Hotpatch voor kwaliteitsupdates voor Windows

Met hotpatch-updates kunt u snel maatregelen nemen om uw organisatie te beschermen tegen het veranderende landschap van cyberaanvallen, terwijl gebruikersonderbrekingen tot een minimum worden beperkt. Hotpatch-updates zijn beveiligingsupdates met maandelijkse B-release die worden geïnstalleerd en van kracht worden zonder dat u het apparaat opnieuw hoeft op te starten. Door de noodzaak om opnieuw op te starten te minimaliseren, zorgen deze updates voor snellere naleving, waardoor het voor organisaties gemakkelijker wordt om beveiliging te handhaven terwijl werkstromen ononderbroken blijven.

Hotpatch-beveiligingsupdates zijn standaard ingeschakeld voor alle in aanmerking komende apparaten in Microsoft Intune. Deze aanpak helpt organisaties om beveiligingsnaleving te handhaven en tegelijkertijd werkstroomonderbrekingen tot een minimum te beperken.

U kunt configureren of hotpatch is ingeschakeld voor uw apparaten met behulp van een tenantniveau-instelling of kwaliteitsupdatebeleid.

Belangrijkste voordelen

• Snellere beveiliging: Hotpatch-beveiligingsoplossingen worden van kracht zonder opnieuw op te starten, waardoor apparaten veel sneller worden beveiligd.
• Minder verstoring: Hotpatch installeert in aanmerking komende beveiligingsupdates zonder dat het apparaat onmiddellijk opnieuw hoeft te worden opgestart, zodat gebruikers productief blijven.
• Kleinere payloads: De grootte van het hotpatch-pakket is aanzienlijk kleiner dan de standaard cumulatieve updates.
• Geen wijzigingen in bestaande updateringen: bestaande updateringconfiguraties blijven van kracht en worden naast hotpatch-configuraties gehonoreerd.
• Zichtbaarheid op beleidsniveau: het rapport Kwaliteitsupdates voor hotpatches biedt een weergave op beleidsniveau van de updatestatus voor apparaten die hotpatch-updates ontvangen.

Vereisten

Hotpatch heeft dezelfde vereisten als het Windows-beleid voor kwaliteitsupdates. Zie Vereisten voor kwaliteitsupdates. In deze sectie worden aanvullende vereisten beschreven die specifiek zijn voor hotpatchs.

Niet in aanmerking komende apparaten

Apparaten die niet aan een of meer vereisten voldoen, ontvangen in plaats daarvan automatisch de meest recente cumulatieve update (LCU). De meest recente cumulatieve update (LCU) bevat maandelijkse updates die de updates van de vorige maand vervangen met zowel beveiligings- als niet-beveiligingsversies.

LCUs vereist dat u het apparaat opnieuw opstart, maar de LCU zorgt ervoor dat het apparaat volledig veilig en compatibel blijft.

Releasecycli

Zie Releaseopmerkingen voor hotpatches voor meer informatie over de releasekalender voor hotpatch-updates.

• Basislijn: bevat de nieuwste beveiligingspatches, cumulatieve nieuwe functies en verbeteringen. Opnieuw opstarten vereist.
• Hotpatch: Bevat beveiligingsupdates. Opnieuw opstarten is niet vereist.

Als tijdens een hotpatch-maand hotpatch-updates zijn ingeschakeld voor een apparaat, maar niet de nieuwste basislijnupdate, ontvangt het apparaat zowel de nieuwste basislijnupdate (opnieuw opstarten vereist) als de nieuwste hotpatch-update.

Hotpatch op Windows 11 Enterprise of Windows Server 2025

Hotpatch-updates zijn vergelijkbaar tussen Windows 11 en Windows Server 2025.

• Windows Autopatch beheert Windows 11-updates
• Azure Update Manager en optionele Azure Arc-abonnement voor Windows 2025 Datacenter/Standard Editions (on-premises) beheert Windows Server 2025 Datacenter Azure Edition.

