Instalar actualizaciones en Windows 7 SP1: KB4490628, KB4474419 y los errores al hacerlo

Si tienes Windows 7 con Service Pack 1 (SP1) y al buscar actualizaciones no descarga nada, queda al 0 % o da códigos 80072efe y 80072ee2, lo más probable es que falte la pila de firma SHA-2: instala primero KB4490628, reinicia, y después KB4474419, y vuelve a buscar actualizaciones. Si además arranca con un 0xc0000428 tras una actualización en un equipo con UEFI, hace falta reaplicar el KB4474419 desde el medio de instalación. Esta guía es para Windows 7 SP1 en equipos x86 y x64.

Por qué Windows 7 SP1 ya no instala actualizaciones nuevas

Windows 7 dejó de tener soporte técnico el 14/01/2020, así que Microsoft ya no publica parches de seguridad nuevos para el sistema: cualquier actualización posterior a esa fecha es solo para resolver el propio sistema de actualizaciones. Desde julio de 2019, Microsoft firma todas las actualizaciones de Windows 7 SP1 con SHA-2 en lugar de SHA-1; si el equipo no tiene la pila de compatibilidad SHA-2, Windows Update no puede verificar ni descargar los KB posteriores. Para que el cliente de Windows Update reconozca esa cadena hace falta instalar, en este orden, la actualización de la pila de servicio (KB4490628) y la de soporte de firma SHA-2 (KB4474419 de septiembre de 2019 o posterior). El programa de actualizaciones de seguridad de pago (ESU) terminó en enero de 2023, así que tampoco es posible seguir pagando por más parches: la recomendación oficial es migrar a Windows 10 u 11 si el hardware lo permite.

Lo que pasa al actualizar Windows 7 SP1 y su causa probable

Comprueba qué tiene Windows 7 antes de instalar nada

Antes de descargar nada conviene confirmar dos cosas: que Windows 7 lleva el Service Pack 1 y qué KB fallaron en el último intento. Con eso se descarta la mitad de las causas de la tabla y se sabe por dónde empezar.

Verifica que Windows 7 SP1 está instalado

Pulsa Win+R, escribe winver y mira la línea de la versión: si dice «Service Pack 1» estás listo para los KB siguientes. Si dice solo «Windows 7», falta el SP1 y hay que instalarlo antes (ver siguiente parte).

Revisa el historial de actualizaciones y el Visor de eventos

Abre el Panel de control y entra en Sistema y seguridad > Windows Update > Ver historial de actualizaciones; anota los KB que aparecen como fallidos (doble clic para ver el código de error). Después abre el Visor de eventos con Win+R y eventvwr.msc, ve a Registros de Windows > Application y busca entradas con origen Windows Update o «Microsoft-Windows-WindowsUpdateClient»: los eventos con nivel «Error» confirman si falló por falta de SHA-2 (códigos 80072efe/80072ee2), por reinicio pendiente o por incompatibilidad con SP1.

«Esta actualización no es aplicable a su equipo»: instala primero el Service Pack 1

Esto le pasa a quien tiene Windows 7 «a secas» (sin Service Pack 1) e intenta instalar un KB posterior, normalmente KB4490628 o KB4474419. El propio Windows Update lo rechaza porque el paquete exige SP1. La solución es descargar e instalar SP1 desde el Centro de descarga de Microsoft, reiniciar, y volver a buscar actualizaciones.

Descarga e instala el Service Pack 1 desde el catálogo oficial

1. Entra en la página de SP1 del Centro de descarga de Microsoft y elige la versión x86 o x64 según tu equipo (puedes verlo en Panel de control > Sistema > Tipo de sistema).
2. Descarga el archivo, clic derecho sobre él y elige Ejecutar como administrador.
3. Sigue el asistente, acepta el contrato de licencia y pulsa Siguiente; deja que instale y reinicia cuando lo pida.
4. Vuelve a abrir winver (Win+R > winver): la línea debe decir «Service Pack 1».

Vuelve a buscar actualizaciones tras SP1

1. Ve a Panel de control > Sistema y seguridad > Windows Update.
2. Pulsa Buscar actualizaciones.
3. Comprueba si ya entran los KB: si vuelven a aparecer los errores, pasa a la parte de la pila SHA-2.

