Windows 11 ya no trae WMIC: el parche KB5124008 lo elimina y rompe scripts antiguos

La actualización acumulativa de Windows 11 de septiembre de 2026 ya está repartida y elimina WMIC por completo. No queda desactivado ni escondido: el componente no está, y ha dejado de ofrecerse como característica a petición. El parche es el KB5124008 y sube el sistema a la compilación 26200.9445.

Una herramienta legítima que acabó en manos del ransomware

WMIC son las siglas de Windows Management Instrumentation Command-line. Llevaba décadas en Windows y sirve para consultar y administrar equipos a través de WMI; la usaban tanto administradores como scripts de automatización, y por eso venía también en las ediciones de consumo. Microsoft la declaró obsoleta en mayo de 2021, al publicar Windows 10 21H1, pero la mantuvo instalable como característica a petición. Ahora ese camino se cierra.

El problema no era la herramienta, sino lo que se podía hacer con ella. El uso más repetido en ataques es borrar las copias de instantánea del volumen (volume shadow copies), las que Windows genera para recuperar versiones anteriores de archivos. Un atacante las elimina con WMIC antes de cifrar el disco, y con eso la víctima pierde la vía rápida de restauración. Hay informes que documentan a TeslaCrypt 4.1b haciendo exactamente eso, y también a Serpent, WhiteRose, Zenis y Saturn. WannaCry borraba instantáneas, desactivaba la recuperación de arranque y limpiaba copias de seguridad con comandos de WMIC; no fue el vector de infección, pero sí parte del destrozo que venía después.

Hay un segundo uso, más silencioso. Ciertos troyanos consultan con WMIC si Windows Defender está corriendo y a continuación se añaden a la lista de exclusiones del antivirus. Ocurrió en 2021 con el ransomware DeroHE, repartido en foros.

Cómo comprobar el estado y qué hacer

Instalada la actualización, si la compilación es 26200.9445 o superior, WMIC ya no está. Se comprueba escribiendo wmic en el terminal o en el símbolo del sistema: antes imprimía su ayuda; ahora devuelve un error de comando no reconocido. Aparte del propio WMIC, el parche corrige un centenar de vulnerabilidades graves, así que la actualización tiene interés por sí sola.

Microsoft mantiene en su documentación de soporte un paquete descargable para reinstalar WMIC a mano, pero lo limita a aplicaciones, scripts o flujos de trabajo que todavía dependan de él, y advierte de que es un puente temporal: «recomendamos dejar de usar esta solución temporal cuanto antes». Si no sabes qué es WMIC, no lo necesitas. Y si una web o un programa de terceros te empuja a instalarlo, conviene desconfiar.

Para quien administra parques de equipos, el trabajo pendiente es revisar scripts propios y software de gestión que invoquen la utilidad, porque empezarán a fallar. Del lado del atacante, la vía se estrecha: o busca otra forma de borrar las instantáneas, o intenta convencer al usuario de que reinstale la herramienta que el propio sistema acaba de quitar.