Hotpatch per aggiornamenti qualitativi di Windows

Con gli aggiornamenti hotpatch, è possibile adottare rapidamente misure per proteggere l'organizzazione dal panorama in continua evoluzione degli attacchi informatici, riducendo al minimo le interruzioni per gli utenti. Gli aggiornamenti hotpatch sono aggiornamenti di sicurezza mensili di tipo B che vengono installati e resi effettivi senza richiedere il riavvio del dispositivo. Riducendo al minimo la necessità di riavviare, questi aggiornamenti consentono di garantire una conformità più rapida, semplificando il mantenimento della sicurezza da parte delle organizzazioni mantenendo i flussi di lavoro ininterrotti.

Gli aggiornamenti della sicurezza Hotpatch sono abilitati per impostazione predefinita per tutti i dispositivi idonei in Microsoft Intune. Questo approccio aiuta le organizzazioni a mantenere la conformità della sicurezza riducendo al minimo le interruzioni del flusso di lavoro.

Puoi configurare se la patch a caldo è abilitata per i tuoi dispositivi usando un'impostazione a livello di tenant o i criteri di aggiornamento qualitativo.

Vantaggi principali

• Sicurezza più rapida: le correzioni di sicurezza Hotpatch hanno effetto senza richiedere un riavvio, rendendo i dispositivi protetti molto più rapidamente.
• Interruzione ridotta: Hotpatch installa gli aggiornamenti della sicurezza idonei senza richiedere un riavvio immediato del dispositivo, consentendo agli utenti di rimanere produttivi.
• Payload più piccoli: le dimensioni del pacchetto Hotpatch sono significativamente inferiori rispetto agli aggiornamenti cumulativi standard.
• Nessuna modifica agli anelli di aggiornamento esistenti: le configurazioni degli anelli di aggiornamento esistenti rimangono in vigore e vengono onorate insieme alle configurazioni hotpatch.
• Visibilità a livello di criterio: il report sugli aggiornamenti qualitativi di Hotpatch fornisce una visualizzazione a livello di criteri dello stato di aggiornamento per i dispositivi che ricevono aggiornamenti di Hotpatch.

Prerequisiti

Hotpatch ha gli stessi prerequisiti dei criteri di aggiornamento qualitativo di Windows. Vedere Prerequisiti per l'aggiornamento qualitativo. In questa sezione vengono evidenziati altri prerequisiti specifici per la patch a caldo.

Dispositivi non idonei

I dispositivi che non soddisfano uno o più prerequisiti ricevono automaticamente l'aggiornamento cumulativo più recente (LCU). L'ultimo aggiornamento cumulativo (LCU) contiene aggiornamenti mensili che sostituiscono gli aggiornamenti del mese precedente contenenti release sia di sicurezza che non di sicurezza.

LCU richiede il riavvio del dispositivo, ma garantisce che il dispositivo rimanga completamente sicuro e conforme.

Cicli di rilascio

Per ulteriori informazioni sul calendario di rilascio per gli aggiornamenti hotpatch, vedere Note sulla versione per hotpatch.

• Linea di base: include le correzioni per la sicurezza, le nuove funzionalità cumulative e i miglioramenti più recenti. Necessario il riavvio.
• Patch a caldo: include gli aggiornamenti della sicurezza. Non è necessario riavviare il computer.

Durante un mese hotpatch, se un dispositivo ha gli aggiornamenti hotpatch abilitati ma non è nell'ultimo aggiornamento di base, il dispositivo riceverà sia l'ultimo aggiornamento di base (riavvio obbligatorio) sia l'ultimo aggiornamento hotpatch.

Patch a caldo in Windows 11 Enterprise o Windows Server 2025

Gli aggiornamenti hotpatch sono simili tra Windows 11 e Windows Server 2025.

• Windows Autopatch gestisce gli aggiornamenti di Windows 11
• L'abbonamento Gestore aggiornamenti di Azure e facoltativo Azure Arc per le edizioni Windows 2025 Datacenter/Standard (locale) gestisce Windows Server edizione Datacenter Azure 2025.

