Windows Update no actualiza Microsoft Defender: por qué pasa y cómo arreglarlo

Si al abrir Seguridad de Windows ves un mensaje diciendo que las definiciones de Microsoft Defender están anticuadas, o si un escáner externo te señala que falta una actualización de inteligencia de seguridad, el problema suele estar entre el servicio de Windows Update y la propia base de firmas. Este artículo toma la keyword en su sentido más probable: «Windows Update no está actualizando las firmas de Microsoft Defender». Aplica a Windows 10 y Windows 11, con sus rutas en cada uno. Antes de tocar nada conviene crear un punto de restauración por si algo va mal después: en Inicio se busca «Punto de restauración» y se sigue el asistente.

Qué son las actualizaciones de inteligencia de seguridad de Defender

Las actualizaciones que entrega Windows Update para Microsoft Defender son tres paquetes juntos: las firmas antimalware (la lista de amenazas conocidas), el motor (el código que las usa para detectar) y la plataforma (la capa que conecta Defender con Windows). Microsoft publica una versión combinada casi a diario; la última disponible en el momento de redactar este artículo es la 1.459.691.0, con motor 1.1.26080.3 y plataforma 4.18.26090.9, publicada el 14 de octubre de 2026. Las notas de versión de cada lanzamiento asocian la corrección de una vulnerabilidad concreta a una versión de motor, no solo de firma: por eso a veces «tengo la firma al día» no basta. La descarga se hace en segundo plano a través de Windows Update o, en empresas, desde una fuente interna; las definiciones pueden forzarse a mano desde la pantalla de Seguridad de Windows o con la herramienta de línea de comandos MpCmdRun.exe. Desde finales de 2019 los paquetes se firman con SHA-2, un requisito que Windows 7 y Server 2008 necesitan tener instalado para poder validarlos.

Por qué no se actualiza Microsoft Defender: lo que puede estar fallando

Comprueba qué versión de Defender tienes y por qué falla

Antes de aplicar ningún arreglo, tres comprobaciones rápidas aclaran cuál de las cinco causas es la tuya y evitan tocar lo que no hace falta. Si la primera ya muestra el problema, ve directo a su sección de arreglo; las demás sirven para confirmarlo.

Versión de motor y plataforma desde la línea de comandos

Abre el Símbolo del sistema o Terminal como administrador (clic derecho en Inicio y elige Terminal (Administrador) en Windows 11, o Símbolo del sistema (Administrador) en Windows 10) y entra en la carpeta de la última plataforma con cd "C:\ProgramData\Microsoft\Windows Defender\Platform"; lista las subcarpetas con dir, entra en la más alta y ejecuta:

MpCmdRun.exe -GetDefinitions

EngineVersion: 1.1.26080.3
PlatformVersion: 4.18.26090.9
SignatureVersion: 1.459.691.0

Si el motor es anterior a 1.1.26040.8 y el aviso de MSRC pide esa versión, Defender necesita parchear: ve a «El motor o la plataforma están por debajo de la versión que pide la CVE». Si todo coincide con la última publicada, el problema está en el transporte, no en el contenido: pasa a los servicios.

Servicios de Windows Update y BITS en services.msc

Pulsa Win+R, escribe services.msc y pulsa Aceptar. En la lista, busca wuauserv (Windows Update), bits (Servicio de transferencia inteligente en segundo plano) y WdNisSvc (Servicio de inspección de red de Windows Defender). Si alguno aparece como Detenido o con su tipo de inicio en Deshabilitado, esa es la causa: ve a «Los servicios de Windows Update o BITS están parados».

Evento 20 de WindowsUpdateClient en el Visor de eventos

Pulsa Win+R, escribe eventvwr.msc y abre el visor. En el panel izquierdo ve a Registros de Windows > Sistema; en el panel derecho pulsa «Filtrar registro actual…», marca Origen y elige WindowsUpdateClient; en <Buscar> escribe 20 (o usa el identificador de evento 20 en el filtro). El registro muestra el KB afectado y un HRESULT: los 0x8007xxxx son errores Win32 envueltos (por ejemplo, 0x80070005 = acceso denegado, 0x80070002 = archivo no encontrado), mientras que 0x800f0922 apunta a que WSUS rechaza la actualización. Apunta el código y ve a la sección correspondiente.

Defender aparece desactivado por otro antivirus

Esta es la causa más frecuente cuando un escáner externo marca vulnerabilidades de Defender: Windows mantiene apagado Microsoft Defender mientras haya otro antivirus registrado en el Centro de seguridad de Windows (WSC). Mientras lo esté, Defender no descarga firmas ni actualizaciones de motor, aunque Windows Update esté sano.

Desinstalar el antivirus de terceros y sus restos

1. Abre Configuración (Win+I) y entra en Aplicaciones > Aplicaciones instaladas.
2. Selecciona el antivirus de terceros, pulsa Desinstalar y sigue el asistente de su fabricante: muchos dejan residuos que solo su herramienta de limpieza elimina.
3. Reinicia el equipo cuando lo pida.

Comprobar que Defender se ha vuelto a activar

Asegúrate de que Protección en tiempo real está en Activado y que arriba no aparece «Microsoft Defender está desactivado». Para acelerar la primera descarga, abre «Buscar actualizaciones de protección» en la pantalla de Protección contra virus y amenazas.

Los servicios de Windows Update o BITS están parados

Si services.msc mostró wuauserv, bits o cryptsvc Detenido, o si el evento 20 repite cada reinicio el mismo HRESULT, el sistema no entrega nada a Defender. Conviene arrancarlos a mano y forzar después una descarga de definiciones.

