Microsoft elimina el antivirus del núcleo de Windows: aquí te explicamos por qué es importante.

• Microsoft está reubicando las herramientas antivirus y de detección de puntos finales fuera del núcleo de Windows para mejorar la estabilidad del sistema y minimizar los riesgos de fallos.
• Este cambio aislará el software de seguridad en modo de usuario, evitando problemas como el incidente de CrowdStrike de 2024 que provocó errores masivos de pantalla azul de la muerte.
• Microsoft Defender y las herramientas antivirus de terceros seguirán funcionando con normalidad, pero en un entorno más seguro y controlado.

Microsoft está reestructurando el funcionamiento del software antivirus (AV) y de detección y respuesta de endpoints (EDR) al eliminarlo del núcleo de Windows. Este cambio está a punto de entrar en fase de vista previa privada y forma parte de la Iniciativa de Resiliencia de Windows , una estrategia a largo plazo para minimizar fallos críticos del sistema, como el que vimos con CrowdStrike en 2024, que dejó millones de sistemas inutilizables tras una actualización defectuosa del núcleo.

¿Por qué Microsoft está haciendo este cambio?

Tradicionalmente, las herramientas antivirus y de respuesta a emergencias (EDR) operaban en lo más profundo del núcleo (el núcleo privilegiado de Windows 11, 10 y versiones anteriores) para obtener acceso completo a los procesos, la memoria y los controladores. Por un lado, esto era lo que las hacía efectivas para detectar amenazas avanzadas, pero por otro, también era lo que las hacía temibles, ya que un error o una actualización defectuosa en el núcleo puede provocar el colapso total del sistema, como se vio en el incidente de CrowdStrike.

Al aislar las herramientas AV/EDR en modo de usuario, Microsoft reduce su acceso a componentes críticos del sistema, lo que significa que si un motor antivirus no funciona correctamente, será mucho menos probable que provoque un fallo en el ordenador.

Qué significa para los consumidores habituales

Para los usuarios habituales de Windows 11 , esta transición será prácticamente imperceptible, lo cual es positivo. El antivirus Microsoft Defender (o cualquier otro antivirus de terceros) seguirá funcionando y su portátil, tableta o ordenador de sobremesa permanecerá protegido. Sin embargo, operará en un entorno más seguro y controlado en segundo plano.

¿Se podrá desinstalar Microsoft Defender ahora? La respuesta corta es no, todavía no. Microsoft Defender seguirá siendo un componente de seguridad predeterminado en el sistema operativo, especialmente para los usuarios que no instalan software antivirus de terceros. Sin embargo, reubicar Defender fuera del núcleo podría abrir la puerta a una mayor modularidad. En el futuro, podría ser más fácil deshabilitar o reemplazar el antivirus predeterminado sin comprometer la integridad del sistema.

Otro punto a destacar es que, si falla una actualización del antivirus, el resto del sistema estará protegido, lo que resultará en menos errores de pantalla azul .

Además, el gigante del software está trabajando en una nueva función llamada "Recuperación rápida de máquinas", que permite a los administradores de red restaurar con mayor rapidez los dispositivos que no arrancan, como respuesta directa al caos provocado por el fallo del kernel de CrowdStrike. Esta función también estará disponible para usuarios particulares, no solo para organizaciones.

Qué significa para las empresas

Para las empresas y los profesionales, este cambio también es bienvenido. Los sistemas antivirus a nivel de núcleo siempre han presentado riesgos, como una actualización fallida, un conflicto de controladores o una comprobación de compatibilidad omitida, que pueden dejar inoperativos miles de equipos en un instante. Este cambio de arquitectura aísla las herramientas de seguridad de terceros de las capas críticas del sistema operativo, lo que hace que las organizaciones sean menos vulnerables a los fallos y facilita su recuperación.

Microsoft ya está colaborando con socios como CrowdStrike, Bitdefender, Sophos, Trend Micro y ESET para garantizar que sus herramientas funcionen fuera del núcleo del sistema. La compañía también subraya que no se trata de una decisión unilateral, sino de un rediseño colaborativo de la integración del antivirus en el sistema operativo.

Además, la nueva plataforma permite una implementación más controlada de las actualizaciones de seguridad. Los departamentos de tecnología se beneficiarán de implementaciones por fases, mejor telemetría y opciones de reversión mejoradas.

Microsoft también quiere arreglar el sistema antitrampas.

Si bien eliminar el antivirus del núcleo es un avance positivo, no es el único problema. Muchas soluciones antitrampas en los juegos utilizan controladores a nivel de núcleo para detectar herramientas de trampas y manipulación de memoria. Sin embargo, esto conlleva los mismos riesgos que el software antivirus, como una programación deficiente o actualizaciones obsoletas, lo que puede comprometer la estabilidad del sistema.

Microsoft está colaborando con desarrolladores de videojuegos para diseñar mecanismos antitrampas que no afecten al núcleo del sistema operativo, lo que podría resultar en una experiencia de juego más estable y menos baneos por falsos positivos.

La nueva arquitectura para herramientas antivirus y EDR se está desarrollando actualmente pensando en Windows 11 y versiones futuras. No hay indicios de que este cambio se vaya a implementar en Windows 10. Sin embargo, dado que la compañía planea facilitar a los usuarios el uso continuado de Windows 10 tras la finalización del soporte el 14 de octubre de 2025, existe la posibilidad de que el cambio también se aplique a la versión anterior del sistema operativo.