补丁管理流程：每月步骤、时限与回退方案

简短回答：把打补丁做成固定的每月循环：清单、分级、试点环、分批推送、核查、汇报。给每个严重度定一个时限（下文数字只是起点，要按你的环境调整，不是行业标准），列出不会自动更新的第三方软件，并在部署之前就把回退步骤写下来。微软通常在每月第二个星期二发布 Windows 质量更新，循环就围绕这一天来排。

本文写给平时"想起来才打补丁"的中小企业 IT 负责人和行政负责人。读完后你会有一套可重复的每月流程、一组可直接采用的严重度时限、一份待填写的第三方软件清单，以及一份回退方案。

NIST SP 800-40 Rev. 4（2022 年 4 月发布，2026 年 10 月 28 日核对）把补丁管理定义为在整个组织内识别、确定优先级、获取、安装并核实补丁、更新和升级的过程，并把它看作技术设施的预防性维护。下面的循环用的就是这几个动作。

每月循环总览

微软 Learn 说明，Windows 质量更新通常在每月第二个星期二发布，但也可能随时发布（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。以这个星期二为"第 0 天"计数。天数只是起点日历。

第 0 天之前，更新资产清单。列出你要打补丁的所有设备、服务器、网络设备和软件，注明负责人、位置和重要程度。没列出来的东西不会被打上补丁。
第 0 到 2 天，分级。阅读厂商的发布说明。把每个更新标为紧急（已有在野利用的报告，或厂商称没有临时缓解办法）、关键、重要或常规。注意涉及业务软件的更新。
第 1 到 7 天，试点。先推给一小批测试设备：IT 人员的设备，加每个部门一台。观察安装失败、无法开机，以及关键业务软件的问题。
第 7 到 14 天，大范围推送。先推主环，再在各自的维护窗口里推服务器。提前通知用户重启时间。
第 14 到 21 天，核查。确认更新已安装、设备已重启、没有卡住的。追查错过这一轮的设备。
第 21 到 28 天，汇报并登记例外。汇报补丁覆盖率、失败数，以及每一台你决定不打补丁的设备，写明原因和复查日期。

紧急和关键补丁不走这张日历。当天就做试点，并压缩各环的节奏来满足下面的时限。上面的日历适用于重要、中低和常规更新。

即使某个月没什么大更新，也照常走一遍。每月都跑的例行流程，比出事时临时发明的流程更容易提速。

在 Intune 里为 Windows 设备建更新环

如果设备由 Microsoft Intune 管理，更新环（update rings）是搭建试点和推送阶段最简单的办法。更新环需要 Microsoft Intune Plan 1，且设备已注册到 Intune（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。以下菜单保留英文原名，括号内为说明。

打开 Microsoft Intune admin center（管理中心），进入 Devices > By platform > Windows > Manage updates > Windows updates（设备 > 按平台 > Windows > 管理更新 > Windows 更新）。
选择 Update rings 标签页，再选 Create profile（创建配置文件）。
按阶段命名，例如"Ring 0 试点""Ring 1 普通员工""Ring 2 关键用户"。
在 Update ring settings 下，为每个环设置不同的质量更新推迟天数和截止期限。起点示例：试点环推迟 0 天，主环 5 天，关键用户环 10 天。跑完两轮之后再调整。
在 Assignments（分配）里，分配给设备组，不要分配给用户组。微软的建议是：用设备组，就不必等用户登录后策略才生效。
检查并创建。

两点要注意。第一，如果设备由 Windows Autopatch 管理，微软说管理员通常不应再给它分配自定义更新环。第二，更新环最多可以暂停 35 天，还可以对更新环使用 Uninstall（卸载）来回退最新的质量更新（见回退方案）。

按严重度的时限（示例，请自行调整）

这些是示例时限，不是行业标准，也不是 Brocent 的数据。请按你自己的风险承受度、测试速度，以及合同要求你记录的内容来定。时限从厂商发布补丁当天起算。紧急和关键项目绕过每月日历：立即试点，并压缩各环的节奏。

紧急（已有在野利用的报告，或没有临时缓解办法）：24 小时内完成试点，72 小时内覆盖所有面向互联网的系统和终端。使用计划外的维护窗口。
关键：3 天内试点，7 天内覆盖全部系统。
重要：7 天内试点，14 天内覆盖全部系统。
中低：30 天内覆盖全部系统，并入每月常规循环。
功能更新和固件：单独安排并单独测试。微软说明 Windows 功能更新每年发布一次（对照 Microsoft Learn 核对，2026 年 10 月 28 日）；固件按厂商的节奏。

同时写好例外规则：超过时限的设备，需要有指定负责人、原因、补偿措施（例如移出网络或限制访问）和复查日期。

待填写的第三方软件清单

Windows Update 不会给大多数非微软软件打补丁。建一份清单，指定负责人，并记录每一项怎么更新。常见的有：

网页浏览器及其扩展。
PDF 阅读和编辑软件。
远程访问和会议客户端，包括 VPN 客户端和远程支持工具。
压缩工具、播放器和运行库，例如 Java。
业务软件和行业软件，包括必须由厂商更新的那些。
打印机、扫描仪和外设驱动。
网络和安全设备：防火墙、交换机、无线 AP、VPN 设备。它们的固件也是补丁，用单独的维护窗口。
虚拟化平台、NAS 和备份软件。
Microsoft 365 Apps 和 Office 加载项，它们走自己的更新通道。

