Недавно я рассказывал в блоге о распространении новых версий Windows 10, а сегодня речь пойдет об исправлениях. Сотрудники Microsoft опубликовали две записи в блогах Windows IT Pro о каденсе обновлений и Windows Experience о тестировании обновлений. Я дополню их теорию своими комментариями, разберу практику и поделюсь рекомендациями по установке обновлений.

Теория: ежемесячные и срочные обновления

Несколько раз в месяц Microsoft выпускает различные варианты обновлений. Компания использует буквы латинского алфавита (B, C, D) для обозначения выпусков обновлений по неделям.

B — вторая неделя месяца

Точнее — второй вторник каждого месяца, aka Patch Tuesday. В этот день выходят накопительные обновления для всех поддерживаемых ОС Windows, которые называются Quality Updates. В них объединяются исправления для устранения проблем и улучшений работы ОС, а также закрытия уязвимостей. Если в этот месяц выходит обновление сервисного стека для системы обслуживания Windows, его тоже включают в обновление B.

Кроме того, отдельно выпускаются накопительные обновления .NET Framework. Поэтому в истории обновлений может фигурировать два накопительных обновления в один день, как вы увидите дальше.

D — четвертая неделя месяца

На этой неделе для новейших версий Windows выходят предварительные обновления, не связанные с исправлениями системы безопасности. Это — превью обновлений B следующего месяца, т.е. предварительные обновления D выходят за две недели до второго вторника.

👉 Читайте в блоге подробную статью о предварительных обновлениях C и D.

C — третья неделя месяца

На этой неделе для предыдущих версий Windows иногда выходят предварительные обновления, не связанные с исправлениями безопасности. Опять же, это превью за три недели до следующего обновления B. С марта 2024 года предварительные версии обновлений для Windows 11 доступны только в ее новейшей версии.

С точки зрения Microsoft, это дает клиентам больше времени на выявление потенциальных проблем на старых Windows. Но это можно трактовать и так, что на них меньше тестирует сама Microsoft, фокусирующаяся на последней версии Windows.

Кроме того, такие же обновления для новейшей версии Windows могут сдвигаться из выпуска D в C (т.е. выходить на неделю раньше) по мере приближения к релизу следующей версии ОС (1809 → 1903).

У сдвига в расписании подоплека другая – многие исправления сразу внедряются в следующую версию ОС. Поэтому их меньше в накопительном обновлении, и предварительная версия становится готова на неделю раньше.

Предварительные версии обновлений безопасности

Эти обновления на публику не выпускают. Они распространяются только для организаций, подавших заявку в программу SUVP. Microsoft принимает туда не всех подряд по причинам, которые я уже излагал в блоге.

Расписания в SUVP я не знаю, но логично предположить, что там те же выпуски C и D.

Срочные обновления безопасности

Помимо перечисленных выше обновлений есть срочные (out-of-band) исправления системы безопасности. Их выпускают вне расписания в случаях, когда эксплойт уже гуляет по сети (Adobe Flash — регулярный пассажир уязвимостей 0-day).

Практика: доставка обновлений

Выше речь шла только о расписании обновлений, а теперь я расскажу о том, как они проталкиваются.

Обновления B и срочные обновления

Эти обновления приходят автоматически. Раздача обновлений B начинается во второй вторник в 23:00 по Москве, а срочные выкатывают по готовности.

Обновления C и D

Эти обновления вы получаете, выполняя ручную проверку в центре обновлений Windows, начиная с третьей или четвертой недели месяца. Другими словами, если доступна предварительная версия обновления C или D, просто проверив обновления вручную, вы скачиваете и устанавливаете ее. Upd. С момента выхода статьи поведение изменилось. Теперь при ручной проверке лишь появляется предложение скачать и установить предварительную версию обновления. В Windows 11 вы также можете включить автоматическую установку предварительных версий, см. KB5026679.

Так или иначе, если вы не хотите видеть предварительные версии обновлений, не выполняйте ручную проверку, а полагайтесь на автоматику. И наоборот.

Пример в центре обновлений Windows

В этом примере из моей основной системы вы видите месячный цикл обновлений, пронумерованных в хронологическом порядке выпуска.

На этой картинке:

1. Накопительное обновление за ноябрь 2018 (B). Обновление KB4469342 вышло во вторник 13 ноября, но затем его перевыпускали 28 ноября и 5 декабря. По традиции Microsoft не раскрывает причин повторных выпусков. Обновление трижды установились автоматически (на картинке только последняя установка).
2. Обновление безопасности для Adobe Flash (срочное). Обновление KB4471331 вышло 5 декабря и установилось автоматически в течение двух дней.
3. Предварительная версия накопительного обновления для .NET Framework (D). Обновление KB4469041 установилось в результате ручной проверки 11 декабря. В статье KB указана дата 5 декабря, что несколько позже четвертой недели ноября. Впрочем, трудно сказать, когда обновление вышло впервые, потому что в базе знаний всегда указывается дата последнего выпуска.
4. Накопительное обновление за декабрь 2018 (B). Обновление KB4471332 вышло во вторник 11 декабря и установилось автоматически.
5. Накопительное обновление для .NET Framework (B). Обновление KB4470502 также вышло во вторник 11 декабря и установилось автоматически. Тот факт, что я вручную установил его предварительную версию в тот же день – совпадение.

