La gestión de las actualizaciones de seguridad de Windows 11 vuelve a generar confusión en los departamentos de tecnologías de la información. Tras haber calificado como resuelta la incidencia que bloqueaba las conexiones remotas en Always On VPN durante la publicación de los parches del Patch Tuesday de octubre, Microsoft ha tenido que rectificar de forma pública. La firma de Redmond ha devuelto la alerta al estado de «mitigado», admitiendo que las actualizaciones acumulativas lanzadas recientemente no contienen el código necesario para erradicar el defecto.
Esta rectificación implica que el problema continúa afectando a los equipos que ejecutan Windows 11 en sus versiones 24H2, 25H2 y 26H2. Al no existir aún un parche definitivo, las organizaciones se ven obligadas a modificar manualmente la configuración de sus perfiles de red para devolver la conectividad corporativa a los empleados.
-¿Por qué la compañía ha tenido que corregir sus propios avisos de soporte?
La marcha atrás de Microsoft se produce tras días de incertidumbre en las redes corporativas. Tras la distribución del paquete KB5127648 el pasado 13 de octubre de 2026, la documentación oficial catalogó la incidencia como solucionada, lo que llevó a numerosos administradores a dar por cerrado el incidente. Sin embargo, los fallos de autenticación persistieron en el uso cotidiano.
En una nueva alerta técnica enviada a los responsables de sistemas, la compañía ha reconocido el error en la clasificación del estado de la incidencia: «Esta divulgación se actualizó erróneamente al estado Resuelto el pasado 13 de octubre de 2026. Hemos devuelto su estado a Mitigado». Desde la empresa han pedido disculpas por los inconvenientes generados, aclarando que la designación de «mitigado» significa que existe una vía técnica para eludir la falla, aunque el fallo de software permanece intacto dentro del código del sistema operativo.
-Un error concentrado en perfiles corporativos con negociación automática de protocolos
El origen de la anomalía se remonta a las actualizaciones de seguridad distribuidas a finales de septiembre de 2026. El comportamiento anómalo se manifiesta cuando un perfil de Always On VPN está configurado para negociar automáticamente entre los protocolos IKEv2 y SSTP. Al fallar el primer intento de enlace, la pila de red del sistema operativo se bloquea, impidiendo que el cliente busque una ruta alternativa.
El alcance técnico de la incidencia se caracteriza por los siguientes síntomas dentro de las infraestructuras afectadas:
- Bloqueo en la interfaz: La conexión permanece indefinidamente en el estado «Conectando» o interrumpe el tráfico de datos inmediatamente después del primer intento.
- Registro de eventos: Los historiales del sistema reflejan con frecuencia el mensaje de error «The specified port is already in use», señalando que el puerto de red ha quedado colapsado.
- Entornos alcanzados: La falla afecta tanto a dispositivos vinculados a un dominio tradicional de Active Directory como a aquellos gestionados mediante Microsoft Entra ID.
Dado que Always On VPN opera como la solución sucesora de DirectAccess para mantener túneles encryptados permanentes hacia los servidores internos de la empresa, este bloqueo deja a los trabajadores remotos desprovistos de acceso a las herramientas de trabajo en cuanto se conectan a cualquier red externa.
-El procedimiento provisional para restaurar el acceso y el calendario de la corrección
A la espera de un paquete de software que resuelva el problema desde el código fuente, la única alternativa operativa pasa por eliminar la selección automática de protocolos dentro de los archivos de configuración de la VPN. Según detalla la documentación de soporte de la compañía: «Los administradores de TI pueden mitigar este problema cambiando el perfil de Always On VPN de selección automática de protocolo a un único protocolo, ya sea solo SSTP o solo IKEv2, dependiendo de su entorno y configuración».
La elección del protocolo a forzar exige evaluar las particularidades de cada infraestructura corporativa. Mientras que IKEv2 ofrece un rendimiento superior y un menor consumo de batería en dispositivos portátiles que conmutan de red de forma constante, el esquema SSTP demuestra mayor solvencia para atravesar contrafuegos restrictivos al operar sobre el puerto HTTPS 443. Desactivar la conmutación automática resuelve el bloqueo del sistema, pero elimina la tolerancia a fallos entre ambos protocolos.
Microsoft ha confirmado que se encuentra trabajando en la elaboración de un parche definitivo que será integrado en una actualización acumulativa prevista para las próximas semanas. Este incidente se suma a una racha de ajustes de estabilidad en las entregas recientes de Windows 11, donde se han tenido que resolver revisiones fuera de calendario para solventar anomalías en entornos de Hyper-V, servicios de Escritorio Remoto y subsistemas de audio USB.