Criteri di aggiornamento della qualità di Windows

I criteri di aggiornamento dei criteri di Windows consentono di distribuire gli aggiornamenti hotpatch. Gli aggiornamenti hotpatch sono progettati per ridurre i tempi di inattività e le interruzioni. Gli aggiornamenti hotpatch sono aggiornamenti della sicurezza delle versioni B mensili che vengono installati e applicati senza che sia necessario riavviare il dispositivo. Riducendo al minimo la necessità di riavviare, questi aggiornamenti garantiscono una conformità più rapida, rendendo più semplice per le organizzazioni mantenere la sicurezza mantenendo i flussi di lavoro ininterrotti.

Hotpatch è un'estensione di Windows Update e richiede l'aggiornamento automatico per creare e distribuire hotpatches nei dispositivi registrati nei criteri di aggiornamento della qualità di Autopatch.

Vantaggi principali

• Gli aggiornamenti hotpatch semplificano il processo di installazione e migliorano l'efficienza di conformità.
• Non sono necessarie modifiche alle configurazioni dell'anello di aggiornamento esistenti. Le configurazioni degli anelli esistenti vengono rispettate insieme ai criteri hotpatch.
• Il report aggiornamento qualità Hotpatch fornisce una visualizzazione a livello di criterio degli stati di aggiornamento correnti per tutti i dispositivi che ricevono gli aggiornamenti hotpatch.

Prerequisiti

Per trarre vantaggio dagli aggiornamenti di Hotpatch, i dispositivi devono soddisfare i prerequisiti seguenti:

• Per i requisiti di licenza, vedere Prerequisiti
• Windows 11 Enterprise versione 24H2 o successiva
• I dispositivi devono essere nella versione di rilascio di base più recente per qualificarsi per gli aggiornamenti hotpatch. Microsoft rilascia gli aggiornamenti di base trimestralmente come aggiornamenti cumulativi standard. Per altre informazioni sulla pianificazione più recente per queste versioni, vedere Note sulla versione per Hotpatch.
• Microsoft Intune per gestire la distribuzione degli aggiornamenti hotpatch con i criteri di aggiornamento qualità di Windows con hotpatch attivato.

Prerequisiti di configurazione del sistema operativo

Per preparare un dispositivo a ricevere gli aggiornamenti hotpatch, configurare le impostazioni del sistema operativo seguenti nel dispositivo. È necessario configurare queste impostazioni per offrire al dispositivo l'aggiornamento hotpatch e per applicare tutti gli aggiornamenti hotpatch.

Sicurezza basata su virtualizzazione (VBS)

Vbs deve essere attivato per offrire aggiornamenti hotpatch a un dispositivo. Per informazioni su come impostare e rilevare se VBS è abilitato, vedere Virtualization-based Security (VBS).For information on how to set and detect if VBS is enabled, see Virtualization-based Security (VBS).

Nota

I dispositivi potrebbero non essere idonei temporaneamente perché non hanno VBS abilitato o non sono attualmente nella versione di base più recente. Per assicurarsi che tutti i dispositivi Windows siano configurati correttamente per essere idonei per gli aggiornamenti hotpatch, vedere Risolvere i problemi relativi agli aggiornamenti hotpatch.

I dispositivi Arm 64 devono disabilitare l'utilizzo ibrido compilato di PE (CHPE) (solo CPU Arm 64)

Importante

Il supporto dei dispositivi Arm 64 è disponibile in anteprima pubblica.

Per assicurarsi che vengano applicati tutti gli aggiornamenti di Hotpatch, è necessario impostare il flag di disabilitazione CHPE ( Compiled Hybrid Portable Executable ) e riavviare il dispositivo per disabilitare l'utilizzo di CHPE. È sufficiente impostare questo flag una sola volta. L'impostazione del Registro di sistema rimane applicata tramite gli aggiornamenti.

