Kvalifiseringen for Windows hotpatch-baseline var planlagt å koste fire omstarter i 2026. Midt i juli hadde den allerede kostet fire. Microsofts versjonsmerknader for hotpatch viser baseline-oppdateringer i januar og april, en ekstra baseline med omstart 9. juni og den planlagte baselinen 14. juli – og oktober gjenstår fortsatt. Enhetene må ha den nyeste baselinen for å fortsette å få hotpatch-oppdateringer uten omstart, og baselinen i juli bringer med seg noe mer: en bredere automatisk utrulling av de nye Secure Boot-sertifikatene.
Det er den stille risikoen ved oppdatering uten omstart. Hotpatch-pakker er avgrenset til sikkerhetsoppdateringer og installeres i det stille. Alt annet – kumulative rettelser, nye funksjoner og utrullingen av Secure Boot-sertifikatene – følger med baseline-oppdateringene, som fortsatt krever omstart. Når selve kalenderen skrider ut, slik den gjorde i juni, holder ikke lenger antakelsen om at «vi starter på nytt fire ganger i året, og da er vi dekket». IT-avdelingen må kunne se hvilke enheter som er oppdatert, hvilke som har falt ut av rytmen, og hvilke som har fått de nye sertifikatene.
Slik fungerer kvalifisering for Windows hotpatch-baseline
Baseline-kalenderen skled ut i 2026
Modellen er enkel på papiret: Baseline-månedene (planlagt for januar, april, juli og oktober) leverer kumulative oppdateringer som krever omstart, og månedene imellom leverer sikkerhetsoppdateringer via hotpatch uten omstart. Kvalifiseringen forutsetter at enheten holder seg oppdatert – en enhet som ikke har den nyeste baselinen, faller tilbake til vanlige kumulative oppdateringer, med omstart, til den har tatt igjen etterslepet. Det 2026 har vist, er at kalenderen er en plan, ikke et løfte: 9. juni kom en uplanlagt baseline, og 14. juli fulgte den planlagte. To måneder på rad med omstart, i en modell som er bygget for å holde omstartene på et minimum.
Baselinen i juli bringer med seg utrullingen av Secure Boot
Baselinen i juli (KB5101650) utvider gruppen av enheter som kan få 2023-sertifikatene for Secure Boot automatisk – erstatningene for sertifikater som begynte å utløpe i juni 2026. Utrullingen skjer automatisk, og enheter som ennå ikke har fått de nye sertifikatene, fortsetter å starte og fortsetter å få oppdateringer. Men automatisk og trinnvis betyr også ujevnt: Til enhver tid har noen enheter i enhetsparken de nye sertifikatene, og noen ikke. Spørsmålet er ikke om Microsofts mekanisme fungerer. Spørsmålet er om du kan dokumentere hvor den har nådd fram – og hvilke enheter som sakker akterut med baseline-oppdateringene som bringer den.
Slik holder CapaOne kontroll på etterlevelsen ved usynlige oppdateringer
CapaOne ruller ikke ut oppdateringer av Windows-operativsystemet – selve hotpatch-utrullingen hører til Microsofts verktøy. Det CapaOne leverer, er oversikten over hele enhetsparken, som avgjør om modellen uten omstart faktisk lander trygt.
Se hvilke enheter som ligger etter med baselinen
Security Monitor viser konfigurasjonsavvik og eksponering i hele enhetsparken, slik at IT kan se hvilke endepunkter som ligger etter med baselinen – og hvor den faktiske tilstanden i enhetsparken har avveket fra den tilsiktede. Prinsippet er det samme som vi beskrev i Konfigurasjonsavvik: Eksponeringen patching ikke lukker: En enhetspark kan se patchet ut og likevel stå åpen når den faktiske tilstanden glir bort fra planen.
Følg med på påliteligheten etter stille oppdateringer
Experience Monitor følger med på pålitelighet og ytelse etter at oppdateringer er installert, slik at feil som oppstår etter oppdateringen, kommer fram før brukerne melder dem. Når oppdateringer ikke lenger varsler om seg selv, er pålitelighetsdata måten IT kan bekrefte at den stille modellen fungerer på – og fange opp tilfellene der den ikke gjør det.
Begge kjører på CapaOne-plattformen for endepunktadministrasjon – frittstående, eller ved siden av en oppdateringsflyt som styres av Microsoft. For tredjepartssiden av den samme historien, se hva hotpatch ikke patcher.
Dette får IT-avdelingen
Den operative gevinsten er konkret:
- Enheter som henger etter med baselinen, blir synlige mens det fortsatt betyr noe – før neste hotpatch-måned kommer og kvalifiseringen i enhetsparken deles i to.
- Dokumentasjon av etterlevelse oppstår i den daglige driften: hvilke enheter som følger hotpatch-rytmen, hvilke som har avveket, og hvordan eksponeringen deres ser ut.
- Feil etter oppdateringer kommer fram i pålitelighetsdata i stedet for i brukerhenvendelser.
Oppdatering uten omstart er retningen Windows går i, og det endrer disiplinen IT-avdelingen trenger: fra å planlegge omstarter til å kontrollere tilstanden. Juni og juli viste dette bedre enn noen kalender kunne – når rytmen endres uten forvarsel, tilpasser de teamene som ser enhetsparken sin, seg på en dag. Når den kontrollen kjører kontinuerlig, blir etterlevelse det naturlige resultatet av den daglige IT-driften, ikke et kvartalsvis hastearbeid.
Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se status for baseline og eksponering i hele enhetsparken.