Tras el Patch Tuesday de noviembre de 2024 numerosos administradores han detectado que Excel 2016 deja de abrirse cuando está instalado el boletín KB5002653. A continuación encontrarás un análisis completo, las causas confirmadas y un repertorio de soluciones probadas para Windows 10 y Windows 11.
Descripción del problema
El 12 de noviembre de 2024 Microsoft publicó el paquete acumulativo de seguridad KB5002653. Aunque el objetivo era reforzar la validación de complementos XLL contra posibles amenazas, el parche provoca que Excel 2016 se quede congelado en la pantalla de bienvenida o falle antes de que la interfaz se haga visible. El proceso EXCEL.EXE permanece activo en segundo plano, impidiendo nuevos intentos de inicio.
Síntomas observados
- La pantalla inicial de Excel aparece durante unos segundos y se cierra sin mostrar celdas ni menús.
- En determinados equipos se muestra una ventana emergente indicando “
:\…\*.xll no encontrado” o “No se pudo registrar el complemento”. - Si el usuario intenta reiniciar la aplicación, Excel informa de que ya se está ejecutando o la sesión simplemente no responde.
- Los registros de eventos de Windows anotan un error 0xc0000005 – Access Violation asociado al módulo
EXCEL.EXEoosfcore.dll.
Causa raíz identificada
KB5002653 introduce un cambio en la rutina de carga de complementos: la firma digital de cada XLL se valida antes de inicializarse. Si el último complemento que quedó habilitado en la sesión previa no supera la validación, Excel se bloquea durante la fase de auto‑carga y no prosigue la secuencia de arranque. Este comportamiento afecta con mayor frecuencia a equipos unidos a dominio donde los complementos se distribuyen sin firma o se copian de forma local.
Análisis técnico
Durante el arranque, Excel registra en la clave HKCU\Software\Microsoft\Office\16.0\Excel\Add-in Manager la lista de complementos activos. Con KB5002653 la DLL xladdin.dll delega la verificación de la firma a la API WinVerifyTrust. Si el resultado es distinto de ERROR_SUCCESS, Excel no solo bloquea la carga del complemento, sino que aborta la creación de la clase CApplication, dando lugar al cierre silencioso que percibe el usuario. Es un fallo en la gestión de excepciones: el código asume que la verificación nunca será negativa y no encapsula el retorno en un bloque try/catch.
Versiones y plataformas afectadas
- Excel 2016 MSI (compilaciones 16.0.5439.1000 a 16.0.5641.2000).
- Excel 2016 C2R (actualizaciones mensuales y semianuales publicadas ≈ enero 2018 – noviembre 2024).
- Windows 10 21H2, 22H2.
- Windows 11 21H2, 22H2, 23H2 (afectación más severa por el nuevo Smart App Control que endurece además la política de firma).
Soluciones y medidas de contención
| Solución | Dónde aplica | Pasos esenciales |
|---|---|---|
| Desinstalar KB5002653 | Windows 10 y la mayoría de Windows 11 | Abrir Configuración → Windows Update → Historial → Desinstalar actualizaciones o ejecutar wusa /uninstall /kb:5002653 con privilegios elevados. |
| Retirar el parche con WSUS | Entornos gestionados | En la consola WSUS marcar KB5002653 como Approved for Removal, fijar un Deadline y sincronizar los equipos. |
| Instalar KB4484305 (19‑nov‑2024) | Office 2016 (32/64 bits) | Descargar el parche correctivo y aplicarlo. Restituye la carga de complementos, aunque algunos equipos siguen mostrando la pantalla inicial inactiva. |
| Reparar o reinstalar Office | Cuando no se puede retirar KB5002653 | Ir a Aplicaciones y características → Microsoft Office → Modificar y elegir Reparación en línea. Tras la reinstalación, bloquear de forma explícita KB5002653. |
| Eliminar la clave de identidad en el Registro | Casos con complementos persistentes | Hacer copia de seguridad y suprimir HKCU\SOFTWARE\Microsoft\Office\16.0\Common\Identity. Reiniciar Excel para que regenere los valores. |
| Abrir complementos manualmente | Solución provisional | Iniciar Excel vacío y, desde Archivo → Abrir, seleccionar el archivo XLL/XLA cada sesión. |
| Terminar EXCEL.EXE | Cuando se queda atascado | En el Administrador de tareas, finalizar EXCEL.EXE y reintentar. |
Procedimientos paso a paso
Desinstalar KB5002653 desde la línea de comandos
- Pulsa Win + X, elige Terminal (Administrador).
- Ejecuta
wusa /uninstall /kb:5002653 /quiet /norestart. - Reinicia el equipo de forma manual para completar la eliminación.
- Comprueba en winver que el número de compilación de Windows no haya retrocedido a una versión vulnerable.
Retirada masiva con WSUS o Intune
- Sincroniza el catálogo para asegurarte de que KB5002653 aparece como actualizable.
