我是否应该在生产服务器上使用 WSUS“截止时间”功能？

Question

我用微软修补大量 Windows Server 2008 R2 x64。它通常运行良好，直到今天。

上周微软发布了一个关键补丁KB2992611修复加密库中的关键问题（“SChannel 补丁”）。我使用了 WSUS最后期限功能以便立即部署补丁（非办公时间）。然而，很快揭露补丁有错误，因此微软发布了补丁的更新版本 2。当 WSUS 选择了版本 2 补丁时，它立即修补并重新启动了我所有的生产机器，因为补丁仍然标记为有截止日期。这可能不是微软想要的，当然也不是我想要的。

Answer 1

回答：切勿使用 WSUS最后期限生产服务器上的功能 - 始终手动更新和重启。使用它意味着存在计划外停机的风险。

Answer 2

WSUS（至少在 Server 2016 上）可以禁用此类行为。在 GUI 中，查看“选项”、“自动批准”、“高级”选项卡。其中有一个选项“自动批准已批准的更新的新修订” - 默认为启用，您可以禁用它。