventos, y deje por escrito quién contiene un incidente y cómo.
- Rellene la tabla de sustitución con responsables y fechas dentro del periodo de ESU pagado, y consiga que una persona de nivel directivo firme la aceptación del riesgo.
