Los administradores de sistemas que mantienen instancias de Windows Server 2022 alojadas en la nube se han topado con un problema frecuente a partir del 9 de enero de 2024: la actualización acumulativa KB5034439, dedicada a reforzar la seguridad del Windows Recovery Environment (WinRE), muestra errores de instalación una y otra vez. En la mayoría de los casos no se trata de un fallo del servicio de Windows Update, sino de una circunstancia muy concreta: la imagen base suministrada por el proveedor de nube simplemente no contiene una partición WinRE. Este artículo profundiza en el porqué, describe paso a paso la verificación y, cuando sea necesario, explica cómo crear la partición para que la actualización se instale sin contratiempos.
Causa raíz: la ausencia de WinRE en imágenes de servidor
Algunos proveedores de infraestructura en la nube optimizan sus plantillas de sistema operativo eliminando funcionalidades que consideran “de escritorio”, como la partición WinRE. Esta partición, presente por defecto en instalaciones físicas o inicializadas desde medios oficiales, alberga el archivo winre.wim que permite:
- Ejecutar entornos de recuperación al arrancar (solución de problemas, revertir actualizaciones, etc.).
- Desbloquear volúmenes protegidos con BitLocker si el sistema principal se vuelve inaccesible.
- Aplicar reparaciones automáticas sin intervención del usuario.
La actualización KB5034439 modifica precisamente ese archivo winre.wim. Cuando el instalador busca la partición y no la encuentra, devuelve un error (0x800f0922 o 0x80070643 son los más comunes). En realidad el servidor sigue funcionando, pero la cola de parches permanece “roja”, generando alertas de cumplimiento o desconcierto entre los operadores.
¿Ignorar el error o corregirlo?
Decidir depende de la política de la organización:
| Escenario | Recomendación |
|---|---|
| Servidor sin BitLocker ni políticas de recuperación específicas. | Elimine la actualización de la lista oculta o marque como “no aplicable”. No es un riesgo de seguridad. |
| Servidor con BitLocker o requisitos de recuperación en caliente. | Imprescindible restaurar WinRE para garantizar el desbloqueo y la reparación en arranque. |
| Entornos regulados que exigen baselines 100 % aplicados. | Crear la partición WinRE para cumplir auditorías. |
Comprobación rápida de WinRE
Antes de emprender cambios, confirme el estado con una única orden:
reagentc /infoInterprete la salida:
- Windows RE status : Disabled o bien WinRE location : (not set) → No existe partición WinRE registrada.
- Enabled y una ruta
GLOBALROOT\device\harddiskX\partitionY→ WinRE presente y funcional.
Creación manual de WinRE (método guiado)
Solo debe seguir este procedimiento si la organización realmente necesita la partición. De lo contrario, salte a la sección “Bloquear la actualización”.
Reducción del volumen del sistema
Abra Disk Management o diskpart y reduzca la unidad C: en 1 GB (1024 MB). No es imprescindible un tamaño exacto, pero suele ser suficiente para alojar winre.wim y futuros parches.
Creación de un nuevo volumen NTFS
- En el espacio liberado, cree un volumen sin letra.
- Asigne el GUID de tipo de partición WinRE:
DE94BBA4-06D1-4D40-A16A-BF3D5F5B90F8 - Monte temporalmente el volumen con una letra (ej.
R:).
Copia del archivo winre.wim
mkdir R:\Recovery\WindowsRE
copy C:\Windows\System32\Recovery\winre.wim R:\Recovery\WindowsRE\Registro en el sistema
reagentc /setreimage /path R:\Recovery\WindowsRE
reagentc /enableVerifique nuevamente con reagentc /info. El estado debe aparecer como Enabled.
Automatización con PowerShell
Para flotas grandes, el siguiente script encapsula cada paso. Se ejecuta con privilegios elevados y reinicia únicamente si al final lo considera necesario.
# Ruta donde montaremos la nueva partición temporalmente
$DriveLetter = "R"
$ShrinkSizeMB = 1024 # 1 GB
$RecoveryGUID = "DE94BBA4-06D1-4D40-A16A-BF3D5F5B90F8"
Reducir volumen C:
Write-Host "Reducción de \$ShrinkSizeMB MB en C:..."
Resize-Partition -DriveLetter C -Size ((Get-Partition -DriveLetter C).Size - (\$ShrinkSizeMB \* 1MB))
Crear nuevo volumen
Write-Host "Creación de partición WinRE..."
\$disk = Get-Partition -DriveLetter C | Get-Disk
\$new = New-Partition -DiskNumber \$disk.Number -Size (\$ShrinkSizeMB\*1MB) -GptType \$RecoveryGUID -AssignDriveLetter
Format-Volume -Partition \$new -FileSystem NTFS -NewFileSystemLabel "WINRE"
Copiar winre.wim
New-Item "\$(\$new\.DriveLetter):\Recovery\WindowsRE" -ItemType Directory -Force
Copy-Item "\$env\:SystemRoot\System32\Recovery\winre.wim" "\$(\$new\.DriveLetter):\Recovery\WindowsRE"
Registrar e habilitar
reagentc /setreimage /path "\$(\$new\.DriveLetter):\Recovery\WindowsRE"
reagentc /enable
Write-Host "WinRE configurado correctamente."Ejecución de Windows Update tras restaurar WinRE
Con la partición activa, fuerce la detección de nuevas actualizaciones:
wuauclt /detectnowo simplemente abra la consola tradicional de Windows Update y pulse en Buscar actualizaciones. Esta vez la KB5034439 debería instalarse sin error.
Alternativas si WinRE no es necesario
Para entornos donde la funcionalidad de recuperación se delega en snapshots de hipervisor, respaldo de disco o automatización de reaprovisionamiento:
- Ocultar la actualización con
wushowhide.diagcabo políticas de grupo (Do not include drivers with Windows Updates, sección “Update Ring”). - Excluir KB5034439 en la fase de orquestación (WSUS o herramientas de terceras partes) marcándola como “Not applicable” para Windows Server 2022.
- Documentar la decisión para auditorías de seguridad, indicando que el servidor carece de WinRE y por tanto el parche no es pertinente.
Preguntas frecuentes
¿Por qué Microsoft ofrece una actualización que mi servidor no necesita?
El catálogo de Windows Update no distingue si una imagen incluye WinRE; distribuye el parche según la versión de SO. La lógica de detección se ejecuta después.
¿Puedo eliminar WinRE para siempre y evitar el problema?
Sí, pero no es recomendable en máquinas que usen BitLocker. Sin WinRE, descifrar una unidad cifrada desde un entorno de recuperación es mucho más laborioso.
¿Se perderá la partición tras actualizar la plantilla del proveedor de nube?
Las plantillas oficiales de Microsoft Azure ya incluyen WinRE. Si el proveedor recompone la imagen, adoptará las convenciones nuevas. No obstante, las instancias existentes conservarán su estado actual.
¿Cuánta capacidad necesita la partición a largo plazo?
Con 1 GB es suficiente para el archivo winre.wim y varios parches acumulativos. Si quiere curarse en salud, reserve 2 GB.
Conclusión
El error de instalación de la KB5034439 en Windows Server 2022 se debe casi siempre a la falta de la partición WinRE. Determinar si la funcionalidad de recuperación es indispensable es el primer paso: si no lo es, el mensaje de error puede ignorarse de forma segura; en caso contrario, basta con crear o restaurar la partición siguiendo el procedimiento descrito. Una vez WinRE vuelve a estar registrado, la actualización se aplica sin inconvenientes y el servidor queda totalmente al día.