Si en un servidor con Windows Server 2012 R2 o 2016 ves un proceso llamado MsSense.exe consumiendo CPU o memoria, o no encuentras la carpeta del sensor EDR de Microsoft Defender for Endpoint, esta guía te lleva de la mano para ver qué versión tienes, actualizarla con KB5005292 y dejar el servicio bajo control. MsSense.exe es el ejecutable del sensor EDR (detección y respuesta de puntos de conexión) de Microsoft Defender for Endpoint; no es el antivirus de Seguridad de Windows. En este artículo se toma ese significado, el más habitual cuando se busca «mssense» en el contexto de un servidor.
Qué es MsSense y para qué sirve en Windows
MsSense.exe es el proceso del sensor EDR de Microsoft Defender for Endpoint. Se instala como parte del paquete unificado de Defender for Endpoint publicado en 2021 y pensado para servidores que aún no tienen el agente moderno. Aplica a Windows Server 2012 R2 y Windows Server 2016; el paquete unificado ocupa unos 12 MB y se identifica con KB5005292. No requiere intervención del usuario mientras el servicio esté activo y en comunicación con el portal de Microsoft Defender. Si el sensor no arranca, Defender for Endpoint deja de recibir telemetría del servidor y el equipo deja de estar protegido por la capa EDR (el antivirus de Seguridad de Windows sigue funcionando por su cuenta, pero sin detección avanzada).
Tras el fin del soporte general de Windows 10 el 14 de octubre de 2025, este componente cobra relevancia en equipos que migran a Defender for Endpoint y quieren mantener la protección EDR en servidores antiguos que no pueden actualizar el sistema.
Por qué MsSense falla o no se actualiza: lo que puede estar pasando
La siguiente tabla va de lo más habitual a lo menos; cada fila nombra, por su título exacto, la parte donde se arregla.
| Lo que ves en el servidor | Causa más probable | Dónde se arregla |
|---|---|---|
MsSense.exe consume mucha CPU o memoria |
El sensor está reintentando embarque o el límite no está ajustado | MsSense.exe satura CPU o memoria: frena el sensor sin desinstalarlo |
| KB5005292 no aparece en Windows Update o no se instala | WSUS va por detrás de la distribución amplia o WSUS no tiene la categoría de Defender | KB5005292 no aparece en Windows Update o no se instala: actualiza MsSense a mano |
MsSense.exe no está en el servidor |
El servidor nunca se embarcó a Defender for Endpoint | MsSense no está en el servidor: embarca el endpoint a Defender |
Versión 10.8048.* (anterior a abril de 2022) tras actualizar |
El catálogo o el WSUS aún no tiene el MSI que cierra CVE-2022-23278 | MsSense queda en versión anterior a abril de 2022: aplica el arreglo de CVE-2022-23278 |
Comprueba qué versión de MsSense tienes y si necesita actualizar
Antes de tocar nada, hay que ver la versión instalada y compararla con la del paquete: si la instalada es igual o superior a la del MSI, el instalador no aplica nada y la actualización se considera ya hecha. Hay dos formas rápidas de mirarlo.
La versión en el Registro con InstallLocation
Abrir el Editor del Registro como administrador: en Inicio, escribir regedit, clic derecho y "Ejecutar como administrador". Navegar a la siguiente clave:
El valor InstallLocation apunta a la carpeta donde está el ejecutable; por defecto, dentro de Archivos de programa. Si la carpeta no existe o el valor está vacío, el sensor no está instalado y hay que embarcar el servidor.
La versión exacta con PowerShell
Abrir PowerShell como administrador (en Inicio, escribir powershell, clic derecho y "Ejecutar como administrador") y ejecutar:
(Get-Item (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows Advanced Threat Protection').InstallLocation + 'MsSense.exe').VersionInfo.FileVersionEl resultado es algo como 10.8048.x.y. Si termina en 10.8048.* o anterior (versiones de antes de abril de 2022), le falta el arreglo de CVE-2022-23278 y conviene descargar el MSI del catálogo.