Las actualizaciones no se instalan: instala la pila SHA-2 y la de servicing

Esta es la parte central para quien ve el «KB no descarga, queda al 0 %» o los códigos 80072efe/80072ee2. Hay que instalar dos KB en este orden: primero la actualización de la pila de servicio KB4490628 (que prepara al cliente de Windows Update), reiniciar, y después KB4474419 (que añade la firma SHA-2 a las actualizaciones). Sin ese orden, el segundo KB no se puede instalar.

Instala KB4490628 (servicing stack) primero y reinicia

1. Entra en el Catálogo de Microsoft Update y busca «KB4490628».
2. Elige el paquete que coincida con tu arquitectura (x86 o x64) y descárgalo.
3. Doble clic sobre el archivo .msu, pulsa Sí si pide permisos de administrador y sigue el asistente.
4. Cuando termine, reinicia el equipo cuando el propio asistente te lo pida; no lo cierres a mano.

Instala KB4474419 (soporte SHA-2) después y reinicia

1. Vuelve al Catálogo de Microsoft Update y busca «KB4474419»; descarga la versión de septiembre de 2019 o posterior, para x86 o x64.
2. Ejecuta el .msu como administrador y sigue el asistente hasta el final.
3. Reinicia cuando lo pida.
4. Abre Panel de control > Sistema y seguridad > Windows Update y pulsa Buscar actualizaciones: las nuevas deberían descargar e instalarse ya sin quedarse al 0 %.

Error 80072efe o 80072ee2 en Windows Update en Windows 7

Estos códigos aparecen sobre todo cuando los servidores SHA-1 se retiraron y el equipo aún no tenía la pila SHA-2. Si después de instalar KB4490628 y KB4474419 siguen saliendo, casi siempre es porque los componentes internos de Windows Update se quedaron a medias. Reiniciar esos componentes borra la caché y deja al cliente volver a conectar con SHA-2.

Restablece los componentes de Windows Update

Abre el Símbolo del sistema como administrador (Inicio > Todos los programas > Accesorios > clic derecho en Símbolo del sistema > Ejecutar como administrador) y ejecuta, en este orden:

net stop wuauserv
net stop cryptSvc
net stop bits
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old
net start wuauserv
net start cryptSvc
net start bits

Al final cada net start debe devolver "se inició el servicio …".

Vuelve a buscar actualizaciones tras reiniciar el PC

1. Reinicia Windows para que los servicios arranquen limpios.
2. Abre Panel de control > Sistema y seguridad > Windows Update > Cambiar la configuración y pulsa Buscar actualizaciones ahora.
3. Si vuelven a salir 80072efe/80072ee2, reinstala KB4474419 desde el catálogo (otra vez el .msu como administrador, reinicio) y repite este paso.

Pantallazo 0xc0000428 al arrancar tras instalar el KB en un equipo EFI

El 0xc0000428 (STATUS_INVALID_IMAGE_HASH) sale cuando Windows 7 intenta arrancar y la actualización anterior no se terminó de aplicar (suele pasar con KB4474419 antiguo, instalado sin reiniciar y en un equipo con UEFI). La salida es arrancar desde el DVD o USB de Windows 7, abrir la consola de recuperación y reaplicar el KB4474419 con DISM para que el hash SHA-2 quede bien escrito en la imagen de arranque.

Arranca desde el DVD o USB de instalación de Windows 7

1. Configura el orden de arranque en la BIOS/UEFI (cada fabricante usa una tecla: F2, F10, F12 o Supr al encender) y pon el DVD o USB de Windows 7 en primer lugar.
2. Arranca desde el medio; cuando aparezca la pantalla «Instalar ahora», elige abajo a la izquierda Reparar el equipo.
3. Elige la instalación de Windows 7 que quieres reparar (si hay varias, escoge por la letra de unidad) y abre Símbolo del sistema.

