Cuando Windows Server 2019 muestra el mensaje «We couldn’t connect to the update service…» y Microsoft Edge devuelve el código 0x80072EE2, normalmente hay un problema de red, proxy o caché corrupta. A continuación encontrarás un procedimiento paso a paso para restaurar la capacidad de actualización.
Comprender el origen del error 0x80072EE2
El código 0x80072EE2 indica que el cliente no recibe una respuesta dentro del tiempo de espera establecido al intentar alcanzar los servicios de Microsoft Update. En servidores corporativos esto suele estar relacionado con:
- Reglas de firewall o proxy muy restrictivas.
- Entradas DNS que responden lentamente o con valores obsoletos.
- Caché del servicio Windows Update dañada.
- Políticas de grupo que redirigen al servidor a un WSUS fuera de servicio.
Requisitos previos antes de empezar
- Inicia sesión con una cuenta que pertenezca al grupo Administradores.
- Realiza una copia de seguridad o toma un snapshot de la máquina virtual.
- Verifica la conectividad a Internet con
Test-NetConnection www.microsoft.com -Port 443. - Programa una ventana de mantenimiento: la operación reiniciará servicios críticos.
Pasos detallados para restablecer la conexión con Windows Update
Comprobar configuración de proxy y DNS
Asegúrate de que el servidor resuelve correctamente los dominios de Windows Update y que no está detrás de un proxy que rompa la conexión segura:
:: Vaciar configuración de proxy WinHTTP
netsh winhttp reset proxy
\:: Verificar resolución DNS
nslookup windowsupdate.microsoft.com
\:: Verificar latencia hacia Microsoft Update
ping -n 3 download.windowsupdate.com Si utilizas un proxy corporativo, agrega excepciones para .update.microsoft.com y .msedge.net, o configura autenticación transparente.
Reiniciar componentes de Windows Update
Este procedimiento fuerza la reconstrucción de la caché y los catálogos locales:
net stop wuauserv
net stop bits
net stop cryptsvc
ren %windir%\SoftwareDistribution SoftwareDistribution.old
ren %windir%\System32\catroot2 catroot2.old
net start cryptsvc
net start bits
net start wuauserv Vuelve a ejecutar la búsqueda de actualizaciones. El directorio SoftwareDistribution se recreará con nuevos metadatos.
Verificar puertos y filtrado en el firewall
Los dominios y puertos necesarios deben estar abiertos tanto en el firewall local como en el perimetral:
| Servicio | Dominios a permitir | Puertos salientes |
|---|---|---|
| Windows Update | windowsupdate.microsoft.com, download.windowsupdate.com, *.update.microsoft.com | 80 TCP, 443 TCP |
| Microsoft Edge Update | edge.microsoft.com, *.msedge.net | 443 TCP |
En redes con inspección TLS profunda añade exclusiones para los certificados de Microsoft; de lo contrario, la negociación TLS fallará antes de completar el handshake.
Revisar políticas de grupo o WSUS
Los equipos unidos a dominio pueden estar apuntando a un WSUS retirado. Compruébalo así:
:: Generar informe de GPO
gpresult /h C:\Temp\gp.html
\:: Revisar claves de registro
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate /s Elimina o corrige las entradas WUServer y WUStatusServer si el punto WSUS ya no existe. Tras aplicar cambios ejecuta gpupdate /force y reinicia el servicio Windows Update.
Ejecutar el solucionador de problemas oficial
Con la utilidad wu10.diagcab Microsoft automatiza la corrección de permisos, restablece el BITS y repara la pila de servicios. Simplemente descárgala, ejecútala y sigue las indicaciones.
Solución específica para Microsoft Edge
Actualizar Edge manualmente con el instalador offline
Descarga la versión stable de 64 bits y ejecútala de forma silenciosa para reinstalar los componentes dañados:
MicrosoftEdgeEnterpriseX64.msi /quiet /norestart
Al finalizar, abre Edge y comprueba la versión en edge://settings/help. Una reinstalación limpia reescribe los servicios EdgeUpdate y sus rutas en el registro.
