Windows Server 2012 y 2012 R2 se quedan sin parches: terminaron las ESU y qué hacer ahora
Se terminó la última red de seguridad de Windows Server 2012 y 2012 R2. El 13 de octubre de 2026 venció el tercer y último año de las actualizaciones de seguridad extendidas (ESU) de Windows Server 2012 y 2012 R2, el programa pago con el que Microsoft siguió parchando estos servidores después de que terminara su soporte, en octubre de 2023. Microsoft lo escribió en la ficha del paquete de este mes: las ESU siguen «until the final date on October 13, 2026» («hasta la fecha final, el 13 de octubre de 2026», traducido del inglés). De acá en adelante, Microsoft no publica más parches de seguridad para ninguno de los dos, ni siquiera para quien los pagaba.
A quién le toca: a cualquier empresa que todavía tenga un Windows Server 2012 o 2012 R2 andando —el clásico servidor del fondo de la oficina que hace de controlador de dominio, guarda los archivos compartidos o corre el sistema de gestión— en cualquiera de sus ediciones. Si tu servidor ya es 2016 o posterior, este corte no es el tuyo (aunque el de 2016 llega en enero, más abajo va la tabla).
Qué hacer hoy: el servidor no se apaga ni deja de arrancar; lo que se corta son los parches. Tres pasos, en este orden:
- Si pagabas ESU, instalá el paquete de octubre. Es el último que entra en el programa: el KB5126836 para 2012 R2 y el KB5126835 para 2012, publicados el 13 de octubre.
- Hacé el inventario. Anotá qué hace cada servidor viejo y qué servicios ofrece a la red (DNS, Escritorio remoto, carpetas compartidas). Lo que esté más expuesto es lo primero que se migra.
- Elegí una salida con fecha. Más abajo están las opciones; ninguna se resuelve en una tarde, pero tampoco conviene dejarla para «cuando se rompa».
Qué terminó, exactamente
Windows Server 2012 y 2012 R2 ya habían perdido el soporte extendido, el gratuito, hace tres años: el 10 de octubre de 2023 (el principal había terminado en 2018). Desde entonces, los parches mensuales solo llegaban a los servidores cubiertos por las ESU, que Microsoft vendía por año, renovable, hasta un máximo de tres. Según la página de preguntas frecuentes de Microsoft sobre ESU, cubrían las vulnerabilidades de gravedad crítica e importante, y en Azure venían incluidas sin costo. La tabla de esa misma página corta en el año 3, que termina el 13 de octubre de 2026, y en las páginas de Microsoft que consultamos no aparece un cuarto año para estos servidores.
¿Qué cambia en la práctica? Que cada falla de seguridad que se descubra desde hoy en estos sistemas queda abierta. No es un riesgo que explote mañana a la mañana, sino uno que se acumula mes a mes, y que pesa más en un servidor que en una PC: suele estar prendido todo el tiempo, guarda datos de toda la empresa y ofrece servicios al resto de la red.
Un ejemplo que ya está sobre la mesa: la falla crítica del DNS
En agosto, Microsoft corrigió la CVE-2026-62878, una vulnerabilidad del servidor DNS de Windows que permite ejecutar código a distancia, sin usuario ni contraseña. La calificó con 9,8 sobre 10, crítica, y la lista abarca de Windows Server 2012 a 2025. En 2012 y 2012 R2, ese arreglo llegó solo a los servidores con ESU. Cuando la agencia estadounidense de ciberseguridad CISA la evaluó, el 12 de agosto, no registraba ataques, y la ficha de Microsoft seguía sin marcarla como explotada en su última actualización, del 8 de octubre.
Después, según la empresa de seguridad 0patch, los investigadores Nicolas Alejandro Malizia y Joaquín Grassi publicaron una prueba de concepto: el código que demuestra cómo aprovechar la falla. Con eso, 0patch publicó el 13 de octubre (hora de América) un parche propio para los servidores 2008 R2, 2012 y 2012 R2 que no tenían el de Microsoft. Es el patrón que viene: la próxima falla grave que aparezca ya no tiene previsto un arreglo de Microsoft para estos servidores.
Y una cosa más sobre el último paquete: el de octubre trajo también el arreglo de una falla del shell de Windows que ya se estaba usando en ataques y que alcanza a Server 2012 R2, como contamos en la nota del Patch Tuesday de octubre. Otro motivo para no dejar sin instalar el KB5126836.
Las salidas
1. Pasar a una versión con soporte
Es la salida definitiva. Microsoft permite actualizar «en el lugar» —conservando roles, configuración y datos— directo de 2012 R2 a Windows Server 2025. Desde Windows Server 2012 (sin R2) no hay salto directo a 2025: según la tabla de Microsoft, primero hay que pasar a 2012 R2 o a 2016. Y hay tres advertencias de la propia documentación:
- Cada versión nueva necesita su propia licencia. Microsoft lo aclara: a diferencia de Windows en una PC, cada actualización de Windows Server requiere una licencia aparte.