De kalenderdata, acht hotpatch-maanden en vier basislijnmaanden die elk jaar worden gepland, zijn hetzelfde voor alle hotpatch-ondersteunde besturingssystemen. Het is mogelijk voor extra basislijnmaanden voor het ene besturingssysteem (bijvoorbeeld Windows Server 2022), terwijl er hotpatch-maanden zijn voor een ander besturingssysteem, zoals Server 2025 of Windows 11 versie 24H2. Raadpleeg de opmerkingen bij de release op Windows release health.

Apparaten inschrijven voor het ontvangen van hotpatch-updates

U kunt hotpatch-updates voor uw apparaten inschakelen met behulp van een tenantniveau-instelling of kwaliteitsupdatebeleid. De instelling op tenantniveau is de standaardinstelling die wordt toegepast op apparaten die geen lid zijn van een kwaliteitsupdatebeleid. Als een apparaat is toegewezen aan een kwaliteitsupdatebeleid, is de hotpatch-instelling van dat beleid toegepast.

Standaardinstelling hotpatch-tenant

De standaardinstelling van de tenant wordt alleen toegepast op apparaten die geen lid zijn van een kwaliteitsupdatebeleid.

Windows Autopatch respecteert uw configuratie van kwaliteitsupdatebeleid. Als een apparaat is toegewezen aan een van deze beleidsregels, is de hotpatch-instelling van dat beleid toegepast.

Configureer als volgt het standaardgedrag van hotpatch-updates voor uw tenant:

1. Selecteer in het beheercentrum van Microsoft Intune de optie Tenantbeheer>Windows Autopatch>Tenantbeheer.
2. Selecteer het tabblad Tenantinstellingen .
3. Schakel de instelling Indien beschikbaar updates toepassen zonder het apparaat opnieuw op te starten ('hotpatch') in op Toestaan of Blokkeren.

Configureer hotpatch met behulp van kwaliteitsupdatebeleid.

Windows Autopatch respecteert uw configuratie van de hotpatch-instelling in het beleid voor kwaliteitsupdates. Als een apparaat is toegewezen aan een van deze beleidsregels, is de hotpatch-instelling van dat beleid de instelling die is toegepast, niet de standaardinstelling van de tenant.

Apparaten inschrijven voor het ontvangen van hotpatch-updates:

1. Selecteer in het Microsoft Intune-beheercentrumde optie Apparaten>Windows-updates.
2. Selecteer het tabblad Kwaliteitsupdates .
3. Selecteer Maken en selecteer Windows-kwaliteitsupdatebeleid.
4. Voer in de sectie Basisinformatie een naam in voor uw nieuwe beleid en selecteer Volgende.
5. Stel in de sectie InstellingenIndien beschikbaar, toepassen zonder het apparaat opnieuw op te starten ('hotpatch') in om toe te staan. Selecteer vervolgens Volgende.
6. Selecteer de juiste bereiklabels of laat deze als standaard ingeschakeld. Selecteer vervolgens Volgende.
7. Wijs de apparaten toe aan het beleid en selecteer Volgende.
8. Bekijk het beleid en selecteer Maken.

Deze stappen zorgen ervoor dat de beoogde apparaten die voldoen aan de geschiktheidscriteria correct zijn geconfigureerd. Zie Vereisten. Apparaten die niet in aanmerking komen, krijgen de meest recente cumulatieve updates (LCU) aangeboden. Bekijk waarom een apparaat niet in aanmerking komt.

Een hotpatch-update terugdraaien

Het automatisch terugdraaien van een hotpatch-update wordt niet ondersteund, maar u kunt ze wel verwijderen. Als je een onverwacht probleem ondervindt met hotpatch-updates, kun je dit onderzoeken door de hotpatch-update te verwijderen en de nieuwste standaard cumulatieve update (LCU) te installeren en opnieuw op te starten. Het verwijderen van een hotpatch-update gaat snel, maar hiervoor moet het apparaat opnieuw worden opgestart.

Rapport Kwaliteitsupdates voor hotpatches

Nadat een Windows-beleid voor kwaliteitsupdates is gemaakt met hotpatch-updates ingeschakeld, kun je de resultaten, de status van de hotpatch-implementatie en fouten uit de rapporten controleren.

