Hotpatch para actualizaciones de calidad de Windows

Las directivas de actualización de calidad de Windows en Microsoft Intune admiten hotpatch, una funcionalidad de implementación diseñada para reducir el tiempo de inactividad del dispositivo y la interrupción del usuario. Hotpatch aplica actualizaciones de seguridad mensuales B válidas para que surtan efecto sin necesidad de reiniciar el dispositivo inmediatamente.

Hotpatch es una extensión de Windows Update y se administra a través de Windows Autopatch mediante directivas de actualización de calidad. Cuando está habilitado, Autopatch organiza la implementación de actualizaciones de hotpatch en dispositivos aptos inscritos en la directiva de actualización de calidad de autopatch. Este enfoque ayuda a las organizaciones a mantener el cumplimiento de la seguridad a la vez que minimiza las interrupciones del flujo de trabajo.

Ventajas principales

• Interrupción reducida: Hotpatch instala las actualizaciones de seguridad aptas sin necesidad de un reinicio inmediato del dispositivo, lo que ayuda a los usuarios a mantener la productividad.
• No hay cambios en los anillos de actualización existentes: las configuraciones de anillos de actualización existentes permanecen en vigor y se respetan junto con las configuraciones de hotpatch.
• Visibilidad de nivel de directiva: el informe de actualizaciones de calidad de hotpatch proporciona una vista a nivel de directiva del estado de actualización para los dispositivos que reciben actualizaciones de hotpatch.

Requisitos previos

Hotpatch tiene los mismos requisitos previos que las directivas de actualización de calidad de Windows. En esta sección se resaltan los requisitos previos adicionales específicos de hotpatch.

Requisitos de configuración del dispositivo

Para preparar un dispositivo para recibir actualizaciones de hotpatch, configure las siguientes opciones de sistema operativo en el dispositivo. Debe configurar estas opciones para que el dispositivo se ofrezca la actualización de hotpatch y aplicar todas las actualizaciones de hotpatch.

Seguridad basada en virtualización (VBS)
VBS debe estar activado para que se ofrezcan actualizaciones de hotpatch a un dispositivo. Para obtener información sobre cómo establecer y detectar si VBS está habilitado, consulte Seguridad basada en virtualización (VBS).

Nota:

Es posible que los dispositivos no sean aptos temporalmente porque no tienen VBS habilitado o no están actualmente en la versión de línea base más reciente. Para asegurarse de que todos los dispositivos Windows están configurados correctamente para ser aptos para las actualizaciones de hotpatch, consulte Solución de problemas de actualizaciones de hotpatch.

Los dispositivos Arm 64 deben deshabilitar el uso de PE híbrido compilado (CHPE) (solo CPU de Arm 64)

Importante

La compatibilidad con dispositivos arm 64 está en versión preliminar pública.

Para asegurarse de que se aplican todas las actualizaciones de hotpatch, debe establecer la marca de deshabilitación ejecutable híbrido compilado (CHPE) y reiniciar el dispositivo para deshabilitar el uso de CHPE. Solo tiene que establecer esta marca una vez. La configuración del Registro permanece aplicada a través de las actualizaciones.

Este requisito solo se aplica a los dispositivos de CPU arm 64 cuando se usan actualizaciones de hotpatch. Las actualizaciones de hotpatch no son compatibles con el mantenimiento de archivos binarios del sistema operativo CHPE.

Para deshabilitar CHPE, cree o establezca la siguiente clave del Registro DWORD:

Ruta de acceso: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management DWORD key value: HotPatchRestrictions=1

Para más información sobre CHPE, consulte aquí.

Nota:

No hay planes para admitir actualizaciones de hotpatch en dispositivos Arm64 con CHPE habilitado. La deshabilitación de CHPE solo es necesaria para dispositivos Arm64. Las CPU AMD e Intel no tienen CHPE. Si decide no usar actualizaciones de hotpatch, desactive la marca de deshabilitación de CHPE (HotPatchRestrictions=0) y reinicie el dispositivo para activar el uso de CHPE.

Dispositivos no aptos

Los dispositivos que no cumplen uno o varios requisitos previos reciben automáticamente la última actualización acumulativa (LCU) en su lugar. La última actualización acumulativa (LCU) contiene actualizaciones mensuales que reemplazan a las actualizaciones del mes anterior que contienen versiones de seguridad y no relacionadas con la seguridad.

Las LCU requieren que reinicie el dispositivo, pero el LCU garantiza que el dispositivo sigue siendo totalmente seguro y conforme.

