Windows server 2022 Std "windows update"로 인한 서버 재부팅 문의

Question

Windows server 2022에 구성된 업데이트 관련 설정은 아래와 같습니다.

PS C:\Users\Administrator> Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" AUOptions : 3 PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate \AU PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate PSChildName : AU PSDrive : HKLM PSProvider : Microsoft.PowerShell.Core\Registry

어떤 이유에서인지 서버가 업데이트 이후 자동으로 재시작되었습니다.

업데이트 관련 내용은 아래와 같습니다.

• KB5078766 누적 업데이트(21H2x64-기반 시스템용)
• KB5066743 21H2용 .NET Framework 3.5, 4.8 및 4.8.1 누적 업데이트
• KB5066139
• KB890830
• KB2267602
• KB4052623

해당 업데이트가 강제로 재시작을 유발하는게 있는지 확인 바랍니다.

Answer 1

안녕하세요, 이재상님

확인해보니, AUOptions=3 자체는 "재부팅 금지" 설정이 아닙니다. Windows Server에서는 이 정책의 동작이 별도 재시작 정책, 활성 시간, 지연 재시작, 그리고 No auto-restart with logged on users 같은 설정과 함께 관리됩니다. Microsoft도 업데이트 설치 후에는 활성 시간 밖에서 자동 재시작이 시도될 수 있다고 설명합니다.

질문하신 KB 중에서는 아래가 재부팅과 직접 관련이 있습니다.

KB5078766은 Windows Server 2022용 누적 업데이트입니다. 이런 LCU는 설치 후 재부팅이 필요할 수 있는 업데이트 범주이며, Microsoft의 재시작 관리 문서상 설치 뒤 자동 재시작 대상이 될 수 있습니다.

KB5066139는 .NET Framework 누적 업데이트이고, Microsoft가 “영향받는 파일이 사용 중이면 재부팅해야 한다”고 명시합니다. KB5066743은 같은 10월 .NET 업데이트 묶음의 상위 문서로 보이며, 실제 재부팅 요건은 연결된 KB5066139 쪽에 명시돼 있습니다.

KB890830(MSRT)는 악성코드 제거를 마치기 위해 재부팅을 요청할 수 있습니다. 항상 강제는 아니지만, 이 업데이트가 재부팅을 유발할 수는 있습니다.

KB4052623(Defender antimalware platform update)은 Microsoft Update Catalog에서 Restart behavior: Can request restart로 표시됩니다. 즉, 이 항목도 재부팅 요청 가능성이 있습니다.

반면 KB2267602는 Microsoft Defender의 보안 인텔리전스 업데이트 계열로 보이며, Microsoft 문서에서는 Defender가 보안 인텔리전스를 Windows Update로 자동 받는다고 설명합니다. 제가 확인한 Microsoft 자료에서는 이 KB 자체가 단독으로 강제 재부팅을 일으킨다고는 확인되지 않았습니다.

Answer 2

안녕하세요, 이재상님

네, 이 이벤트만 보면 사용자 수동 재시작이 아니라 Windows Update 계열 작업이 SYSTEM 권한으로 재시작을 걸었다고 보는 해석이 맞습니다. Event ID 1074는 “어떤 프로세스가, 어떤 계정으로, 어떤 사유로” 재시작을 요청했는지를 기록하는 이벤트이고, Microsoft 문서의 예시에서도 svchost.exe가 NT AUTHORITY\SYSTEM으로 재시작을 시작한 경우가 업데이트/유지보수 재시작과 연결됩니다.

특히 Operating System: Service pack (Planned)와 Reason Code: 0x80020010은 Microsoft가 정의한 계획된 OS 재시작 사유입니다. 문서상 이 코드는 “service pack(계획됨)”에 해당하며, 의미는 패치/업데이트 적용을 위한 예정된 재시작입니다.

즉, 지금 로그는 “사람이 직접 재시작”했다기보다, Windows Update가 설치 후 재부팅을 트리거했을 가능성이 높다는 쪽에 가깝습니다. Microsoft도 업데이트 설치 후에는 활성 시간 밖에서 자동 재시작을 시도할 수 있고, 자동 업데이트 정책은 재시작을 완전히 막는 설정이 별도로 필요하다고 설명합니다. AUOptions=3만으로는 자동 재시작을 보장해서 막지 못합니다.

정확히 어떤 KB가 트리거했는지는 이 1074만으로는 확정되지 않으니, 같은 시각의 WindowsUpdateClient 이벤트 ID 19(설치 성공)와 CBS.log를 같이 보면 바로 좁혀집니다.