Arrancar los servicios a mano

En Símbolo del sistema o Terminal como administrador:

sc start wuauserv
sc start bits
sc start cryptsvc

Después services.msc debe mostrar los tres En ejecución. Si alguno devuelve un error 5 (acceso denegado), suele haber una directiva de empresa bloqueándolos.

Forzar la actualización de definiciones tras arrancar los servicios

Si sigue sin moverse, abre Símbolo del sistema como administrador y desde la carpeta de la última plataforma ejecuta MpCmdRun.exe -SignatureUpdate. La línea final dirá Security intelligence updated successfully cuando haya bajado firmas nuevas.

El motor o la plataforma están por debajo de la versión que pide la CVE

Cuando MpCmdRun -GetDefinitions confirma que motor o plataforma no llegan al mínimo que pide la vulnerabilidad, hay que ponerlos al día. La actualización puede bajarse sola en la siguiente pasada de Windows Update o forzarse a mano si la automática no llega.

Actualizar desde Seguridad de Windows

Pulsa Win+R, escribe ms-settings:windowsdefender y pulsa Aceptar. Entra en Protección contra virus y amenazas > Buscar actualizaciones de protección, espera a que termine, acepta la descarga y reinicia si lo pide.

En Windows 10 la ruta equivalente vive en Configuración > Actualización y seguridad > Seguridad de Windows > Protección contra virus y amenazas. Defender pasa entonces de las tres versiones actuales a las publicadas en la web de Microsoft.

Forzar la actualización manual con MpCmdRun

Si la automática no basta, abre Símbolo del sistema como administrador, entra en C:\ProgramData\Microsoft\Windows Defender\Platform\<última versión> y ejecuta:

MpCmdRun.exe -SignatureUpdate -MMPC

El parámetro -MMPC usa el origen Microsoft Malware Protection Center. La consola confirma con MpCmdRun: HrSUCCESS o con el mensaje de actualización de inteligencia completada.

La red, el proxy o WSUS bloquean la descarga de definiciones

En entornos corporativos, Defender no conecta con windowsupdate.microsoft.com directamente: usa un proxy con inspección SSL, un origen UNC compartido o WSUS. Si el proxy corta la conexión o WSUS no aprueba la actualización de inteligencia, Defender se queda con la firma vieja aunque Windows Update funcione para el resto.

Permitir las URL de actualización de Defender en el proxy y el firewall

• *.windowsupdate.microsoft.com y *.update.microsoft.com para los servicios de actualización.
• *.microsoft.com (sobre todo definitionupdates.microsoft.com y go.microsoft.com/fwlink/?LinkID=121721) para la descarga de los .exe de firma.
• Si el proxy hace inspección SSL, añade una excepción para esos mismos dominios: sin ella, la firma firmada con SHA-2 falla y Windows lo registra como 0x8007xxxx (error Win32).
• En el firewall corporativo, permite HTTPS (443) de salida hacia esos destinos a todos los equipos del dominio.

Comprobar que WSUS tiene aprobada la actualización KB2267602

1. En la consola de WSUS, busca "KB2267602" (paquete de inteligencia de seguridad de Microsoft Defender Antivirus).
2. Si está pendiente, ábrela, marca "Aprobado para instalación" y guarda.
3. En el equipo cliente afectado, abre Símbolo del sistema como administrador y ejecuta wuauclt /reportnow /detectnow para forzar la sincronización con el servidor.

Windows Update está dañado: repara los archivos del sistema

Cuando todo lo anterior está bien y Defender sigue sin actualizar, el problema está en el propio Windows Update: sus archivos están corruptos y arrastran a Defender. Aquí entran las herramientas oficiales, en este orden.

DISM y SFC para reparar la imagen de Windows

En Terminal como administrador, ejecuta primero DISM /Online /Cleanup-Image /RestoreHealth (tarda entre 10 y 30 minutos, puede quedarse en el 62 % o en el 84 % sin avanzar) y, cuando termine, sfc /scannow.

DISM /Online /Cleanup-Image /RestoreHealth

sfc /scannow

Restablecer los componentes de Windows Update

Cuando ni DISM ni SFC arreglan la actualización, se restablecen los componentes que usa Defender para bajar firmas. En Terminal como administrador:

net stop wuauserv
net stop bits
net stop cryptsvc
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old
net start cryptsvc
net start bits
net start wuauserv

Reinicia el equipo y vuelve a buscar actualizaciones desde Configuración > Windows Update.

Lo que ya has descartado en las actualizaciones de Defender

• Que las definiciones estén anticuadas por tener otro antivirus antivirus WSC: se arregla desinstalando el tercero y sus restos.
• Que wuauserv, bits o WdNisSvc estén Detenido en services.msc: se arrancan con sc start o se restablecen sus dependencias.
• Que el motor quede por debajo de la versión que pide la CVE: se sube con MpCmdRun -SignatureUpdate -MMPC o con la pantalla de Seguridad de Windows.
• Que el proxy, el firewall o WSUS corten las descargas: se abren los dominios oficiales y se aprueba KB2267602.
• Que Windows Update entero esté dañado: DISM /RestoreHealth y sfc /scannow, y como último recurso restablecer los componentes de actualización.

Si tras todo esto Defender sigue sin moverse, el siguiente paso es reinstalar la versión actual de Windows desde Configuración > Sistema > Recuperación > Restaurar PC (conservando archivos y programas): repara el sistema sin tocar tu cuenta ni tus datos.

Datos comprobados en octubre de 2026.

Dudas sobre Windows Update y las actualizaciones de Microsoft Defender