Dit rapport toont het totale aantal beoogde apparaten en de huidige updatestatussen van alle apparaten die hotpatch-updates hebben ingeschakeld.

U opent het rapport als volgt:

1. Selecteer in het Microsoft Intune-beheercentrumde optie Rapporten
2. Selecteer onder de sectie Windows Autopatch de optie Windows-kwaliteitsupdates
3. Selecteer op het tabblad Rapporten het rapport Kwaliteitsupdates voor hotpatchs.

Problemen met hotpatch-updates oplossen

Stap 1: Controleer of het apparaat in aanmerking komt voor hotpatch-updates en op een hotpatch-basislijn voordat de hotpatch-update wordt geïnstalleerd

Hotpatching volgt de releasecyclus van de hotpatch. Bekijk de vereisten om ervoor te zorgen dat het apparaat in aanmerking komt voor hotpatch-updates. Zie Niet-in aanmerking komende apparaten voor informatie over apparaten die niet aan de vereisten voldoen.

Zie de releaseopmerkingen bij de hotpatch voor het meest recente releaseschema. Zie de updategeschiedenis van Windows 11 versie 24H2 voor meer informatie over de updategeschiedenis van Windows.

Stap 2: Controleer of op het apparaat virtualisatie gebaseerde beveiliging (VBS) is ingeschakeld

1. Selecteer Start en voer systeeminformatie in om te zoeken.
2. Selecteer Systeeminformatie in de resultaten.
3. Zoek onder Systeemoverzicht, onder de kolom Item, beveiliging op basis van virtualisatie.
4. Controleer onder de kolom Waarde of Uitvoeren wordt weergegeven.

Stap 3: Controleer of het apparaat correct is geconfigureerd om hotpatch-updates in te schakelen

1. Controleer in Intune uw geconfigureerde beleidsregels binnen Windows Autopatch om te zien voor welke groepen apparaten een hotpatch-beleid geldt door naar de pagina Windows Update>Quality Updates te gaan.
2. Zorg ervoor dat het hotpatch-updatebeleid is ingesteld op Toestaan.
3. Selecteer>Startinstellingen>Windows Update>Geavanceerde opties> op het apparaatGeconfigureerd updatebeleid> vinden Hotpatching inschakelen indien beschikbaar. Deze instelling geeft aan dat het apparaat is ingeschreven voor hotpatch-updates zoals geconfigureerd door Windows Autopatch.

Stap 4: gecompileerd hybride PE-gebruik (CHPE) uitschakelen (alleen Arm64 CPU)

Zie Arm 64-apparaten moeten gecompileerd hybride PE-gebruik (CHPE) uitschakelen (alleen Arm 64 CPU).

Stap 5: gebruik Logboeken om te controleren of hotpatch-updates zijn ingeschakeld op het apparaat

1. Klik met de rechtermuisknop op het Startmenu en selecteer Logboeken.
2. Zoek naar AllowRebootlessUpdates in het filter. Als AllowRebootlessUpdates is ingesteld op 1, is het apparaat ingeschreven in het Windows Autopatch-updatebeleid en zijn hotpatch-updates ingeschakeld: "data": { "payload": "{\"Orchestrator\":{\"UpdatePolicy\":{\"Update/AllowRebootlessUpdates\":true}}}", "isEnrolled": 1, "isCached": 1, "vbsState": 2,

Stap 6: Controleer Windows-logboeken op hotpatch-fouten

Hotpatch-updates bieden een postvak IN-controleservice die controleert op de status van de updates die op het apparaat zijn geïnstalleerd. Als de monitorservice een fout detecteert, registreert de service een gebeurtenis in de Windows-toepassingslogboeken. Als er een kritieke fout optreedt, installeert het apparaat de standaardupdate (LCU) om ervoor te zorgen dat het apparaat volledig is beveiligd.

1. Klik met de rechtermuisknop op het Startmenu en selecteer Logboeken.
2. Zoek naar hotpatch in het filter om de logboeken te bekijken.