每一项记录：负责人、更新方式（自动、工具管理、手动）、检查频率，以及落后时通知谁。起点节奏可以是：浏览器和远程访问工具每周查一次，其余每月查一次。推送更新时按项目选择：让应用自己更新、通过设备管理工具部署厂商的新安装包，或使用第三方补丁管理工具。先确认你的工具和授权支持哪一种。

服务器和网络设备

服务器不要放进用户的更新环，单独走下面的步骤。Intune 更新环针对的是 Windows 客户端版本（微软的支持列表列出 Pro、Enterprise、Education 等版本，没有 Windows Server），所以服务器不要指望用更新环的 Pause 和 Uninstall。

打补丁之前马上做备份或快照，并确认可以恢复。
先打最不重要的那台服务器；服务允许的话，等一个工作日再打其他的。
集群或冗余系统一次只打一个节点。
重启之后，检查服务、事件日志和业务应用，不要只看 Windows 起来了没有。
防火墙和交换机按固件升级清单来做，并保留上一个版本的镜像。

回退方案

在第一次部署之前就写好，不要等到第一次失败之后。

定触发条件。例如：10 台试点设备中有 2 台无法开机（起点值）、业务软件无法运行、服务器服务无法启动。指定谁来拍板。
止住扩散。在 Intune 里暂停该环（Pause，然后选 Quality）。微软文档说明暂停最长 35 天。
回退受影响的设备。在同一个环里使用 Uninstall，选 Quality，卸载最新的质量更新。微软指出，这样做时 Intune 会同时暂停该环中同类型的更新；设备一收到策略就开始卸载，需要重启时不会让用户推迟。能提前通知用户就先通知。在有修复后的更新之前，保持该环处于暂停：微软文档说明，暂停结束后，如果该更新仍然适用，设备会重新安装被卸载的更新。暂停最长 35 天，Extend 会把它重置为 35 天。
如果卸载不够，从快照或备份恢复服务器。
记录下来。写下更新编号、症状和处理办法，并告知厂商。

下面的命令列出哪些服务器缺少某个更新。它使用 Get-HotFix，该命令只返回通过 Component Based Servicing 安装的更新，不一定列出所有类型的更新（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。

# Servers.txt 每行一个服务器名。把 KB 号换成实际的更新编号。
$kb = "KB0000000"
Get-Content .\Servers.txt | ForEach-Object {
    $found = Get-HotFix -Id $kb -ComputerName $_ -ErrorAction SilentlyContinue
    [pscustomobject]@{ Server = $_; Installed = [bool]$found }
} | Sort-Object Installed | Format-Table -AutoSize

常见错误

没有资产清单。没列出来的设备永远不会被打补丁。每月把清单和管理工具里的设备对一次。
跳过试点环。一个有问题的更新会一次性影响所有人。哪怕试点环只有三台设备也有用。
从不更新第三方软件。浏览器、PDF 工具和远程访问客户端是常见的入口。把它们放进清单。
把"已安装"当成"已完成"。有待重启就说明旧代码还在运行。在核查步骤里检查待重启。
给 Autopatch 管理的设备再套自定义更新环。微软不建议这样做，每台设备选一种模式。
没有例外记录。没打补丁又没有备注的设备是看不见的风险。记下原因和复查日期。
把更新环分配给用户组。用设备组，策略就不用等用户登录。

如何确认已经生效

在 Intune 管理中心打开该更新环，查看 Device and user check-in status（设备和用户签到状态）报告。找出没有签到或报错的设备。
把每个环里的设备列表和你的清单对比。两边都不在的设备就是未被管理的设备。
对服务器运行上面的 Get-HotFix 命令，检查本月的关键更新。
确认到第 21 天所有设备的待重启都已清除。
记下第 14 天和第 21 天各环的补丁覆盖率。如果第 21 天低于目标，在下一轮之前查清原因。
每季度在一台测试设备上演练一次恢复或回退，让步骤保持熟悉。

常见问题

补丁管理策略应该包含什么？

范围（哪些设备和软件）、角色和负责人、每月循环、严重度时限、紧急补丁的处理方式、例外和审批规则、回退触发条件，以及怎么汇报。控制在一两页，让人愿意读。

微软有补丁管理工具吗？

有。对 Windows 设备，Microsoft Intune 的更新环和 Windows Autopatch 可以管理 Windows 更新；Intune 管理中心的路径是 Devices > By platform > Windows > Manage updates > Windows updates。对服务器和本地部署环境，Microsoft Learn 还把 Windows Server Update Services 和 Microsoft Configuration Manager 列为管理更新的工具（2026 年 10 月 28 日核对）。选择之前，请核对当前的授权要求。