Le date del calendario, otto mesi di patch a caldo e quattro mesi di base, pianificate ogni anno, sono le stesse per tutti i sistemi operativi supportati da patch a caldo. Sono possibili mesi di riferimento aggiuntivi per un sistema operativo (ad esempio, Windows Server 2022), mentre sono previsti mesi di patch a caldo per un altro sistema operativo, ad esempio Server 2025 o Windows 11, versione 24H2. Esamina le note sulla versione in Integrità delle versioni di Windows.

Registrare i dispositivi per la ricezione degli aggiornamenti hotpatch

È possibile abilitare gli aggiornamenti hotpatch per i dispositivi usando un'impostazione a livello di tenant o criteri di aggiornamento qualitativo. L'impostazione a livello di tenant è l'impostazione predefinita applicata ai dispositivi che non sono membri di un criterio di aggiornamento qualitativo. Se un dispositivo è assegnato a un criterio di aggiornamento qualitativo, l'impostazione hotpatch di tale criterio è quella applicata.

Impostazione predefinita del tenant hotpatch

L'impostazione predefinita del tenant viene applicata solo ai dispositivi che non sono membri di un criterio di aggiornamento qualitativo.

Windows Autopatch rispetta la configurazione dei criteri di aggiornamento qualitativo. Se un dispositivo è assegnato a uno di questi criteri, l'impostazione hotpatch di tale criterio è quella applicata.

Configurare il comportamento di aggiornamento hotpatch predefinito per il tenant come indicato di seguito:

1. Nell'interfaccia di amministrazione di Microsoft Intune selezionare Amministrazione> tenantGestione del tenantWindows Autopatch>.
2. Selezionare la scheda Impostazioni tenant .
3. Attiva o disattiva l'impostazione Quando disponibile, applica gli aggiornamenti senza riavviare il dispositivo ("hotpatch") su Consenti o Blocca.

Configurare la patch a caldo usando i criteri di aggiornamento qualitativo.

Windows Autopatch rispetta la configurazione dell'impostazione hotpatch nei criteri di aggiornamento qualitativo. Se un dispositivo è assegnato a uno di questi criteri, verrà applicata l'impostazione hotpatch di tale criterio, non l'impostazione predefinita del tenant.

Per registrare i dispositivi per la ricezione degli aggiornamenti hotpatch:

1. Nell'interfaccia di amministrazione di Microsoft Intune, selezionare Aggiornamentidi Windowsper dispositivi>.
2. Selezionare la scheda Aggiornamenti qualitativi .
3. Selezionare Crea e quindi selezionare i criteri di aggiornamento qualitativo di Windows.
4. Nella sezione Nozioni di base immettere un nome per il nuovo criterio e selezionare Avanti.
5. Nella sezione Impostazioni , impostare Quando disponibile, applicare senza riavviare il dispositivo ("hotpatch") su Consenti. Selezionare quindi Avanti.
6. Selezionare i tag di ambito appropriati o lasciarli come predefiniti. Selezionare quindi Avanti.
7. Assegnare i dispositivi al criterio e selezionare Avanti.
8. Rivedere il criterio e selezionare Crea.

Questi passaggi assicurano che i dispositivi di destinazione che soddisfano i criteri di idoneità siano configurati correttamente. Vedere Prerequisiti. Ai dispositivi non idonei vengono offerti gli aggiornamenti cumulativi più recenti (LCU). Scoprire cosa rende un dispositivo non idoneo.

Eseguire il rollback di un aggiornamento hotpatch

Il ripristino dello stato precedente automatico di un aggiornamento hotpatch non è supportato, ma è possibile disinstallarlo. Se si verifica un problema imprevisto con gli aggiornamenti hotpatch, è possibile analizzarlo disinstallando l'aggiornamento hotpatch e installando l'ultimo aggiornamento cumulativo standard (LCU) e riavviare. La disinstallazione di un aggiornamento hotpatch è rapida, ma richiede il riavvio del dispositivo.

Report sugli aggiornamenti qualitativi di Hotpatch

Dopo la creazione di un criterio di aggiornamento qualitativo di Windows con gli aggiornamenti hotpatch abilitati, è possibile monitorare i risultati, lo stato di distribuzione hotpatch e gli errori dai report.

