Novedades de Microsoft Intune, octubre de 2026 (18 cambios que debes conocer)

En octubre de 2026 llegaron dieciocho cambios a Microsoft Intune: cuatro entregas semanales (5, 12, 19 y 26 de octubre) y la versión de servicio 2610, con catorce cambios ella sola. Algunos te piden actuar. Aquí están todos, en tres grupos: actúa ya, conviene saberlo y en breve.

Microsoft despliega cada versión poco a poco, a lo largo de varios días a una semana, así que si algo aún no aparece en tu tenant, dale un poco de tiempo. Fuente de todo lo que sigue: Novedades de Microsoft Intune en Microsoft Learn.

Actúa ya

Administrator protection en Windows 11

Administrator protection es una función de Windows 11 basada en el mínimo privilegio. Incluso un administrador local trabaja con un token estándar. Cuando algo necesita permisos de administrador, como instalar software, Windows pide aprobarlo con Windows Hello. Una cuenta oculta, gestionada por el sistema, crea entonces un token de administrador solo para esa tarea, y el token desaparece al cerrar la app.

Intune añadió los dos ajustes que lo controlan: el tipo de Admin Approval Mode (que lo activa) y el comportamiento del aviso de elevación. Están en las directivas de seguridad de los puntos de conexión Account protection y en el catálogo de configuración para Windows 11 24H2 y 25H2.

Lo que hay que vigilar: si aplicas las líneas base de seguridad de Windows de Microsoft por directiva de grupo, la actualización de seguridad de Windows de octubre de 2026 activa Administrator protection por defecto. La línea base de seguridad de Intune para 26H2 no incluye este ajuste, así que en dispositivos gestionados solo con Intune no cambia nada hasta que lo configures. En ambos casos, se aplica tras reiniciar.

Microsoft indica sitios donde hoy no conviene activarlo, como los Cloud PC de Windows 365, los hosts de sesión de Azure Virtual Desktop, los dispositivos que necesitan Hyper-V y los gestionados con LAPS. Consulta la lista completa en Administrator protection y prueba antes con un grupo piloto.

Línea base de seguridad para Windows 11, versión 26H2

Ajustes nuevos, valores predeterminados actualizados y guía revisada. Los perfiles de línea base que ya tienes no se actualizan solos: crea un perfil nuevo o actualiza uno existente a la última versión, y revisa antes tus personalizaciones. Configure NetBIOS settings queda fuera a propósito porque hoy solo funciona en compilaciones Insider.

Permisos con ámbito para el control de acceso basado en roles (GA)

Hasta ahora, cuando un grupo de administradores tenía dos asignaciones de rol en la misma categoría de permisos, Intune las combinaba. Ejemplo: App Admins con acceso de solo lectura a las apps etiquetadas Headquarters y control total de las etiquetadas Regional Office acababa con control total también en Headquarters. Con los permisos con ámbito activados, los permisos de cada asignación se quedan dentro de su propia etiqueta de ámbito.

Dos cosas antes de activarlo: ejecuta el Permissions Assessment Report (Tenant administration > Roles > Settings) para ver qué grupos perderían acceso, y ten en cuenta que activarlo no tiene vuelta atrás. Consulta etiquetas de ámbito y permisos con ámbito.

Apple: se retira Setup Assistant (legacy)

En la inscripción automatizada de dispositivos con afinidad de usuario en iPhone, iPad y Mac, Setup Assistant (legacy) ya no existe. Los perfiles que lo usaban se cambiaron a Setup Assistant with modern authentication, y los dispositivos ya inscritos siguen inscritos. Merece la pena probar el flujo moderno para saber qué verán los usuarios nuevos.

Apple: se eliminan las cargas de trabajo antiguas de actualización por MDM

Apple eliminó en OS 27 los comandos MDM antiguos de actualización de software, así que Intune eliminó esas cargas de trabajo. Las actualizaciones de Apple van ahora por la gestión declarativa de dispositivos (DDM), compatible con iOS/iPadOS 17 o posterior y macOS 14 o posterior. Consulta actualizaciones de software de Apple.

Windows: scripts más rápidos y un nuevo punto de conexión en el firewall

Intune usa ahora notificaciones push cuando cambia un script de Windows, así que los dispositivos se sincronizan antes en lugar de esperar al intervalo normal de sondeo. La conectividad push también mejoró para acciones de dispositivo, apps Win32, scripts de PowerShell y correcciones. Microsoft recomienda permitir este punto de conexión en tu firewall: *.trouter.communications.svc.cloud.microsoft.

Conviene saberlo

• Estado del conector de certificados. El centro de administración muestra ahora el estado del Certificate Connector for Intune (Active, Warning, Action required) con indicaciones para problemas como que el conector no llegue a tu entidad de certificación o le falten permisos. Consulta la introducción al conector.
• Líneas base de auditoría STIG en tenants comerciales. Solo auditoría: los dispositivos Windows se comprueban contra el STIG de Windows 11 (197 reglas), con aprobado o suspenso por ajuste y dispositivo, sin cambiar nada. Requiere Intune Advanced Analytics, que se licencia aparte de Intune Plan 1; consulta las licencias de Intune.
• Protección en tiempo de ejecución de agentes de IA. La plantilla de seguridad de los puntos de conexión ya está disponible de forma general, con un ajuste nuevo de AI agent runtime inspection. Defender for Endpoint inspecciona lo que leen y hacen los agentes de IA locales (por ejemplo instrucciones ocultas de inyección de prompts) y audita o bloquea la acción. Consulta AI agent runtime protection.
• Enforce Routes en perfiles VPN de Apple. Elige Include all networks y Exclude local networks, e Intune calcula el valor de Enforce Routes para que el tráfico no se salte el túnel. Se aplica a la VPN de todo el dispositivo, no a la VPN por app.
• Inventario de dispositivos con Apple OS 27. Más datos de estado DDM, como la salud de los componentes de hardware, el estado de la caché de contenido, el tipo de inscripción y el modo de aislamiento.
• Licencias VPP ilimitadas. Las apps del programa de compras por volumen se pueden asignar con licencias ilimitadas desde Apple Business y Apple School Manager.

En breve

• Activación masiva de eSIM en dispositivos Android Enterprise de empresa (totalmente gestionados, dedicados y perfil de trabajo de propiedad corporativa), hasta 100 dispositivos a la vez con Android 15 o posterior. Un borrado masivo conserva los planes de datos eSIM salvo que elijas quitarlos.
• Apps referenciadas en AOSP: gestiona apps que ya están en el dispositivo por nombre de paquete. Required muestra la app, Uninstall la oculta.
• Compatibilidad con la app OEMConfig de MEFERI en Android Enterprise.
• Remote Help para Windows 5.2.1210.0, con mejoras de estabilidad y observabilidad.

Tu lista de octubre

1. Decide sobre Administrator protection y pruébalo con un piloto.
2. Pasa a la línea base de seguridad de Windows 11 26H2.
3. Ejecuta el Permissions Assessment Report antes de activar los permisos con ámbito.
4. Prueba Setup Assistant with modern authentication para ADE de Apple.
5. Pasa las actualizaciones de Apple a DDM.
6. Permite *.trouter.communications.svc.cloud.microsoft en tu firewall.

¿Cuál de estos dieciocho cambios afecta más a tu tenant? Cuéntamelo en los comentarios del vídeo.