Si administras sistemas Windows en una empresa, sabes que aplicar parches de seguridad no es opcional. Pero también sabes algo igual de incómodo: a veces, actualizar es lo que provoca el problema. Eso es exactamente lo que está ocurriendo tras el último Patch Tuesday de diciembre de 2025.
Microsoft ha pedido oficialmente a los administradores de TI que contacten con su soporte empresarial para mitigar un fallo conocido que está provocando caídas en aplicaciones corporativas y sitios web basados en IIS. Desde TecnetOne, te explicamos qué está pasando, por qué es serio y cómo debes reaccionar si tu infraestructura está afectada.
Qué está ocurriendo exactamente
El problema está relacionado con Microsoft Message Queuing (MSMQ), un servicio opcional de Windows muy utilizado en entornos empresariales para permitir que aplicaciones se comuniquen de forma confiable a través de la red.
Tras instalar las actualizaciones de seguridad de diciembre de 2025 concretamente:
- KB5071546
- KB5071544
- KB5071543
muchas organizaciones han empezado a ver comportamientos anómalos y fallos graves en producción.
Los sistemas más afectados son:
- Windows 10 22H2
- Windows Server 2016
- Windows Server 2019
Si tu empresa depende de IIS, aplicaciones empresariales internas o arquitecturas basadas en colas de mensajes, este fallo puede impactarte directamente.
Por qué este fallo es especialmente peligroso
Microsoft ha sido clara en algo: no es un problema para usuarios domésticos, pero sí para entornos corporativos gestionados. Y eso ya es una señal de alerta.
Los síntomas reportados incluyen:
- Colas de MSMQ que dejan de funcionar sin previo aviso
- Aplicaciones que no pueden escribir mensajes en las colas
- Sitios web en IIS que fallan con errores de “recursos insuficientes”
- Mensajes engañosos indicando falta de memoria o espacio en disco, cuando en realidad hay recursos disponibles
- Entornos MSMQ en clúster que se degradan o colapsan bajo carga
En otras palabras, tu infraestructura puede parecer sana, pero dejar de funcionar.
El origen del problema: seguridad mal calibrada
El fallo no es casual. Está directamente relacionado con cambios en el modelo de seguridad de MSMQ introducidos en estos parches.
Microsoft modificó los permisos NTFS de una carpeta crítica del sistema:
C:\Windows\System32\MSMQ\storage
Tras el cambio, los usuarios de MSMQ ahora necesitan permisos de escritura en esa carpeta. El problema es que, por diseño, ese directorio suele estar restringido únicamente a administradores.
El resultado es un choque clásico entre seguridad y operación:
- El parche endurece el modelo de seguridad
- Pero rompe aplicaciones que dependen de MSMQ
- Las APIs fallan
- IIS empieza a devolver errores
- Y los sistemas parecen quedarse sin recursos aunque no sea cierto
Este tipo de fallo es especialmente peligroso porque no apunta claramente a permisos, sino que se manifiesta como un problema de infraestructura o capacidad.
La postura de Microsoft (y lo que no está diciendo)
Microsoft reconoce el problema y afirma que está investigándolo. Sin embargo, hay tres puntos clave que debes tener en cuenta:
- No hay fecha confirmada para un parche definitivo
- No se ha anunciado una actualización de emergencia
- La solución temporal no es pública
En lugar de publicar un workaround documentado, Microsoft ha pedido a las empresas que contacten directamente con su soporte empresarial para recibir instrucciones específicas.
Esto ya te dice algo importante: la mitigación puede implicar cambios delicados, como ajustes de permisos o configuraciones que no conviene aplicar a ciegas.
¿Qué opciones tienes ahora mismo?
Si tu entorno está afectado, básicamente tienes tres caminos, ninguno perfecto:
1. Contactar con Microsoft Support (opción recomendada)
Microsoft ofrece un workaround temporal, pero solo a través de su canal de soporte para empresas. Esto reduce el riesgo de aplicar soluciones inseguras o incorrectas.
2. Ajustar permisos manualmente (con extremo cuidado)
Algunas organizaciones han identificado que el problema se mitiga otorgando permisos de escritura adicionales a la carpeta de MSMQ.
Esto implica riesgos de seguridad si no se hace correctamente.
3. Revertir las actualizaciones
Es la opción más drástica y también la más peligrosa a largo plazo. Revertir parches de seguridad deja tu sistema expuesto, especialmente en servidores accesibles desde red.
Desde TecnetOne, recomendamos no tomar decisiones precipitadas. Cada entorno es distinto y una solución genérica puede causar más daño que beneficio.
No es la primera vez (y no será la última)
Este no es un caso aislado. En julio de 2025, Microsoft ya pidió a empresas que contactaran con soporte por otro fallo grave que provocaba:
- Problemas en servicios de clúster
- Reinicios inesperados de máquinas virtuales
- Impacto directo en Windows Server 2019
El patrón se repite: parches necesarios, cambios profundos en seguridad y efectos colaterales en entornos complejos.
También te podría interesar: Microsoft Patch Tuesday Diciembre 2025: 57 Vulnerabilidades Corregidas
Qué deberías aprender de este incidente
Más allá del fallo concreto, este caso deja lecciones importantes para cualquier empresa que gestione infraestructura Windows:
1. Los parches deben probarse, no solo aplicarse
El modelo de “parchea y reza” ya no funciona en entornos críticos.
2. Los mensajes de error no siempre dicen la verdad
“Recursos insuficientes” puede significar “permisos rotos”.
3. Los servicios heredados siguen siendo críticos
MSMQ lleva años en Windows y sigue siendo clave en muchas arquitecturas empresariales.
4. Seguridad sin contexto puede romper el negocio
Endurecer permisos sin entender el impacto operativo es una receta para el desastre.
5. El soporte del fabricante sigue siendo clave
Cuando el propio proveedor te pide que lo llames, es porque el problema no es trivial.
Qué puedes hacer hoy para reducir riesgos
Desde TecnetOne, te recomendamos acciones concretas:
- Audita qué servidores usan MSMQ, incluso indirectamente
- Identifica dependencias con IIS y aplicaciones internas
- Implementa entornos de pruebas realistas para parches
- Monitorea errores de IIS y colas tras cada actualización
- Documenta procedimientos de rollback y contingencia
Este tipo de incidentes no se evitan al 100%, pero sí se pueden gestionar mejor cuando estás preparado.
Conclusión: parchear sigue siendo obligatorio, improvisar no
Microsoft no se equivoca al pedir que actualices. Pero este incidente demuestra que actualizar sin estrategia es tan peligroso como no actualizar.
Si tu infraestructura depende de Windows Server, IIS y servicios como MSMQ, este fallo es una advertencia clara: la ciberseguridad y la operación deben ir de la mano.
En TecnetOne creemos que la verdadera resiliencia no está en evitar errores, sino en detectar rápido, entender el impacto y reaccionar con criterio. Porque en TI empresarial, el mayor riesgo no es un fallo técnico, es no saber cómo responder cuando ocurre.