Falta poco para el 14 de octubre de 2025, la fecha oficial del fin de soporte (EOS) de Windows 10. A partir de ese momento, cada vulnerabilidad descubierta se convertirá en un riesgo permanente para quienes no migren o paguen por soporte extendido. Como profesional de la seguridad y administrador de sistemas, veo que el debate suele centrarse en el alarmismo. Aquí nos interesan las soluciones técnicas y realistas.
¿Por qué el riesgo se dispara tras el fin de soporte?
No es solo una decisión comercial. Windows 11 cuenta con mitigaciones de seguridad por hardware nativas (como VBS, HVCI y TPM 2.0) que reducen la superficie de ataque frente a exploits de memoria y ransomware. Mantener Windows 10 sin parches expone el sistema a exploits que los atacantes automatizarán analizando los parches de Windows 11, dado que muchas vulnerabilidades son compartidas entre ambos sistemas.
Tus opciones reales: ¿Qué hacemos?
Para abordar esta transición con mentalidad de gestión de riesgos (bajo estándares como ISO 27001 o controles CIS), tenemos tres caminos claros:
1. El entorno corporativo: Planificación y ESU
Si gestionas infraestructura, la migración a Windows 11 es la prioridad. Si el hardware no lo permite inmediatamente, Microsoft ofrecerá el programa ESU (Extended Security Updates) por primera vez también a particulares. Sin embargo, el coste es acumulativo y se duplica anualmente. Úsalo solo para ganar tiempo mientras completas la renovación tecnológica.
2. El Homelab: Bypass o virtualización
Si tienes equipos funcionales en tu laboratorio que la telemetría marca como incompatibles, no los deseches. Puedes forzar la instalación de Windows 11 usando herramientas como Rufus para omitir las restricciones de TPM y CPU durante el despliegue. Alternativamente, es el momento perfecto para migrar ese hardware a un hipervisor como Proxmox VE y mover tus cargas a Linux o contenedores.
3. Aislamiento estricto (Mitigación de último recurso)
Si una máquina crítica debe seguir ejecutando Windows 10 sin parches, aplica defensa en profundidad: aísla el equipo de internet, segmenta la red mediante VLANs dedicadas, deshabilita protocolos inseguros como SMBv1 y bloquea puertos físicos. Si reduces los vectores de entrada, mitigas el riesgo residual de forma aceptable.