Windows-beleid voor kwaliteitsupdates

Met beleid voor Windows-beleidsupdates kunt u Hotpatch-updates implementeren. Hotpatch-updates zijn ontworpen om downtime en onderbrekingen te verminderen. Hotpatch-updates zijn maandelijkse B-beveiligingsupdates die worden geïnstalleerd en van kracht worden zonder dat u het apparaat opnieuw hoeft op te starten. Door de noodzaak om opnieuw op te starten te minimaliseren, zorgen deze updates voor een snellere naleving, waardoor organisaties gemakkelijker de beveiliging kunnen handhaven terwijl werkstromen ononderbroken blijven.

Hotpatch is een uitbreiding van Windows Update en vereist Autopatch om hotpatches te maken en te implementeren op apparaten die zijn ingeschreven in het beleid voor automatische kwaliteitsupdates.

Belangrijkste voordelen

• Hotpatch-updates stroomlijnen het installatieproces en verbeteren de nalevingsefficiëntie.
• Er zijn geen wijzigingen vereist in uw bestaande updateringconfiguraties. Uw bestaande ringconfiguraties worden naast hotpatch-beleid gehonoreerd.
• Het updaterapport voor hotpatch-kwaliteit biedt een weergave per beleidsniveau van de huidige updatestatussen voor alle apparaten die Hotpatch-updates ontvangen.

Vereisten

Als u wilt profiteren van hotpatch-updates, moeten apparaten voldoen aan de volgende vereisten:

• Zie Vereisten voor licentievereisten
• Windows 11 Enterprise versie 24H2 of hoger
• Apparaten moeten de nieuwste basislijnversie hebben om in aanmerking te komen voor Hotpatch-updates. Microsoft brengt de basislijnupdates elk kwartaal uit als cumulatieve standaardupdates. Zie Releaseopmerkingen voor Hotpatch voor meer informatie over de meest recente planning voor deze releases.
• Microsoft Intune om de implementatie van hotpatch-updates te beheren met het Windows-beleid voor kwaliteitsupdates met hotpatch ingeschakeld.

Vereisten voor besturingssysteemconfiguratie

Als u een apparaat wilt voorbereiden voor het ontvangen van hotpatch-updates, configureert u de volgende besturingssysteeminstellingen op het apparaat. U moet deze instellingen configureren voor het apparaat om de Hotpatch-update te kunnen aanbieden en om alle hotpatch-updates toe te passen.

Beveiliging op basis van virtualisatie (VBS)

VBS moet zijn ingeschakeld om een apparaat hotpatch-updates te kunnen aanbieden. Zie Beveiliging op basis van virtualisatie (VBS) voor meer informatie over het instellen en detecteren of VBS is ingeschakeld.

Opmerking

Apparaten komen mogelijk tijdelijk niet in aanmerking omdat VBS niet is ingeschakeld of zich momenteel niet in de meest recente basislijnrelease bevinden. Zie Problemen met hotpatch-updates oplossen om ervoor te zorgen dat al uw Windows-apparaten correct zijn geconfigureerd om in aanmerking te komen voor hotpatch-updates.

Arm 64-apparaten moeten gecompileerd hybride PE-gebruik (CHPE) uitschakelen (alleen Arm 64 CPU)

Belangrijk

Ondersteuning voor Arm 64-apparaten is in openbare preview.

Om ervoor te zorgen dat alle hotpatch-updates worden toegepast, moet u de vlag Compiled Hybrid Portable Executable (CHPE) uitschakelen instellen en het apparaat opnieuw opstarten om CHPE-gebruik uit te schakelen. U hoeft deze vlag slechts één keer in te stellen. De registerinstelling blijft toegepast via updates.

Deze vereiste is alleen van toepassing op Arm 64 CPU-apparaten wanneer u hotpatch-updates gebruikt. Hotpatch-updates zijn niet compatibel met het onderhoud van binaire CHPE-besturingssysteembestanden.

Als u CHPE wilt uitschakelen, maakt en/of stelt u de volgende DWORD-registersleutel in:

Pad: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management DWORD key value: HotPatchRestrictions=1

Zie hier voor meer informatie over CHPE

Opmerking

Er zijn geen plannen voor ondersteuning van hotpatch-updates op Arm64-apparaten waarop CHPE is ingeschakeld. Het uitschakelen van CHPE is alleen vereist voor Arm64-apparaten. AMD- en Intel-CPU's hebben geen CHPE.

Als u ervoor kiest om geen hotpatch-updates meer te gebruiken, wist u de chpe-vlag uitschakelen (HotPatchRestrictions=0) en start u het apparaat opnieuw op om CHPE-gebruik in te schakelen.

Niet in aanmerking komende apparaten

Apparaten die niet voldoen aan een of meer vereisten ontvangen in plaats daarvan automatisch de meest recente cumulatieve update (LCU). Meest recente cumulatieve update (LCU) bevat maandelijkse updates die de updates van de vorige maand vervangen die zowel beveiligings- als niet-beveiligingsupdates bevatten.

Voor LPU's moet u het apparaat opnieuw opstarten, maar de LCU zorgt ervoor dat het apparaat volledig veilig en compatibel blijft.

Opmerking

Als apparaten niet in aanmerking komen voor hotpatch-updates, krijgen deze apparaten de LCU aangeboden. De LCU behoudt uw geconfigureerde instellingen voor updatering. De instellingen worden niet gewijzigd.

Releasecycli

Zie Releaseopmerkingen voor Hotpatch voor meer informatie over de releasekalender voor hotpatch-updates.

• Basislijn: bevat de nieuwste beveiligingspatches, cumulatieve nieuwe functies en verbeteringen. Opnieuw opstarten vereist.
• Hotpatch: bevat beveiligingsupdates. Niet opnieuw opgestart vereist.