Nota:

Si los dispositivos no son aptos para actualizaciones de hotpatch, se ofrece a estos dispositivos la LCU. El LCU mantiene la configuración del anillo de actualización configurada, no cambia la configuración.

Ciclos de versión

Para obtener más información sobre el calendario de lanzamiento para las actualizaciones de hotpatch, consulte Notas de la versión para hotpatch.

• Línea base: incluye las correcciones de seguridad más recientes, las nuevas características acumulativas y las mejoras. Se requiere reiniciar.
• Hotpatch: incluye actualizaciones de seguridad. No es necesario reiniciar.

Trimestre	Actualizaciones de línea base (requiere reinicio)	Hotpatch (no es necesario reiniciar)
1	Enero	Febrero y marzo
2	Abril	Mayo y junio
3	Julio	Agosto y septiembre
4	Octubre	Noviembre y diciembre

Hotpatch en Windows 11 Empresas o Windows Server 2025

Nota:

El hotpatch también está disponible en Windows Server y Windows 365. Para obtener más información, vea Hotpatch for Windows Server Azure Edition.

Las actualizaciones de revisiones frecuentes son similares entre Windows 11 y Windows Server 2025.

• Windows Autopatch administra las actualizaciones de Windows 11
• Administrador de actualizaciones de Azure y la suscripción opcional Azure Arc para Windows 2025 Datacenter/Standard Editions (local) administra Windows Server 2025 Datacenter Azure Edición.

Las fechas del calendario, ocho meses frecuentes y cuatro meses de línea base, planeados cada año son iguales para todos los sistemas operativos compatibles con hotpatch. Es posible que haya meses de línea base adicionales para un sistema operativo (por ejemplo, Windows Server 2022), mientras que hay meses de revisión frecuente para otro sistema operativo, como Server 2025 o Windows 11, versión 24H2. Revise las notas de la versión del estado de la versión de Windows para mantenerse al día.

Inscripción de dispositivos para recibir actualizaciones de hotpatch

Nota:

Si usa grupos de revisiones automáticas y quiere que los dispositivos reciban actualizaciones de hotpatch, debe crear una directiva de hotpatch y asignarle dispositivos. Activar las actualizaciones de hotpatch no cambia la configuración de aplazamiento aplicada a los dispositivos dentro de un grupo de revisiones automáticas.

Para inscribir dispositivos para recibir actualizaciones de hotpatch:

1. En el centro de administración de Microsoft Intune, seleccione Dispositivos>actualizaciones de Windows.
2. Seleccione la pestaña Actualizaciones de calidad .
3. Seleccione Crear y seleccione Directiva de actualización de calidad de Windows.
4. En la sección Aspectos básicos , escriba un nombre para la nueva directiva y seleccione Siguiente.
5. En la sección Configuración , establezca Cuando esté disponible, aplique sin reiniciar el dispositivo ("hotpatch") a Permitir. Después, seleccione Siguiente.
6. Seleccione las etiquetas de ámbito adecuadas o deje como Predeterminado. Después, seleccione Siguiente.
7. Asigne los dispositivos a la directiva y seleccione Siguiente.
8. Revise la directiva y seleccione Crear.

Estos pasos garantizan que los dispositivos de destino, que son aptos para recibir actualizaciones de hotpatch, estén configurados correctamente. Los dispositivos no aptos se ofrecen las últimas actualizaciones acumulativas (LCU).

Nota:

Activar las actualizaciones de hotpatch no cambia las configuraciones de instalación programadas o controladas por fecha límite existentes en los dispositivos administrados. Todavía se aplican los valores de aplazamiento y hora activa.

Reversión de una actualización de hotpatch

No se admite la reversión automática de una actualización de hotpatch, pero puede desinstalarla. Si experimenta un problema inesperado con las actualizaciones de hotpatch, puede investigar desinstalando la actualización de hotpatch e instalando la última actualización acumulativa estándar (LCU) y reiniciar. La desinstalación de una actualización de hotpatch es rápida, pero requiere un reinicio del dispositivo.

Informe de actualizaciones de calidad de hotpatch

Una vez creada una directiva de actualización de calidad de Windows con las actualizaciones de hotpatch habilitadas, puede supervisar los resultados, el estado de la implementación de hotpatch y los errores de los informes.

Este informe muestra el total de dispositivos de destino y los estados de actualización actuales de todos los dispositivos habilitados para la actualización de hotpatch.

Para acceder al informe:

1. En el centro de administración de Microsoft Intune, seleccione Informes.
2. En la sección Revisión automática de Windows, seleccione Actualizaciones de calidad de Windows.
3. En la pestaña Informes , seleccione Informe de actualizaciones de calidad de hotpatch.