- Controladores de dominio, mejor de cero. Microsoft desaconseja actualizar en el lugar un servidor con Active Directory: recomienda instalar un sistema limpio y promover ahí los controladores de dominio nuevos.
- De 2012 R2 a 2022 no hay camino directo con el medio de instalación, aunque sí a 2016, 2019 y 2025.
- No todos los roles admiten la actualización en el lugar, y los clústeres suben de a una versión por vez: el salto directo a 2025 es para servidores sueltos.
| Versión | Parches de Microsoft hasta | ¿Se llega directo desde 2012 R2? |
|---|---|---|
| Windows Server 2016 | Enero de 2027 | Sí, pero vence en tres meses |
| Windows Server 2019 | Enero de 2029 | Sí |
| Windows Server 2022 | Octubre de 2031 (el soporte principal terminó el 13 de octubre de 2026) | No |
| Windows Server 2025 | Noviembre de 2034 | Sí |
Las fechas salen de las fichas de ciclo de vida de Microsoft, y los caminos, de su tabla de actualizaciones con el medio de instalación. Traducido: si vas a hacer el esfuerzo de migrar, Windows Server 2025 es el que más años te da, y se llega de un salto (a 2022, no). Pasar a 2016 hoy es mudarse a una casa que se desaloja en enero.
2. Parches de terceros, pagos
0patch anunció que va a seguir publicando parches para Windows Server 2012 y 2012 R2 al menos hasta octubre de 2029. No son parches de Microsoft ni cubren todo: son micro-correcciones para las vulnerabilidades críticas con más chances de ser explotadas, y exigen tener instaladas todas las actualizaciones acumulativas que Microsoft haya ofrecido para ese servidor. Es un servicio pago, con prueba gratis. Sirve para ganar tiempo en un equipo que no podés migrar ya, no como destino final.
3. Quedarse como está
Es gratis y el servidor va a seguir funcionando, pero es la opción que acumula riesgo. Si por algún motivo un 2012 tiene que quedarse un tiempo, que no esté expuesto a internet, que no reciba conexiones de Escritorio remoto desde afuera y que tenga copias de seguridad que se puedan restaurar en otra máquina.
🛒 Si la salida es migrar
Windows Server 2025 se instala directo sobre 2012 R2 y es la versión con parches de Microsoft hasta 2034. Antes de comprar, revisá cuántos núcleos tiene tu servidor y cuántos usuarios o equipos se conectan: Standard se licencia por núcleos (la ficha indica un mínimo de 16 por servidor) y las licencias de acceso (CAL) van aparte.
Preguntas que quedan
- ¿Todavía puedo comprar ESU? No para seguir recibiendo parches: el programa tenía tres años y el último venció el 13 de octubre. En las páginas de Microsoft que consultamos no figura un cuarto año.
- ¿El servidor se va a dejar de activar o de arrancar? Microsoft no anuncia nada de eso en sus páginas sobre el fin de las ESU. Lo que se corta son los parches de seguridad.
- ¿Y Windows Server 2016? Es el próximo en la fila: su soporte extendido termina en enero de 2027, según la ficha de Microsoft. Si tenés uno, conviene planificar ahora y no en diciembre.
Fuentes
- Microsoft, fichas de los paquetes del 13 de octubre de 2026 KB5126836 (Windows Server 2012 R2) y KB5126835 (Windows Server 2012) (en inglés), consultadas el 14 de octubre de 2026. Fecha final de las ESU y fin del soporte en octubre de 2023.
- Microsoft Learn, «Product Lifecycle FAQ – Extended Security Updates» (en inglés), consultada el 14 de octubre de 2026. Tabla de años de ESU, tipo de parches y ESU en Azure.
- Microsoft Learn, «Ending Support in 2026» y fichas de ciclo de vida de Windows Server 2012 R2, 2012, 2016, 2019, 2022 y 2025 (en inglés), consultadas el 14 de octubre de 2026.
- Microsoft Learn, «Plan Your Windows Server Upgrade Path» y «Upgrade Windows Server in Place» (en inglés), consultadas el 14 de octubre de 2026. Caminos de actualización, licencias y controladores de dominio.
- Microsoft, ficha de la CVE-2026-62878 y su registro en el catálogo CVE (gravedad, versiones afectadas y evaluación de CISA del 12 de agosto), consultados el 14 de octubre de 2026.
- 0patch, anuncios sobre la CVE-2026-62878 (13 de octubre de 2026, hora de América) y sobre Windows Server 2012 (28 de septiembre de 2026) (en inglés), consultados el 14 de octubre de 2026.
