補丁管理流程：每月步驟、時限與回退方案

簡短回答：把更新補丁做成固定的每月循環：清單、分級、試點環、分批推送、核查、匯報。為每個嚴重程度訂一個時限（下文數字只是起點，要按你的環境調整，並非業界標準），列出不會自動更新的第三方軟件，並在部署之前就把回退步驟寫下來。微軟通常在每月第二個星期二發布 Windows 質量更新，循環就圍繞這一天來排。

本文寫給平日「想起才更新補丁」的中小企業 IT 負責人和行政主管。讀完後你會有一套可重複的每月流程、一組可直接採用的嚴重程度時限、一份待填寫的第三方軟件清單，以及一份回退方案。

NIST SP 800-40 Rev. 4（2022 年 4 月發布，2026 年 10 月 28 日核對）把補丁管理定義為在整個機構內識別、確定優先次序、取得、安裝並核實補丁、更新和升級的過程，並視之為技術設施的預防性維護。下面的循環用的就是這幾個動作。

每月循環總覽

Microsoft Learn 說明，Windows 質量更新通常在每月第二個星期二發布，但也可能隨時發布（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。以這個星期二為「第 0 天」計算。天數只是起點日曆。

第 0 天之前，更新資產清單。列出所有要更新補丁的設備、服務器、網絡設備和軟件，註明負責人、位置和重要程度。沒列出來的東西不會被更新。
第 0 至 2 天，分級。閱讀廠商的發布說明。把每個更新標為緊急（已有被利用的報告，或廠商表示沒有臨時緩解方法）、關鍵、重要或常規。留意涉及業務軟件的更新。
第 1 至 7 天，試點。先推送給一小批測試設備：IT 同事的設備，加每個部門一部。觀察安裝失敗、無法開機，以及關鍵業務軟件的問題。
第 7 至 14 天，大範圍推送。先推主環，再在各自的維護時段內推服務器。預先通知用戶重新啟動的時間。
第 14 至 21 天，核查。確認更新已安裝、設備已重新啟動、沒有卡住的。跟進錯過這一輪的設備。
第 21 至 28 天，匯報並登記例外。匯報補丁覆蓋率、失敗數目，以及每一部你決定不更新的設備，寫明原因和覆檢日期。

緊急和關鍵補丁不走這張日曆。當天就做試點，並壓縮各環的節奏來滿足下面的時限。上面的日曆適用於重要、中低和常規更新。

即使某個月沒有重大更新，也照常走一遍。每月都跑的例行流程，比出事時臨時發明的流程更容易提速。

在 Intune 裡為 Windows 設備建立更新環

如果設備由 Microsoft Intune 管理，更新環（update rings）是搭建試點和推送階段最簡單的辦法。更新環需要 Microsoft Intune Plan 1，而且設備已登記到 Intune（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。以下菜單保留英文原名，括號內為說明。

打開 Microsoft Intune admin center（管理中心），進入 Devices > By platform > Windows > Manage updates > Windows updates（設備 > 按平台 > Windows > 管理更新 > Windows 更新）。
選擇 Update rings 分頁，再選 Create profile（建立配置文件）。
按階段命名，例如「Ring 0 試點」「Ring 1 一般員工」「Ring 2 關鍵用戶」。
在 Update ring settings 下，為每個環設定不同的質量更新延後日數和截止期限。起點示例：試點環延後 0 天，主環 5 天，關鍵用戶環 10 天。跑完兩輪之後再調整。
在 Assignments（指派）裡，指派給設備群組，不要指派給用戶群組。微軟的建議是：用設備群組，就不必等用戶登入後政策才生效。
檢查並建立。

有兩點要留意。第一，如果設備由 Windows Autopatch 管理，微軟表示管理員通常不應再為它指派自訂更新環。第二，更新環最多可以暫停 35 天，亦可以對更新環使用 Uninstall（卸載）來回退最新的質量更新（見回退方案）。

按嚴重程度的時限（示例，請自行調整）

這些是示例時限，並非業界標準，也不是 Brocent 的數據。請按你自己的風險承受程度、測試速度，以及合約要求你記錄的內容來訂。時限由廠商發布補丁當天起計。緊急和關鍵項目繞過每月日曆：立即試點，並壓縮各環的節奏。

緊急（已有被利用的報告，或沒有臨時緩解方法）：24 小時內完成試點，72 小時內覆蓋所有面向互聯網的系統和終端。使用計劃外的維護時段。
關鍵：3 天內試點，7 天內覆蓋全部系統。
重要：7 天內試點，14 天內覆蓋全部系統。
中低：30 天內覆蓋全部系統，納入每月常規循環。
功能更新和固件：單獨安排並單獨測試。微軟說明 Windows 功能更新每年發布一次（對照 Microsoft Learn 核對，2026 年 10 月 28 日）；固件按廠商的節奏。

同時寫好例外規則：超過時限的設備，需要有指定負責人、原因、補償措施（例如移出網絡或限制訪問）和覆檢日期。

待填寫的第三方軟件清單

Windows Update 不會為大多數非微軟軟件更新補丁。建一份清單，指定負責人，並記錄每一項怎樣更新。常見的有：

網頁瀏覽器及其擴充功能。
PDF 閱讀和編輯軟件。
遙距訪問和會議客戶端，包括 VPN 客戶端和遙距支援工具。
壓縮工具、播放器和運行庫，例如 Java。
業務軟件和行業軟件，包括必須由廠商更新的那些。
打印機、掃描器和周邊設備驅動程式。
網絡和保安設備：防火牆、交換機、無線 AP、VPN 設備。它們的固件也是補丁，用單獨的維護時段。
虛擬化平台、NAS 和備份軟件。
Microsoft 365 Apps 和 Office 加載項，它們走自己的更新通道。