10.8049.* o superior y coincide con el del catálogo, el sensor ya está al día y no hay que hacer nada más.MsSense.exe satura CPU o memoria: frena el sensor sin desinstalarlo
Cuando el proceso se dispara y tira del servidor, lo primero es ajustar lo que consume sin quitar la protección. Esto aplica si en el Administrador de tareas (Ctrl+Mayús+Esc) ves MsSense.exe ocupando CPU alta de forma sostenida o memoria por encima de lo habitual, y en el portal el dispositivo aparece con consumo inusual.
Limita CPU y memoria desde el portal de Microsoft Defender
En un navegador, ir a:
Bajar el límite de uso de CPU y el de memoria en los campos correspondientes y guardar. El cambio tarda unos minutos en aplicarse al servicio MsSense del servidor. No hace falta reiniciar.
Comprueba que Defender for Endpoint está conectado y sin trabajos pendientes
En el mismo portal, abrir el estado del sensor del dispositivo afectado:
Si está "Inactivo" o "Con errores", MsSense se queda reintentando y sube el consumo. Hay que resolver primero el estado de embarque (conectividad de red, credenciales, proxy) antes de tocar los límites de CPU/memoria.
MsSense.exe baja y se mantiene estable durante una hora, el límite está aplicado. Si sigue alto, ve a MsSense no está en el servidor: embarca el endpoint a Defender y revisa el estado de embarque.KB5005292 no aparece en Windows Update o no se instala: actualiza MsSense a mano
Cuando WSUS va por detrás, la solución es bajar el MSI directamente del catálogo y aplicarlo en el servidor. Esto aplica si en Windows Update la actualización de Defender for Endpoint no aparece, aparece y falla, o si en la consola de WSUS la categoría de productos de Microsoft Defender no está seleccionada.
Descarga el paquete en Microsoft Update Catalog
- Abrir el catálogo en el navegador: https://www.catalog.update.microsoft.com/Search.aspx?q=KB5005292
- Buscar el MSI que coincida con la arquitectura del servidor (x64 para Windows Server 2012 R2 y 2016).
- Descargar el archivo a una carpeta local, por ejemplo
C:\Temp\KB5005292.
No requiere reinicio y no se puede desinstalar una vez aplicado.
Ejecútalo como administrador y deja que termine
- En el Explorador de archivos, ir a la carpeta donde se guardó el MSI.
- Clic derecho sobre el archivo > "Ejecutar como administrador".
- Esperar a que la ventana de instalación finalice sin cerrarla.
- Al terminar, repetir el comando PowerShell de la sección de diagnóstico: si
FileVersioncambia a una compilación posterior, la actualización se aplicó.
FileVersion no cambia, el MSI era igual o inferior al instalado y ya estaba al día; ver la sección siguiente para el caso de CVE-2022-23278.MsSense no está en el servidor: embarca el endpoint a Defender
Si el proceso no existe, el problema es que el servidor nunca se unió a Defender for Endpoint, no que MsSense haya fallado. Esto aplica si MsSense.exe no aparece en el Administrador de tareas y la clave InstallLocation del Registro está vacía o la carpeta no existe.
Comprueba los requisitos del paquete unificado
- Windows Server 2012 R2 o Windows Server 2016 con Service Stack Update al día.
- Microsoft .NET Framework 4.5 o posterior instalado.
- Paquete unificado de Microsoft Defender for Endpoint, descargado desde el portal.
- Conectividad de red saliente a los endpoints de Defender for Endpoint (sin proxy que los bloquee).
Si falta alguno, MsSense ni siquiera llega a instalarse.
Embarca el servidor con el paquete unificado
La guía oficial está en:
Dirección: https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-server-endpoints
Pasos resumidos:
- Entrar en https://security.microsoft.com con una cuenta con permisos de embarque.
- Ir a Configuración > Endpoints > Onboarding (Embarque) y descargar el paquete unificado para Windows Server 2012 R2/2016.
- Copiar el MSI al servidor y ejecutarlo como administrador (clic derecho > "Ejecutar como administrador").
- Esperar al reinicio si el instalador lo pide.
- Comprobar en el portal, en Dispositivos, que el servidor aparece con sensor activo.
