Cómo incorporar actualizaciones de seguridad en imágenes ISO y WIM de Windows

Gestionar imágenes de Windows puede ser un poco engorroso, sobre todo si quieres mantenerlas actualizadas con los últimos parches sin tener que reinstalar todo desde cero. A veces, implementar una imagen con actualizaciones de seguridad o funciones faltantes puede ser un verdadero fastidio, sobre todo si gestionas muchas máquinas. Por eso, integrar las actualizaciones sin conexión (básicamente, inyectar parches directamente en tu install.wim) es una solución. No siempre es fácil hacerlo, sobre todo con los nuevos formatos ISO de Windows y todas las peculiaridades de DISM. Pero una vez que le coges el truco, es bastante satisfactorio saber que tus imágenes están completamente parcheadas antes de la implementación, lo que te ahorra tiempo y dolores de cabeza más adelante.

Cómo agregar actualizaciones de Windows a una imagen sin conexión

Comprueba lo que necesitarás antes de sumergirte

  • La imagen de instalación de Windows, ya sea en formato ISO o como archivo install.wim (o install.esd).
  • Un archivo de actualización. MSU: obténgalo del Catálogo de Microsoft Update. Asegúrese de que la versión y la arquitectura sean correctas; de lo contrario, obtendrá errores de «Actualización no aplicable».Créame, es molesto solucionarlos sin tener una idea clara de las piezas y versiones compatibles.
  • Crea una estructura de carpetas como:
    • C:\updates\mnt — el directorio donde se montará el archivo WIM
    • C:\updates\msu — coloque aquí sus actualizaciones de MSU (descargadas del Catálogo de actualizaciones de MS)
    • C:\updates\WinImage : copia tu archivo install.wim o install.esd de la carpeta Sources del ISO a este directorio. Si trabajas con WDS, MDT u otra herramienta de implementación, obtén el archivo WIM desde allí.

Montar la imagen de Windows con DISM

Nota: Si su ISO se creó con herramientas más modernas, podría estar en formato ESD. Por eso, probablemente deba convertirlo primero a WIM. Este paso puede resultar confuso para algunos, ya que los ESD están comprimidos y son menos fáciles de editar directamente. Por lo tanto, el primer paso es exportar la edición de Windows deseada del ESD a un WIM, usando comandos como:

dism /Export-Image /SourceImageFile:"E:\sources\install.esd" /SourceIndex:6 /DestinationImageFile:C:\Updates\WinImage\win11pro.wim /Compress:max /CheckIntegrity

Este ejemplo extrae la edición Windows 11 Pro (índice 6).Para saber qué índice tiene su ISO, ejecute:

DISM /Get-WimInfo /WimFile:"E:\sources\install.esd"

Luego, monta ese WIM:

dism /mount-wim /wimfile:C:\Updates\WinImage\win11pro.wim /index:1 /mountdir:C:\updates\mnt

Si es necesario, reemplaza /index:1 con el número de índice de la edición con la que estás trabajando.¿No estás seguro del índice de tu imagen? Simplemente ejecuta el comando info anterior y busca el correcto.

Agregar actualizaciones al WIM

En este paso se inyectan los parches. Ejecutar:

dism /image:C:\updates\mnt /add-package /packagepath:C:\updates\msu

Esto procesará todos los archivos MSU en esa carpeta. Si la actualización no coincide con la versión o arquitectura de tu sistema operativo, o si ya está instalada, DISM la omite y registra lo sucedido en [ C:\Windows\Logs\DISM\dism.logarchivo].Por lo tanto, si algo no se aplica, revisa ese registro para ver por qué.

Otro consejo: si tienes una máquina de referencia ejecutando la misma compilación de Windows, puedes obtener los archivos CAB de su carpeta C:\Windows\SoftwareDistribution\Download. Puedes usar este comando para sincronizar parches directamente desde allí:

start /w /r \\PC1234\C$\Windows\SoftwareDistribution\Download\ %f in (*.cab) do dism /image:C:\updates\mnt /add-package /packagepath:"%f"

De esta forma, no tendrás que descargar manualmente cada actualización. Solo asegúrate primero de que el equipo remoto esté completamente actualizado.

Limpieza y guardado de la imagen parcheada

Una vez que se agregan las actualizaciones, es una buena idea limpiar el almacén de componentes para reducir el tamaño:

dism /image:C:\updates\mnt /Cleanup-Image /StartComponentCleanup /ResetBase

Esto ayuda a reducir el tamaño de la imagen, especialmente si aumenta demasiado con las nuevas actualizaciones.

Por último, desmonte y guarde la imagen:

dism /unmount-wim /mountdir:C:\updates\mnt /commit

Opcionalmente, puede verificar qué actualizaciones hay en la imagen enumerando los paquetes instalados:

DISM /image:C:\updates\mnt /Get-Packages /format:table

O consultar el WIM directamente:

Dism /image:C:\Updates\WinImage\win11pro.wim /Get-Packages

Si tu archivo install.wim supera los 4 GB (lo que ocurre si mantienes todas las actualizaciones y archivos en un solo bloque), no podrás usarlo para arrancar máquinas UEFI a menos que esté formateado en FAT32. Para solucionarlo, divide el archivo install.wim en archivos SWM más pequeños con un comando como este:

dism /Split-Image /ImageFile:C:\Update\WinImage\install.wim /SWMFile:C:\Update\WinImage\install.swm /FileSize:4096

Ya está listo para reconstruir su ISO con estos archivos actualizados, usando herramientas como oscdimg.exe. Aquí tiene un comando de ejemplo rápido para crear una ISO de arranque con compatibilidad con UEFI:

oscdimg.exe -h -m -o -u2 -udfver102 -bootdata:2#p0, e, bc:\win11\iso\boot\etfsboot.com#pEF, e, bc:\win11\iso\efi\microsoft\boot\efisys.bin -lWin11 c:\iso c:\win11_updated.iso

Y no olvides que también puedes agregar controladores a la imagen (como controladores NVMe o USB 3) con DISM, lo que resulta de gran ayuda al crear medios de instalación personalizados para hardware más nuevo.