Reaplica KB4474419 con DISM desde la consola de recuperación

Primero identifica la letra de la partición donde está Windows: ejecuta dir C:\, dir D:\, etc., hasta ver la carpeta Windows. Lo habitual en una recuperación es que Windows esté en D:. Copia el .msu de KB4474419 a una carpeta accesible (por ejemplo, a la raíz de un USB con letra visible desde la consola) y ejecuta:

DISM /Image:D:\ /Add-Package /PackagePath:D:\KB4474419.msu

Cuando termine y diga «The restore operation completed successfully», escribe exit, pulsa Reiniciar y quita el medio de instalación.

Si nada funciona: asume que Windows 7 ya no recibe parches

Aunque consigas instalar KB4490628 y KB4474419 y Windows Update vuelva a funcionar, recuerda que Windows 7 SP1 no recibe parches de seguridad desde el 14/01/2020 y el programa de actualizaciones de pago ESU terminó en enero de 2023. Cualquier PC que cumpla los requisitos debería pasar a Windows 10 u 11 antes o después: hoy cualquier equipo compatible con Windows 7 está al límite y conviene revisar CPU, RAM y TPM antes de decidirse.

Comprueba si tu PC admite Windows 10 u 11 antes de migrar

1. Pulsa Win+R, escribe winver y anota la versión exacta de Windows 7 (Ultimate, Home Premium, etc.) y la arquitectura (x86 o x64).
2. Entra en la página oficial de Microsoft para Windows 10 y Windows 11 y revisa los requisitos: para Windows 11 hace falta TPM 2.0 y un procesador de la lista de compatibles; para Windows 10 basta con un procesador de 1 GHz, 1-2 GB de RAM y 16-20 GB de disco.
3. Si el equipo cumple, descarga la herramienta «Asistente de actualización» o la «Herramienta de creación de medios» desde la web oficial y sigue el asistente.

Haz copia de seguridad antes de reinstalar

• Documentos, Escritorio, Imágenes y Vídeos: copia toda la carpeta personal a un disco externo.
• Favoritos y contraseñas del navegador: exporta el archivo de favoritos y, si usas un gestor, copia su base de datos.
• Claves de programas y seriales: anota las licencias y, si puedes, exporta el Registro de cada programa (regedit > Archivo > Exportar).
• Drivers del fabricante: descarga desde la web de soporte de HP, Lenovo, Dell, Asus, etc. los drivers del modelo exacto y guárdalos en una carpeta aparte para reinstalarlos después.

Lo que ya has descuidado de Windows 7 SP1 y sus actualizaciones

Con el Service Pack 1, KB4490628 y KB4474419 instalados en ese orden y Windows Update ya descargando, Windows 7 SP1 vuelve a poder instalar los KB posteriores a 2019. No recibe parches de seguridad nuevos: el siguiente paso, si el hardware lo permite, es migrar a Windows 10 u 11; si no, mantén esta cadena de KB reinstalable y un buen antivirus.

Dudas sobre el error 0xc0000428

¿Por qué Windows 7 SP1 no descarga actualizaciones tras instalar KB4490628? Sin KB4474419 aplicado después (y su reinicio), Windows 7 no puede firmar las actualizaciones con SHA-2 y Windows Update se queda al 0 % o devuelve 80072efe. Instálalo en el orden indicado.

¿KB4474419 se puede instalar sin reiniciar después? No. La instrucción oficial pide reiniciar nada más terminar el asistente; sin reinicio, en equipos UEFI puede aparecer 0xc0000428 en el siguiente arranque.

¿Qué pasa con el Service Pack 1 de Windows 7? Es la base que exigen las actualizaciones posteriores: si winver no muestra «Service Pack 1», hay que instalarlo desde el Centro de descarga de Microsoft antes de nada.

¿Aún se puede pagar por las actualizaciones de Windows 7? No. El programa ESU terminó en enero de 2023; las únicas actualizaciones que entran hoy son las que arreglan el propio sistema de actualizaciones.

¿Vale la pena seguir con Windows 7 en 2026? Por seguridad, no. Si el equipo cumple los requisitos de Windows 10 u 11, lo recomendable es migrar; si no, queda como equipo aislado, sin internet para datos sensibles.

Dudas sobre el error 0xc0000428