Cuando cubrimos el incidente de KB5122876, en nuestras dos farms terminamos con dos soluciones distintas: rollback completo en Windows Server 2019, y una hotfix fuera de banda en Windows Server 2022. Hubo una tercera opción que no mencionamos en detalle entonces, porque merece su propio artículo: el Known Issue Rollback (KIR), un mecanismo que Microsoft usa desde 2020 y que, en la práctica, muy pocos técnicos conocen o saben desplegar.
Qué es KIR
KIR es la forma que tiene Microsoft de desactivar remotamente una función específica y defectuosa dentro de una actualización, sin tocar el resto del parche. Técnicamente, ciertos cambios no relacionados con seguridad que viajan dentro de una actualización acumulativa quedan controlados por una bandera de función (feature flag). Si después del lanzamiento aparece un problema grave, Microsoft puede apagar esa bandera de forma remota — el código defectuoso deja de ejecutarse, pero el resto de la actualización, incluidas todas las correcciones de seguridad, sigue intacto.
En qué se diferencia de desinstalar la actualización
Esta es la distinción que más técnicos pasan por alto, y la más importante:
Desinstalar una actualización quita todo lo que trajo, parches de seguridad incluidos. KIR apaga solo la función específica que está dando problemas.
Hacer rollback completo de un parche de seguridad para resolver un problema puntual es resolver un dolor de cabeza creando una vulnerabilidad real. KIR existe exactamente para evitar ese dilema.
Por qué no llega solo (en equipos empresariales)
En dispositivos sin gestión (una laptop personal, por ejemplo), Windows Update suele aplicar el KIR de forma automática, generalmente dentro de las 24 horas siguientes a que Microsoft lo publica. El problema es que los equipos empresariales gestionados —con Directiva de Grupo, WSUS o actualizaciones diferidas— no siempre reciben esa señal a tiempo, o directamente no la reciben si nadie la despliega de forma activa.
Cómo desplegarlo
- Lee la sección «Known issues» del artículo de soporte de la KB específica. Ahí, Microsoft indica explícitamente si existe un KIR disponible para ese problema — no es una herramienta genérica, cada incidente tiene su propio paquete.
- Descarga el paquete de Directiva de Grupo que Microsoft enlaza en esa misma sección (un instalador con plantillas ADMX/ADML específicas para esa combinación de problema y versión de Windows).
- Impórtalo en tu almacén central de Directivas de Grupo, crea una GPO nueva con la plantilla y aplícala a las máquinas afectadas.
- Alternativa más rápida para un equipo puntual: el mismo efecto se logra escribiendo directamente la clave de registro que Microsoft documenta en
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides, con el identificador numérico específico de ese problema — útil para Intune, SCCM o un script remoto mientras preparas la GPO definitiva. - No hace falta desinstalar nada. Tras aplicar la directiva y reiniciar, la función problemática queda desactivada; el resto de la actualización sigue funcionando con normalidad.
- Retira el KIR cuando Microsoft publique la corrección definitiva (la siguiente acumulativa, o una hotfix fuera de banda). Dejarlo aplicado indefinidamente bloquea esa función incluso después de que ya esté arreglada.
Por qué tan pocos lo conocen
No hay un único «interruptor KIR»: cada incidente tiene su propio paquete, específico para esa versión de Windows y ese problema puntual, lo que hace difícil memorizar un procedimiento fijo. Y como la información vive dentro de la sección de «known issues» de cada KB —no en el titular—, es fácil saltársela si solo se lee el resumen de la actualización antes de instalarla.
La próxima vez que una actualización traiga un problema conocido, vale la pena revisar si Microsoft ya publicó un KIR antes de decidir entre esperar o desinstalar. Puede ahorrar la disyuntiva entera.