Actualizaciones de Windows bloquean VeraCrypt y WireGuard: Qué hacer

La ciberseguridad es un equilibrio perpetuo entre la protección proactiva y la libertad de operación de herramientas críticas. Esta semana, el ecosistema de Windows se vio sacudido por una fricción técnica que subraya esta tensión: herramientas de seguridad esenciales como VeraCrypt, WireGuard y Windscribe se encontraron repentinamente bloqueadas. La causa raíz no es un fallo técnico aleatorio, sino una consecuencia directa de las nuevas y estrictas políticas de validación de controladores impuestas por Microsoft, que han transformado el proceso de recibir actualizaciones de Windows en una barrera inesperada para el software de código abierto y utilidades de privacidad.

La “Gran Purga” de controladores: Seguridad a qué precio

A partir de abril de 2026, Microsoft comenzó a implementar una política mucho más agresiva en el núcleo de Windows 11 y Windows Server 2025. El objetivo declarado es eliminar finalmente la confianza por defecto en controladores firmados a través de programas de raíces “cross-signed” (firmas cruzadas), una arquitectura que se remonta a la década de 2000 y que, según Redmond, ha sido explotada repetidamente para inyectar código malicioso en el kernel. Ahora, Windows requiere que cualquier controlador de modo kernel pase obligatoriamente por el Windows Hardware Compatibility Program (WHCP).

Si bien el objetivo de cerrar la puerta a los ataques “Bring Your Own Vulnerable Driver” (BYOVD) es loable desde una perspectiva de ingeniería de seguridad, la ejecución ha sido, en palabras de la comunidad técnica, “un abismo”. La transición no solo afectó a hardware antiguo, sino que dejó paralizados a desarrolladores independientes que dependían de cuentas de programas de hardware que fueron suspendidas —aparentemente de forma automática y sin aviso previo— debido a un proceso de re-verificación masivo lanzado en octubre de 2025.

El impacto en la cadena de confianza de las actualizaciones de Windows

Para los usuarios, el impacto es inmediato y contraintuitivo: al no tener un controlador certificado por el WHCP, Windows simplemente rechaza cargar el código o, en el caso de las actualizaciones de Windows integradas en las aplicaciones, el sistema operativo interfiere con el proceso de actualización automatizado.

• VeraCrypt: El desarrollador Mounir Idrassi reportó la terminación de su cuenta de firma, impidiendo la actualización de controladores y del gestor de arranque.
• WireGuard: El protocolo VPN sufrió bloqueos similares debido a la imposibilidad de firmar nuevos controladores, dejando a los usuarios expuestos a posibles vulnerabilidades.
• Windscribe: La plataforma también reportó dificultades similares, destacando una tendencia preocupante de herramientas de privacidad siendo tratadas como “software no deseado” bajo el nuevo rigor del sistema.

Este bloqueo no es solo una molestia. En el caso de herramientas de cifrado como VeraCrypt, la incapacidad de actualizar el software que interactúa con el kernel del sistema puede dejar a los usuarios en una situación vulnerable si se descubre una falla de seguridad. Microsoft, al centralizar la “autoridad de confianza”, ha creado un punto único de falla administrativo que, si se rompe, detiene el ciclo de vida de seguridad de herramientas críticas.

La burocracia técnica como barrera de entrada

El problema fundamental aquí es la disparidad entre los requisitos de Microsoft y la realidad del desarrollo de código abierto. El WHCP no es solo un control de seguridad; es un proceso burocrático y costoso que requiere una infraestructura constante. Muchos desarrolladores de utilidades de código abierto operan sin la capacidad de mantener procesos de cumplimiento empresarial a gran escala.

Microsoft ha intentado mitigar el desastre introduciendo un “modo de evaluación” en las actualizaciones de Windows de abril, diseñado para auditar las cargas de controladores sin bloquearlas inmediatamente. Sin embargo, para los desarrolladores cuyas cuentas fueron suspendidas de forma fulminante, el modo de evaluación llega tarde. La necesidad de una re-verificación obligatoria de las cuentas de desarrollador, sin una comunicación clara ni un proceso de apelación ágil —que según algunos afectados puede tardar hasta 60 días— ha expuesto una brecha de soporte técnico que parece estar automatizada en exceso.

Acciones recomendadas para usuarios y administradores

Hasta que Microsoft termine de corregir los “falsos positivos” en sus procesos de verificación y restaure las cuentas suspendidas, la dependencia exclusiva de las actualizaciones de Windows automáticas para mantener estas herramientas es arriesgada. Los usuarios deben adoptar un enfoque de precaución:

1. Verificar manualmente: Visite siempre los sitios web oficiales de VeraCrypt, WireGuard o su VPN de preferencia para descargar las versiones más recientes. No confíe en que el actualizador integrado dentro de la aplicación funcione correctamente en este momento.
2. Monitorear el visor de eventos: Si experimenta inestabilidad con periféricos o herramientas de seguridad tras las últimas actualizaciones de Windows, revise el Visor de Eventos para detectar errores de carga de controladores (especialmente relacionados con la integridad del código).
3. Entornos corporativos: Los administradores deben utilizar el Application Control for Business (anteriormente WDAC) para gestionar excepciones explícitas si sus herramientas internas o críticas de seguridad están siendo marcadas erróneamente por las nuevas políticas de firma.

¿Hacia un Windows más cerrado?

Lo que estamos presenciando es un cambio de paradigma. Windows se está moviendo hacia un modelo donde la “seguridad” es dictada estrictamente por el fabricante del sistema operativo. Si bien esto reduce la superficie de ataque, también aumenta el control de Microsoft sobre qué software es “apto” para operar en el nivel más bajo del sistema. La fricción vivida esta semana por VeraCrypt y otros es una advertencia de que la independencia de las herramientas de privacidad y seguridad está siendo supeditada a los procesos de validación de una sola entidad.

La comunidad de código abierto ha demostrado ser resiliente, pero la interdependencia técnica que Microsoft ha forjado es difícil de ignorar. Mientras Microsoft promete “hacerlo mejor” y restaurar el acceso, queda la pregunta: ¿es este el nuevo estándar para el software en Windows? La seguridad no puede ser un camino de una sola dirección. Si las actualizaciones de Windows continúan priorizando políticas de validación rígidas sobre la interoperabilidad, los usuarios seguirán encontrándose en medio de un conflicto entre el sistema operativo que eligen y las herramientas que necesitan para proteger su privacidad.