Wijk	Basislijnupdates (opnieuw opstarten vereist)	Hotpatch (niet opnieuw opstarten vereist)
1	Januari	Februari en maart
2	April	Mei en juni
3	Juli	Augustus en september
4	Oktober	November en december

Hotpatch op Windows 11 Enterprise of Windows Server 2025

Opmerking

Hotpatch is ook beschikbaar op Windows Server en Windows 365. Zie Hotpatch voor Windows Server Azure Edition voor meer informatie.

Hotpatch-updates zijn vergelijkbaar tussen Windows 11 en Windows Server 2025.

• Windows Autopatch beheert Windows 11 updates
• Azure Update Manager en optioneel Azure Arc-abonnement voor Windows 2025 Datacenter/Standard Editions (on-premises) beheert Windows Server 2025 Datacenter Azure Edition. Zie Hotpatch voor Windows Server Azure Edition voor meer informatie over Windows Server en Windows 365.

De kalenderdatums, acht hotpatchmaanden en vier basislijnmaanden die elk jaar zijn gepland, zijn hetzelfde voor alle hotpatch-ondersteunde besturingssystemen (OS). Het is mogelijk voor extra basislijnmaanden voor het ene besturingssysteem (bijvoorbeeld Windows Server 2022), terwijl er hotpatch-maanden zijn voor een ander besturingssysteem, zoals Server 2025 of Windows 11, versie 24H2. Bekijk de releaseopmerkingen van de Windows-releasestatus om op de hoogte te blijven.

Apparaten inschrijven om hotpatch-updates te ontvangen

Opmerking

Als u groepen voor automatisch verzenden gebruikt en wilt dat uw apparaten hotpatch-updates ontvangen, moet u een hotpatch-beleid maken en er apparaten aan toewijzen. Als u Hotpatch-updates inschakelt, wordt de instelling voor uitstel niet gewijzigd die wordt toegepast op apparaten in een groep voor automatisch verzenden.

Apparaten inschrijven voor het ontvangen van hotpatch-updates:

1. Ga naar het Intune-beheercentrum.
2. Selecteer Apparaten in het linkernavigatiemenu.
3. Selecteer in de sectie Updates beherende optie Windows-updates.
4. Ga naar het tabblad Kwaliteitsupdates .
5. Selecteer Maken en selecteer Windows-kwaliteitsupdatebeleid.
6. Voer in de sectie Basisbeginselen een naam in voor uw nieuwe beleid en selecteer Volgende.
7. Stel in de sectie Instellingen'Indien beschikbaar, toepassen zonder het apparaat opnieuw op te starten 'Hotpatch' in op Toestaan. Selecteer vervolgens Volgende.
8. Selecteer de juiste bereiktags of laat standaard staan. Selecteer vervolgens Volgende.
9. Wijs de apparaten toe aan het beleid en selecteer Volgende.
10. Controleer het beleid en selecteer Maken.

Deze stappen zorgen ervoor dat doelapparaten die in aanmerking komen voor hotpatch-updates, correct zijn geconfigureerd. Niet in aanmerking komende apparaten worden aangeboden met de nieuwste cumulatieve updates (LCU).

Opmerking

Als u hotpatch-updates inschakelt, worden de bestaande, op deadline gebaseerde of geplande installatieconfiguraties op uw beheerde apparaten niet gewijzigd. De instellingen voor uitstel en actief uur zijn nog steeds van toepassing.

Een hotpatch-update terugdraaien

Automatisch terugdraaien van een hotpatch-update wordt niet ondersteund, maar u kunt deze verwijderen. Als u een onverwacht probleem ondervindt met hotpatch-updates, kunt u dit onderzoeken door de hotpatch-update te verwijderen en de meest recente cumulatieve standaardupdate (LCU) te installeren en opnieuw op te starten. Het verwijderen van een hotpatch-update is snel, maar hiervoor moet het apparaat opnieuw worden opgestart.

Bewaking en rapportage

Nadat een Windows-beleid voor kwaliteitsupdates is gemaakt met Hotpatch-updates ingeschakeld, kunt u resultaten, hotpatch-implementatiestatus en fouten in de rapporten bewaken.

Kwaliteitsupdates voor hotpatchs

In dit rapport worden de totale doelapparaten en de huidige updatestatussen van alle hotpatch-updateapparaten weergegeven.

1. Meld u aan bij het Microsoft Intune-beheercentrum.

2. Selecteer Onder de sectie Windows Autopatchrapporteert > u kwaliteitsupdates van Windows.

3. Selecteer op het tabblad Rapportende optie Rapport voor kwaliteitsupdates hotpatch.

Distributie van Windows-kwaliteitsupdates

Dit rapport toont de apparaatdistributie voor verschillende kwaliteitsupdatereleases. Voor hotpatch toepasselijke Updates ziet u dat zowel hotpatch- als buildnummers voor updates van standaardkwaliteit worden weergegeven. Houd er rekening mee dat hotpatch-builds een lager nummer hebben vanwege de opname van subset van oplossingen in vergelijking met standaardversies. U kunt Apparaten selecteren in deze updatekolom voor elke release om een gedetailleerde lijst met apparaten en de bijbehorende updates weer te geven.

Om naar het apparaat te gaan,

1. Meld u aan bij het Microsoft Intune-beheercentrum.

2. Selecteer Rapporten > Windows-updates.

3. Klik op het tabblad Rapporten op Distributierapport voor Windows-kwaliteitsupdates.

Selecteer Updatetype om de kwaliteitsupdaterelease te selecteren. In de kolom Buildnummer in het rapport Windows-kwaliteitsupdatedistributie per functieversie ziet u de Hotpatch- en Standard-builds.