MsSense.exe aparece en el Administrador de tareas y en el portal el dispositivo pasa a "Activo", el embarque se completó.MsSense queda en versión anterior a abril de 2022: aplica el arreglo de CVE-2022-23278
Si el comando PowerShell devuelve 10.8048.* y el portal no actualiza el sensor, queda la ruta manual de KB5005292, que es la única que cierra CVE-2022-23278 en servidores con esa versión de MSI instalada antes de abril de 2022. Esta vulnerabilidad es de tipo Spoofing (suplantación): si el sensor está por debajo de esa versión, un atacante podría manipular las señales que Defender for Endpoint recibe del servidor.
Reinstala el MSI forzando la actualización
Si la versión instalada es la misma que la del paquete, el MSI no aplica nada. En ese caso, descargar la versión más reciente del catálogo y ejecutarla de nuevo como administrador siguiendo los pasos de la sección anterior. Tras terminar, volver a consultar FileVersion con PowerShell.
Si Defender sigue sin marcar el sensor al día
- Abrir un caso de soporte en el portal de Microsoft Defender (https://security.microsoft.com > Ayuda y soporte > Abrir una solicitud).
- Incluir el
Device IDdel servidor, la salida del comando PowerShell conFileVersiony la fecha de instalación del MSI. - Esperar la respuesta del equipo de soporte, que confirma si la distribución amplia ha llegado al inquilino o si hay que aplicar otra acción.
10.8048.*, el servidor ya no es vulnerable a CVE-2022-23278. Si no cambia, abrir el caso de soporte con los datos indicados.Lo que ya has comprobado de MsSense.exe
MsSensesolo se actualiza si la versión instalada es inferior a la del paquete MSI.- La versión se mira con el comando PowerShell sobre
MsSense.exeo con la claveInstallLocation. - KB5005292 se baja del catálogo de Microsoft Update y no requiere reinicio.
- El sensor EDR no es lo mismo que el antivirus de Seguridad de Windows.
- En Windows 10 hay que tener en cuenta que el soporte general terminó el 14/10/2025 y Defender for Endpoint es la vía para mantener la protección EDR.
Si MsSense.exe no aparece en el servidor, lo siguiente es embarcarlo con el paquete unificado siguiendo la guía oficial de Microsoft.
Datos comprobados en octubre de 2026.
Dudas frecuentes sobre MsSense.exe en Windows Server
1. ¿Qué es la actualización KB5005292 y para qué sirve?
La KB5005292 es una actualización acumulativa publicada por Microsoft en agosto de 2021 para Windows 10 (versiones 21H1, 20H2 y 2004). Incluye parches de seguridad y correcciones de errores, y entre sus cambios figura una actualización del servicio Microsoft Defender for Endpoint relacionada con el archivo MsSense.exe, que mejora la protección frente a vulnerabilidades conocidas.
2. ¿Cómo descargar e instalar manualmente la actualización KB5005292?
Para Windows 10, descarga la KB5005292 desde el Catálogo de Microsoft Update (catalog.update.microsoft.com) buscando su número, elige la versión de Windows y arquitectura (x86 o x64) y guarda el archivo .msu. Ejecútalo como administrador con doble clic; el sistema completará la instalación y podrás comprobarla en el historial de Windows Update con winver o win + r + "winver".
3. ¿Qué es la actualización KB4052623 y por qué aparece en Windows 10?
La KB4052623 es una actualización acumulativa de marzo de 2018 para Windows 10, centrada en mejoras de seguridad y compatibilidad. Microsoft la relanzó después como una plataforma de protección para Microsoft Defender for Endpoint, que es el servicio al que pertenece MsSense.exe, por lo que puede aparecer al revisar el historial de actualizaciones de tu equipo.
4. ¿Qué es y para qué sirve la actualización KB2267602?
La KB2267602 es la actualización de definiciones para el antimalware de Microsoft (Microsoft Defender Antivirus / Malicious Software Removal Tool). Se publica varias veces por semana para que el motor reconozca las amenazas más recientes; cuando MsSense.exe muestra un error tras una definición defectuosa, instalar manualmente la última versión de esta KB desde el Catálogo de Microsoft Update suele solucionarlo.
Fuentes
- MicrosoftWhat's new in Microsoft Sentinel: July 2026consultado el 15/10/2026