Questo requisito si applica solo ai dispositivi CPU Arm 64 quando si usano gli aggiornamenti hotpatch. Gli aggiornamenti hotpatch non sono compatibili con i file binari del sistema operativo CHPE di manutenzione.

Per disabilitare CHPE, creare e/o impostare la chiave del Registro di sistema DWORD seguente:

Sentiero: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management DWORD key value: HotPatchRestrictions=1

Per altre informazioni su CHPE, vedere qui

Nota

Non è previsto il supporto degli aggiornamenti hotpatch nei dispositivi Arm64 con CHPE abilitato. La disabilitazione di CHPE è necessaria solo per i dispositivi Arm64. LE CPU AMD e Intel non hanno CHPE.

Se si sceglie di non usare più gli aggiornamenti hotpatch, deselezionare il flag di disabilitazione CHPE (HotPatchRestrictions=0), quindi riavviare il dispositivo per attivare l'utilizzo di CHPE.

Dispositivi non idonei

I dispositivi che non soddisfano uno o più prerequisiti ricevono invece automaticamente l'aggiornamento cumulativo più recente. L'aggiornamento cumulativo più recente (LCU) contiene aggiornamenti mensili che sostituiscono gli aggiornamenti del mese precedente contenenti versioni di sicurezza e non di sicurezza.

Le unità LCU richiedono il riavvio del dispositivo, ma la LCU garantisce che il dispositivo rimanga completamente sicuro e conforme.

Nota

Se i dispositivi non sono idonei per gli aggiornamenti hotpatch, a questi dispositivi viene offerta la LCU. L'LCU mantiene le impostazioni dell'anello di aggiornamento configurate, ma non modifica le impostazioni.

Cicli di rilascio

Per altre informazioni sul calendario delle versioni per gli aggiornamenti hotpatch, vedere Note sulla versione per Hotpatch.

• Baseline: include le correzioni di sicurezza più recenti, le nuove funzionalità cumulative e i miglioramenti. Riavvio necessario.
• Hotpatch: include gli aggiornamenti della sicurezza. Non è necessario riavviare.

Quarto	Aggiornamenti di base (è necessario riavviare)	Hotpatch (nessun riavvio richiesto)
1	Gennaio	Febbraio e marzo
2	Aprile	Maggio e giugno
3	Luglio	Agosto e settembre
4	Ottobre	Novembre e dicembre

Hotpatch su Windows 11 Enterprise o Windows Server 2025

Nota

Hotpatch è disponibile anche su Windows Server e Windows 365. Per altre informazioni, vedere Hotpatch for Windows Server Azure Edition.

Gli aggiornamenti hotpatch sono simili tra Windows 11 e Windows Server 2025.

• Windows Autopatch gestisce gli aggiornamenti Windows 11
• Gestore aggiornamenti di Azure e la sottoscrizione facoltativa di Azure Arc per Windows 2025 Datacenter/Standard Edition (locale) gestisce Windows Server 2025 Datacenter Azure Edition. Per altre informazioni, su Windows Server e Windows 365, vedere Hotpatch for Windows Server Azure Edition.For more information, on Windows Server and Windows 365, see Hotpatch for Windows Server Azure Edition.

Le date del calendario, otto mesi di hotpatch e quattro mesi di base, pianificate ogni anno, sono le stesse per tutti i sistemi operativi supportati da hotpatch. È possibile per mesi di base aggiuntivi per un sistema operativo (ad esempio, Windows Server 2022), mentre sono previsti mesi di hotpatch per un altro sistema operativo, ad esempio Server 2025 o Windows 11 versione 24H2. Esaminare le note sulla versione dell'integrità delle versioni di Windows per rimanere aggiornati.

Registrare i dispositivi per ricevere gli aggiornamenti hotpatch

Nota

Se si usano gruppi di supporto automatico e si vuole che i dispositivi ricevano gli aggiornamenti di Hotpatch, è necessario creare un criterio hotpatch e assegnarvi i dispositivi. L'attivazione degli aggiornamenti di Hotpatch non modifica l'impostazione di rinvio applicata ai dispositivi all'interno di un gruppo di creazione automatica.