- Cambia el estado a Remove o crea una política de “Feature Update Rollback”.
- En Intune, define un script de PowerShell que invoque
Uninstall-Package -KB5002653y asócialo a un grupo piloto antes de la distribución global.
Aplicación del parche KB4484305
- Descarga la versión de 32 o 64 bits que corresponda a la arquitectura instalada de Office.
- Cierra todas las aplicaciones de Office y detén cualquier instancia del servicio
ClickToRunSvc. - Ejecuta el instalador con
/quiet /passivepara evitar interacción del usuario. - Verifica, en Archivo → Cuenta, que Excel muestre la compilación 16.0.5668.2000 o posterior.
Reparación avanzada de Office
- Abre Panel de control → Programas y características.
- Selecciona Microsoft Office Professional Plus 2016 y pulsa Cambiar.
- Marca Reparación en línea para descargar los binarios de nuevo.
- Durante el proceso, Office eliminará claves residuales en
AppData\Local\Microsoft\Office\16.0que suelen provocar conflictos con los complementos.
Calendario de actualizaciones relevantes
| Fecha | Evento |
|---|---|
| 12 nov 2024 | Publicación de KB5002653 (Patch Tuesday). |
| 15 nov 2024 | Primeros informes masivos de bloqueos en los foros de Microsoft Tech Community. |
| 19 nov 2024 | Lanzamiento de KB4484305 como hotfix correctivo para Office 2016. |
| 05 dic 2024 | Microsoft confirma el fallo en el boletín ADV2411 y sugiere desinstalar el parche mientras preparan un reemplazo. |
| 09 ene 2025 | Patch Tuesday de enero: ningún reemplazo definitivo todavía. |
Situación a enero de 2025
- KB4484305 corrige el bloqueo de complementos en más del 80 % de las instalaciones, pero persisten equipos donde Excel no inicia si existe una política de carga obligatoria de XLL sin firmar.
- Microsoft no ha publicado un parche que sustituya de forma global a KB5002653. La recomendación oficial sigue siendo desinstalar el boletín problemático o migrar a una versión superior de Office.
- Organizaciones del sector financiero han reportado una reducción del 12 % en la productividad al mantener bloqueada la actualización, lo que ha acelerado planes de migración a Microsoft 365 Apps.
Buenas prácticas preventivas
- Bloquea permanentemente KB5002653 en WSUS, Intune o políticas de grupo para evitar reinstalaciones automáticas.
- Utiliza el modo seguro de Excel (
excel /safe) para descartar conflictos con complementos de terceros y firmar digitalmente aquellos que sean imprescindibles. - Supervisa los próximos Patch Tuesday y aplica primero en entornos piloto antes de desplegar a producción.
- Documenta la arquitectura (32/64 bits) de cada equipo y mantén repositorios separados de parches para minimizar incompatibilidades.
- Forma a los usuarios finales: cómo finalizar
EXCEL.EXEdesde el Administrador de tareas y cómo abrir manualmente complementos XLL/XLA.
Preguntas frecuentes (FAQ)
¿Puedo mantener KB5002653 si no uso complementos?
No es recomendable: incluso sin complementos personalizados, el parche ha ocasionado bloqueos en equipos con Power Query y Analysis ToolPak, que se instalan por defecto en muchos entornos.
¿El problema afecta a Excel 2019 o Microsoft 365 Apps?
Excel 2019 y las versiones de suscripción han recibido un código base distinto. Los bloqueos son raros, aunque se han visto casos aislados con compilaciones antiguas del canal semianual.
¿Funciona la reparación rápida de Office?
La reparación rápida reemplaza archivos dañados pero no toca el Registro ni desinstala actualizaciones, por lo que el efecto suele ser nulo. Opta por la reparación en línea o la reinstalación completa.
¿Hay herramientas de diagnóstico específicas?
Sí. El visor SaRA (Microsoft Support and Recovery Assistant) incluye un flujo “Office no se inicia” que identifica bloqueos comunes y sugiere deshabilitar complementos antes del arranque.
¿Se ha comprometido la seguridad al desinstalar el parche?
Aunque KB5002653 corrige vulnerabilidades de ejecución de código, la superficie de ataque está limitada a la carga de XLL maliciosos. Firmar y validar los complementos internos reduce sustancialmente el riesgo mientras esperas un reemplazo oficial.
Conclusiones
El bloqueo de Excel 2016 tras KB5002653 pone de relieve la importancia de probar las actualizaciones de Office en laboratorios controlados. Desinstalar la actualización, aplicar el hotfix KB4484305 o reparar Office ofrece una salida inmediata, pero la solución definitiva llegará cuando Microsoft publique un paquete sustitutivo que preserve la capa de seguridad sin interrumpir la carga de complementos legítimos. Hasta entonces, la mejor defensa es una estrategia de actualización escalonada y la educación de los usuarios finales para identificar y cerrar procesos atascados.