Расхождение теории с практикой

Рассказ Microsoft о каденсе обновлений подается в контексте нескольких принципов: простота и предсказуемость, гибкость, прозрачность. В теории все выглядит более-менее гладко, но практика вносит существенные коррективы, как видно из примера выше. Выделю ключевые моменты.

Отсутствие предсказуемости

Перевыпуски накопительных обновлений ставят подножку благой идее сократить количество перезагрузок до одного раза в месяц [при отсутствии срочных обновлений]. Они создают дополнительную нагрузку на ИТ-отделы организаций и нередко трансформируются в негативный опыт у конечных пользователей.

Пример с тремя выпусками ноябрьского обновления 1809 не единичен. Так, октябрьское обновление KB4464455 у меня устанавливалось дважды. При этом последняя дата в статье базы знаний – 13 ноября. В этот день уже вышло следующее накопительное обновление за ноябрь, и я даже не берусь интерпретировать происходящее.

На картинке также видно, что в системе установлено два разных октябрьских накопительных обновления – KB4464330 и KB4464455. Первое вышло во второй вторник месяца, а почему впоследствии несколько раз выпустили обновление с другим номером и содержимым – загадка.

Отсутствие прозрачности

Прозрачности явно не хватает в статьях базы знаний, ограничивающихся последней датой выпуска и не дающих полной истории перевыпусков обновлений, а также их причин.

История установок в центре обновлений Windows неудобна для анализа, а инструменты командной строки ее не раскрывают. Так, командлет Get-Hotfix показывает только обновления безопасности и последнее накопительное обновление (в данном случае — KB4483235).

Почему в списке только последнее – понятно (оно включает в себя все предыдущие). Но проанализировать историю этим способом невозможно.

С терминологией и классификацией тоже есть проблемы. Например, повсеместно внедряемый для накопительных обновлений термин Quality Update не находит отражения в описаниях обновлений. В том же PowerShell и каталоге Windows Update они отображаются как обновления безопасности (Security Update), что верно лишь отчасти.

Точно такое же описание и у обновлений сервисного стека — KB4470788 на картинке выше, причем я не вижу его в истории центра обновлений.

Домашнее поле экспериментов

Говоря о каденсе и принципах доставки обновлений, сотрудники Microsoft либо подают информацию исключительно в контексте организаций, либо ловко обходят болезненные для домашних пользователей темы.

Например, в посте о тестировании обновлений вице-президент компании выразился о ручной проверке обновлений так (в моем вольном переводе): выпуск D зарекомендовал себя в качестве популярного у тех, кто «ищет возможность» протестировать не связанные с безопасностью обновления следующего выпуска B.

Здесь очень странно выглядит в кавычках «ищет возможность» (в оригинале – «seeking») – то ли неуместный сарказм, то ли косноязычие. (Как мне подсказывают из зала, это внутренний сленг, т.е. seekers — это люди, нажимающие кнопку проверки обновлений). Да и говорить о популярности такого подхода как минимум не очень умно.

Подавляющее большинство людей, проверяющих обновления вручную, даже не подозревают о том, что им могут доставить предварительные версии обновлений (C и D).

Да, в описании обновления указано, что это превью, но когда оно уже пришло, отказаться невозможно. Upd. С момента публикации статьи поведение изменилось.

Windows всегда создавалась в первую очередь с прицелом на организации, но именно переход на модель Windows as a Service высветил незавидную роль домашних пользователей. Отсутствие редактора групповых политик или Hyper-V они фактически не замечали, но уже многих бомбит от невозможности контролировать доставку обновлений и новых версий Windows.

Суровая реальность такова, что домашние пользователи давно не генерируют дохода. Многие бесплатно обновились до с Windows 7 / 8.1 → Windows 10 → Windows 11, а купившие новые устройства принесли копейки от лицензий ОЕМ. Возможно, именно в этом одна из причин того, что Microsoft превратила домашних пользователей фактически в дополнительное кольцо тестирования обновлений и новых версий ОС для организаций.

Мои рекомендации по установке обновлений Windows

На протяжении многих лет я использую только автоматическое обновление Windows, что неоднократно советовал и вам в блоге. В этом плане моя рекомендация остается неизменной. В том числе и потому, что на своих и подопечных машинах я не сталкиваюсь с ситуациями, когда обновления выводят из строя операционную систему.

Однако у кого-то всегда что-то может пойти не так во время и после установки обновлений. Именно таким ситуациям посвящены мои рекомендации.

Я исповедую простой подход: подстелить соломку, а с проблемами разбираться по мере их возникновения.

Поехали!

Держите защиту системы включенной

Можно сколько угодно оспаривать эффективность механизма восстановления системы, но на практике это – самый простой и быстрый способ, который может помочь и нередко помогает восстановить работу ОС при проблемах после установки обновлений.