Per registrare i dispositivi per ricevere gli aggiornamenti hotpatch:

1. Passare all'interfaccia di amministrazione Intune.
2. Selezionare Dispositivi dal riquadro di spostamento a sinistra.
3. Nella sezione Gestisci aggiornamenti selezionare Aggiornamenti di Windows.
4. Passare alla scheda Aggiornamenti qualitativi .
5. Selezionare Crea e selezionare Criteri di aggiornamento qualità windows.
6. Nella sezione Informazioni di base immettere un nome per il nuovo criterio e selezionare Avanti.
7. Nella sezione Impostazioni impostare "Quando disponibile, applica senza riavviare il dispositivo ("Hotpatch") su Consenti. Selezionare quindi Avanti.
8. Selezionare i tag di ambito appropriati o lasciare predefinito. Selezionare quindi Avanti.
9. Assegnare i dispositivi ai criteri e selezionare Avanti.
10. Esaminare i criteri e selezionare Crea.

Questi passaggi garantiscono che i dispositivi di destinazione, idonei a ricevere gli aggiornamenti hotpatch, siano configurati correttamente. Ai dispositivi non idonei vengono offerti gli aggiornamenti cumulativi più recenti.Ineligible devices are offered the latest cumulative updates (LCU).

Nota

L'attivazione degli aggiornamenti hotpatch non modifica le configurazioni di installazione pianificate o basate su scadenza esistenti nei dispositivi gestiti. Le impostazioni relative al rinvio e all'ora attiva sono ancora valide.

Eseguire il rollback di un aggiornamento hotpatch

Il rollback automatico di un aggiornamento hotpatch non è supportato, ma è possibile disinstallarli. Se si verifica un problema imprevisto con gli aggiornamenti hotpatch, è possibile analizzare disinstallando l'aggiornamento hotpatch e installando l'aggiornamento cumulativo standard più recente e riavviandolo. La disinstallazione di un aggiornamento hotpatch è rapida, tuttavia richiede un riavvio del dispositivo.

Monitoraggio e creazione di report

Dopo aver creato un criterio di aggiornamenti qualitativi di Windows con gli aggiornamenti hotpatch abilitati, è possibile monitorare i risultati, lo stato della distribuzione con hotpatch e gli errori dei report.

Aggiornamenti qualitativi hotpatch

Questo report mostra il totale dei dispositivi di destinazione e gli stati di aggiornamento correnti di tutti i dispositivi abilitati per l'aggiornamento hotpatch.

1. Accedere all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Report Aggiornamenti qualitativi di Windows nella sezione Windows Autopatch.SelectReports > Windows quality updates in Windows Autopatch section.

3. Nella scheda Report selezionare Report aggiornamenti qualitativi hotpatch.

Distribuzione degli aggiornamenti qualitativi di Windows

Questo report mostra la distribuzione del dispositivo per diverse versioni degli aggiornamenti qualitativi. Per i Aggiornamenti applicabili a Hotpatch, è possibile visualizzare sia i numeri di build hotpatch che gli aggiornamenti qualitativi standard. Si noti che le compilazioni Hotpatch sono con numero inferiore a causa dell'inclusione di subset di correzioni rispetto alle compilazioni standard. È possibile selezionare Dispositivi in questa colonna di aggiornamento per ogni versione per visualizzare un elenco dettagliato dei dispositivi e i relativi aggiornamenti corrispondenti.

Per passare al dispositivo,

1. Accedere all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Segnala > aggiornamenti di Windows.

3. Nella scheda Report fare clic sul report di distribuzione degli aggiornamenti qualitativi di Windows.

Selezionare Tipo di aggiornamento per selezionare la versione di aggiornamento qualità. La colonna Numero di build nel report distribuzione degli aggiornamenti qualitativi di Windows per versione delle funzionalità mostra le compilazioni Hotpatch e Standard.