Comprobar, instalar y confirmar actualizaciones de Windows sin interfaz gráfica

Objetivo

Comprobar, instalar y confirmar actualizaciones del sistema operativo en un host Windows Server sin escritorio, y saber de antemano si ya está a la espera de un reinicio.

Requisitos previos

Derechos de administrador; acceso directo a Windows Update o un servidor WSUS configurado; este artículo trata WSUS como la vía principal de aplicación de parches gestionada — existen herramientas de terceros para la gestión de parches, pero no se tratan aquí.

Pasos

1. En Server Core, la página de actualizaciones de sconfig establece la directiva directamente: Automatic comprueba e instala según una programación diaria, Download only (el valor por defecto documentado) descarga y notifica sin instalar, y Manual no hace ninguna de las dos cosas automáticamente.
2. En un entorno gestionado, las actualizaciones normalmente se aprueban y entregan a través de Windows Server Update Services (WSUS) en lugar de que cada servidor acceda directamente a Windows Update; la directiva de WSUS (grupos de aprobación, plazos y segmentación de clientes) se suele establecer mediante directiva de grupo que apunta los clientes al servidor WSUS.
3. Antes de instalar nada, comprobar si el host ya está a la espera de un reinicio por una acción anterior, para no apilar cambios sobre un estado inconsistente. Un ejemplo concreto y comprobable: reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations — si este valor existe, ya hay archivos en cola para renombrarse en el próximo arranque. De forma más amplia, el propio recurso Microsoft.Windows/RebootPending de Windows informa de un reinicio pendiente por varios motivos distintos, entre ellos «Windows Updates requiring restart», «Component-Based Servicing operations», «Pending file rename operations», «Computer rename pending» y «Domain join operations pending» — cualquiera de ellos debe tratarse como una señal para programar una ventana de mantenimiento, en lugar de instalar más cambios de inmediato.
4. Tras instalar actualizaciones, no basta con Get-HotFix para confirmar lo instalado: consulta la clase WMI Win32_QuickFixEngineering, sobre la que la propia documentación de la clase de Microsoft indica que «devuelve únicamente las actualizaciones suministradas por Component Based Servicing (CBS)... Las actualizaciones suministradas por Microsoft Windows Installer (MSI) o por el sitio de actualizaciones de Windows... no se devuelven». Conviene contrastarlo con el historial de Windows Update o con los informes de WSUS para obtener una imagen completa.
5. Reiniciar en una ventana de mantenimiento controlada en lugar de inmediatamente: Restart-Computer -Force (no interactivo; no hay confirmación que suprimir).

Resultado esperado

La comprobación de reinicio pendiente del paso 3 no devuelve nada antes del mantenimiento, y algo concreto a señalar si lo hace; tras la instalación y el reinicio, tanto Get-HotFix como el historial de WSUS/Windows Update muestran las actualizaciones recién aplicadas.

Límites y base de verificación

El alcance de Get-HotFix, limitado a CBS, significa que un resultado vacío o breve no demuestra que un host no esté parcheado — una actualización acumulativa entregada fuera de CBS no aparecería allí. Nada de esto necesita un «deshacer» explícito: la instalación de actualizaciones solo es reversible mediante la propia vía de desinstalación de Windows (Get-HotFix junto con wusa /uninstall /kb:<number> cuando corresponda) o un punto de restauración, no revirtiendo un ajuste de configuración. Tanto el cambio de modo de actualización en sconfig como la comprobación del registro surten efecto de inmediato sin necesitar reinicio propio; solo pueden requerirlo las actualizaciones que se instalen.