Настройте создание резервной копии реестра

К сожалению, в 1803 отключили автоматический бэкап кустов реестра, хотя вы можете включить его вручную или настроить самостоятельно.

Откат реестра, может, и не самое подходящее средство для решения проблем после установки обновлений. Однако он может помочь в случаях, когда невозможно загрузиться в ОС, а это уже немало.

Устанавливайте обновления автоматически, а не вручную

Да, я повторяю рекомендацию обновляться автоматически, но в другом контексте. Ручная проверка может повлечь автоматическую установку предварительных выпусков обновлений C и D, что повышает вероятность возникновения проблем. Upd. С момента публикации статьи поведение изменилось.

Заблокируйте проблемные обновления ОС и драйверов

Этот способ практически потерял актуальность для обновлений системы начиная с Windows 10 1903, когда в домашних изданиях появилась возможность поставить обновления на паузу. См. P.S. ниже. Однако он может помочь с предотвращением установки нежелательных версий драйверов.

Когда обновление Windows или драйвера создает проблемы, его можно удалить / откатить и заблокировать установку. Это воспрепятствует лишь доставке конкретного обновления, т.е. следующая версия драйвера или накопительного обновления придет в центр обновлений как обычно.

Для этого у Microsoft есть диагностический пакет WuShowHide, на который ранее ссылались статьи KB3183922 и KB3073930. В них больше нет упоминаний о пакете, но прямая ссылка пока жива (зеркало).

Инструкции на русском языке с картинками давно есть на OSZone.

Поставьте обновления на паузу в случае проблем

Диагностический пакет оптимален для обновлений драйверов, но не слишком хорошо сочетается с многократным перевыпуском накопительных обновлений Windows. Конечно, есть вероятность, что ваша проблема в них исправлена, но проще удалить проблемное обновление и дождаться следующего месяца.

В дополнительных параметрах центра обновлений можно отложить доставку на 35 дней (в издании Home и сборках инсайдеров, в т.ч. в круге Release Preview – на 7 дней). В домашних изданиях пауза появилась под нажимом общественности только в версии 1903, да и то лишь на неделю.

Также можно сделать подключение лимитным. В этом случае вы получаете ручной контроль над скачиванием всех обновлений, в том числе сигнатур защитника Windows.

На этой картинке 5.44MB относятся к обновлению сигнатур защитника. Их можно установить нажатием кнопки «Скачать». После этого в списке останется только накопительное обновление, которое также можно скачать вручную.

Таким образом, можно выполнить проверку обновлений через месяц и попробовать установить следующий накопительный пакет. Заметьте, что этим же способом можно отложить доставку новой версии.

Метод не лишен недостатков. Например, OneDrive не будет синхронизироваться без вашего вмешательства, а защитник Windows не получит регулярных обновлений сигнатур. Второе можно компенсировать с помощью планировщика и командлета PowerShell Invoke-WebRequest (псевдоним: wget), поскольку свежие сигнатуры в свободном доступе с постоянной прямой ссылкой. Примерно так:

$file = "C:\temp\def.exe"
Invoke-WebRequest -Uri "https://go.microsoft.com/fwlink/?LinkID=121721&arch=x64" -OutFile $file
Start-Process $file

Впрочем, начиная с версии 1903 установку новой (следующей) версии перестали форсировать.

Настройте пропускную способность фоновой загрузки обновлений

Когда обновления доступны для загрузки, Windows Update скачивает их, динамически подстраиваясь под текущую занятость канала. Иногда это все равно может негативно сказываться на других активностях, выполняющихся в это время (например, онлайн-играх).

Вы можете гибко настроить пропускную способность фоновой загрузки обновлений в Параметры – Центр обновления Windows – Дополнительные параметры – Оптимизация доставки – Дополнительные параметры.

Если в оптимизации доставки вы включили раздачу обновлений на ПК в интернете, на этой же странице вы можете настроить ее фоновые параметры.

Возьмите под контроль перезагрузку после установки обновлений

Мне кажется, что изрядная доля негатива домашних пользователей связана не столько с проблемами после установки обновлений, сколько с нежелательной автоматической перезагрузкой.

Этот вопрос отчасти решается настройкой периода активности, а полностью контролируется политикой, препятствующей перезагрузке при выполненном входе в систему. Подробный разбор не так давно был в блоге.

P.S.

В начале 2022 года я вернулся к теме скрытия / паузы обновлений в канале Telegram.

Дискуссия

Microsoft есть над чем работать даже в рамках заявленных компанией принципов. Но нам приходится иметь дело с тем, что компания предлагает на данный момент.

Я вижу немало желающих заблокировать или хотя бы контролировать доставку обновлений различными средствами – от абсолютно варварских до более вменяемых вроде WUMT. Однако я по традиции рекомендую поддерживаемые способы. И считаю это немаловажным фактором в деликатном процессе обновления операционной системы.

Не все эти способы удобны или очевидны, но с другой стороны, прибегать к блокировке или паузе обновлений приходится только в случае проблем.

В комментариях напишите, с какими проблемами вы сталкивались после установки обновлений Windows на личных домашних ПК и как вы их решали.