每一項記錄：負責人、更新方式（自動、工具管理、手動）、檢查頻率，以及落後時通知誰。起點節奏可以是：瀏覽器和遙距訪問工具每週檢查一次，其餘每月檢查一次。推送更新時按項目選擇：讓應用程式自己更新、透過設備管理工具部署廠商的新安裝檔，或使用第三方補丁管理工具。先確認你的工具和授權支持哪一種。

服務器和網絡設備

服務器不要放進用戶的更新環，單獨走下面的步驟。Intune 更新環針對的是 Windows 客戶端版本（微軟的支援列表列出 Pro、Enterprise、Education 等版本，沒有 Windows Server），所以服務器不要指望用更新環的 Pause 和 Uninstall。

更新補丁之前立即做備份或快照，並確認可以還原。
先更新最不重要的那部服務器；服務容許的話，等一個工作天再更新其他的。
集群或冗餘系統一次只更新一個節點。
重新啟動之後，檢查服務、事件記錄和業務應用程式，不要只看 Windows 起來了沒有。
防火牆和交換機按固件升級清單來做，並保留上一個版本的映像。

回退方案

在第一次部署之前就寫好，不要等到第一次失敗之後。

訂觸發條件。例如：10 部試點設備中有 2 部無法開機（起點值）、業務軟件無法運行、服務器服務無法啟動。指定由誰決定。
止住擴散。在 Intune 裡暫停該環（Pause，然後選 Quality）。微軟文件說明暫停最長 35 天。
回退受影響的設備。在同一個環裡使用 Uninstall，選 Quality，卸載最新的質量更新。微軟指出，這樣做時 Intune 會同時暫停該環中同類型的更新；設備一收到政策就開始卸載，需要重新啟動時不會讓用戶延後。能預先通知用戶就先通知。在有修復後的更新之前，保持該環處於暫停：微軟文件說明，暫停結束後，如果該更新仍然適用，設備會重新安裝被卸載的更新。暫停最長 35 天，Extend 會把它重設為 35 天。
如果卸載不足夠，從快照或備份還原服務器。
記錄下來。寫下更新編號、症狀和處理方法，並通知廠商。

下面的命令列出哪些服務器缺少某個更新。它使用 Get-HotFix，該命令只返回透過 Component Based Servicing 安裝的更新，不一定列出所有類型的更新（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。

# Servers.txt 每行一個服務器名稱。把 KB 號碼換成實際的更新編號。
$kb = "KB0000000"
Get-Content .\Servers.txt | ForEach-Object {
    $found = Get-HotFix -Id $kb -ComputerName $_ -ErrorAction SilentlyContinue
    [pscustomobject]@{ Server = $_; Installed = [bool]$found }
} | Sort-Object Installed | Format-Table -AutoSize

常見錯誤

沒有資產清單。沒列出來的設備永遠不會被更新。每月把清單和管理工具裡的設備核對一次。
跳過試點環。一個有問題的更新會一次過影響所有人。哪怕試點環只有三部設備也有用。
從不更新第三方軟件。瀏覽器、PDF 工具和遙距訪問客戶端是常見的入口。把它們放進清單。
把「已安裝」當成「已完成」。有待重新啟動就說明舊代碼仍在運行。在核查步驟裡檢查待重新啟動。
為 Autopatch 管理的設備再套自訂更新環。微軟不建議這樣做，每部設備選一種模式。
沒有例外記錄。沒更新又沒有備註的設備是看不見的風險。記下原因和覆檢日期。
把更新環指派給用戶群組。用設備群組，政策就不用等用戶登入。

如何確認已生效

在 Intune 管理中心打開該更新環，查看 Device and user check-in status（設備和用戶簽到狀態）報告。找出沒有簽到或報錯的設備。
把每個環裡的設備清單和你的資產清單對比。兩邊都不在的設備就是未被管理的設備。
對服務器運行上面的 Get-HotFix 命令，檢查本月的關鍵更新。
確認到第 21 天所有設備的待重新啟動都已清除。
記下第 14 天和第 21 天各環的補丁覆蓋率。如果第 21 天低於目標，在下一輪之前查清原因。
每季在一部測試設備上演練一次還原或回退，讓步驟保持熟悉。

常見問題

補丁管理政策應該包含甚麼？

範圍（哪些設備和軟件）、角色和負責人、每月循環、嚴重程度時限、緊急補丁的處理方式、例外和審批規則、回退觸發條件，以及怎樣匯報。控制在一兩頁，讓人願意閱讀。

微軟有補丁管理工具嗎？

有。對 Windows 設備，Microsoft Intune 的更新環和 Windows Autopatch 可以管理 Windows 更新；Intune 管理中心的路徑是 Devices > By platform > Windows > Manage updates > Windows updates。對服務器和本地部署環境，Microsoft Learn 還把 Windows Server Update Services 和 Microsoft Configuration Manager 列為管理更新的工具（2026 年 10 月 28 日核對）。選擇之前，請核對當前的授權要求。