Questo report mostra i dispositivi di destinazione totali e gli stati di aggiornamento correnti di tutti i dispositivi abilitati per l'aggiornamento della patch a caldo.

Per accedere al report:

1. Nell'interfaccia di amministrazione di Microsoft Intune selezionare Report
2. Nella sezione Windows Autopatch , seleziona gli aggiornamenti qualitativi di Windows
3. Nella scheda Report selezionare il report sugli aggiornamenti qualitativi Hotpatch.

Risolvere i problemi relativi agli aggiornamenti delle patch a caldo

Passaggio 1: Verificare che il dispositivo sia idoneo per gli aggiornamenti hotpatch e che si disponga di una baseline hotpatch prima dell'installazione dell'aggiornamento hotpatch

L'applicazione di patch a caldo segue il ciclo di rilascio di patch a caldo. Rivedere i prerequisiti per assicurarsi che il dispositivo sia idoneo per gli aggiornamenti hotpatch. Per informazioni sui dispositivi che non soddisfano i prerequisiti, vedere Dispositivi non idonei.

Per la pianificazione dei rilasci più recente, vedere le note di rilascio della patch a caldo. Per informazioni sulla cronologia degli aggiornamenti di Windows, vedere Cronologia degli aggiornamenti di Windows 11, versione 24H2.

Passaggio 2: verificare che il dispositivo abbia attivato la protezione basata su virtualizzazione (VBS)

1. Selezionare Start e immettere le informazioni di sistema nella ricerca.
2. Selezionare System Information (System Information dall'elenco dei risultati).
3. In Riepilogo sistema, nella colonna Elemento, trovare Sicurezza basata su virtualizzazione.
4. Nella colonna Valore , verifica che sia indicato In esecuzione.

Passaggio 3: Verificare che il dispositivo sia configurato correttamente per attivare gli aggiornamenti hotpatch

1. In Intune, rivedere i criteri configurati all'interno di Windows Autopatch per vedere quali gruppi di dispositivi sono interessati a un criterio di patch a caldo accedendo alla pagina Aggiornamenti qualitativi di Windows Update>.
2. Verificare che il criterio di aggiornamento hotpatch sia impostato su Consenti.
3. Nel dispositivo, selezionare Start>Settings>Windows Update>Opzioni> avanzateI criteri> di aggiornamento configurati trovano Abilita patch a caldo quando disponibili. Questa impostazione indica che il dispositivo è registrato negli aggiornamenti hotpatch configurati da Windows Autopatch.

Passaggio 4: disabilitare l'utilizzo del PE ibrido compilato (CHPE) (solo CPU Arm64)

Per altre informazioni, vedere I dispositivi Arm 64 devono disabilitare l'utilizzo di PE ibrido compilato (CHPE) (solo CPU Arm 64).

Passaggio 5: usare il Visualizzatore eventi per verificare che nel dispositivo siano attivati gli aggiornamenti hotpatch

1. Fare clic con il pulsante destro del mouse sul menu Start e selezionare Visualizzatore eventi.
2. Cercare AllowRebootlessUpdates nel filtro. Se AllowRebootlessUpdates è impostato su 1, il dispositivo è registrato nel criterio di aggiornamento di Windows Autopatch e ha gli aggiornamenti hotpatch attivati: "data": { "payload": "{\"Orchestrator\":{\"UpdatePolicy\":{\"Update/AllowRebootlessUpdates\":true}}}", "isEnrolled": 1, "isCached": 1, "vbsState": 2,

Passaggio 6: Controlla se nei registri di Windows sono presenti errori relativi alla patch a caldo

Gli aggiornamenti Hotpatch forniscono un servizio di monitoraggio della posta in arrivo che controlla l'integrità degli aggiornamenti installati nel dispositivo. Se il servizio di monitoraggio rileva un errore, il servizio registra un evento nei registri applicazioni di Windows. Se si verifica un errore critico, il dispositivo installa l'aggiornamento standard (LCU) per garantire che il dispositivo sia completamente sicuro.

1. Fare clic con il pulsante destro del mouse sul menu Start e selezionare Visualizzatore eventi.
2. Cercare hotpatch nel filtro per visualizzare i registri.