Limpiar la caché de Edge Update
net stop edgeupdate
del /f /q "%LOCALAPPDATA%\Microsoft\EdgeUpdate\*"
net start edgeupdate
Borra también las carpetas EdgeUpdateCrashReports para eliminar descargas incompletas.
Validar la integridad del sistema
Si el problema persiste, verifica archivos del sistema y la imagen de Windows:
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
Una vez completado, revisa CBS.log para confirmar que no queden componentes corruptos.
Revisión de registros y diagnóstico avanzado
C:\Windows\WindowsUpdate.log– Contiene el detalle de la transacción con los servidores de Microsoft.%LOCALAPPDATA%\Microsoft\EdgeUpdate\Log– Rastrea cada intento de descarga del instalador de Edge.Event Viewer → Applications and Services Logs → Microsoft → Windows → WindowsUpdateClient.
Si necesitas compartir la traza con soporte, usa PowerShell:
Get-WindowsUpdateLog -LogPath C:\Temp\WU_$(Get-Date -Format yyyyMMdd).log
Automatizar los pasos con PowerShell
Guarda el siguiente script como Fix-WU.ps1 para ejecutar el proceso completo con un solo comando:
Write-Host "Reiniciando Windows Update..." -ForegroundColor Cyan
Stop-Service wuauserv,bits,cryptsvc -Force
Rename-Item "$env:SystemRoot\SoftwareDistribution" "SoftwareDistribution.old" -EA SilentlyContinue
Rename-Item "$env:SystemRoot\System32\catroot2" "catroot2.old" -EA SilentlyContinue
Start-Service cryptsvc,bits,wuauserv
Write-Host "Proceso completado. Reinicia manualmente para aplicar cambios." -ForegroundColor Green
Qué hacer si el problema persiste
En entornos donde existen dispositivos de inspección SSL, soluciones SD‑WAN o balanceadores de carga, recopila trazas de red con netsh trace start capture=yes. Analiza los paquetes en Wireshark y confirma que no se devuelven códigos RST o el handshake TLS no se interrumpe. Con dicha información abre un ticket en el Centro de Soporte de Microsoft.
Buenas prácticas para evitar futuros bloqueos de actualización
- Implementa ventanas mensuales de mantenimiento para instalar parches acumulativos el mismo día del Patch Tuesday.
- Habilita el flujo RSS o las notificaciones por correo de actualizaciones de seguridad para detectar vulnerabilidades críticas.
- Centraliza el control de parches con WSUS o Microsoft Endpoint Configuration Manager y aplica auto‑approval rules solo a clasificaciones de seguridad.
- Asegura redundancia DNS: configura al menos dos reenviadores hacia servidores públicos rápidos.
- Incluye reglas de exclusión en proxies de inspección TLS para los dominios de Microsoft Update y Edge Update.
Preguntas frecuentes
¿Puedo borrar SoftwareDistribution sin detener servicios?
No. wuauserv y BITS deben estar detenidos para evitar daños en los archivos de base de datos.
¿Restablecer la pila de Windows Update afecta a roles como AD DS o Hyper‑V?
No. El proceso se limita a componentes de actualización y no interfiere con servicios de directorio ni virtualización.
¿Qué sucede si Edge sigue sin actualizarse tras reinstalarlo?
Comprueba que el servicio edgeupdate no esté bloqueado por una política de grupo y que el programador de tareas tenga activada la tarea MicrosoftEdgeUpdateTaskMachineCore.
¿Puedo aplicar las mismas soluciones en Windows Server 2022?
Sí, los pasos son prácticamente idénticos; solamente cambia el número de compilación e imagen en DISM.
¿Cómo desactivo la entrega de actualizaciones por pares (Delivery Optimization)?
Esta característica suele estar deshabilitada en las ediciones de servidor, pero se puede forzar mediante GPO: Computer Configuration → Administrative Templates → Windows Components → Delivery Optimization → Download Mode = Simple.