admin 管理员组

文章数量: 887019

若干年前的CIH、熊猫烧香到去年的勒索病毒告诉我们，及时打补丁特别是操作系统的安全补丁是很有很有必要的。所以，我一直都开启着Windows的自动更新功能，也很少遇到因为打补丁引起其他问题。然而，一旦重装系统，打补丁就非常头疼，因为太慢了。但是又不放心第三方的打补丁软件，必竟该打哪些补丁还是开发方才最具权威性。所以，2016年5月微软发布Windows 7 SP1 和 Windows Server 2008 R2 SP1 的方便使用汇总更新(KB3125574)时，赶紧制作了一张整合这个补丁的镜像，以为像是发布了SP2一样，安装之后自动更新会一个补丁都没有。然而，用这个镜像装出来的系统当时自动更新大约找到了四十几个补丁。仔细想一下，也好理解，发布SP版本就相当于发布一个新产品，就会有针对该产品的维护周期，那么发布时应该暂时不会有补丁。但是汇总补丁表明产品并没有变，那么找到没有汇总进去的补丁就很正常。汇总补丁不大可能把所有的补丁都汇总，必竟一个挺复杂的软件由多个可选择的部分组成，如果一个用户根本没有安装某个部分，那么针对这一部分的补丁自然就打不上去，即便忽略这个问题，强制打了补丁，那用户以后再安装这一部分怎么算？从补丁上看是已经打过补丁了，但实际显然是没有打的，就乱套了。所以，汇总更新很显然只能包含系统核心部分或者说所有人都必须安装的部分的补丁。所以，汇总更新不能也不可能汇总所有的补丁，以前认为汇总应该是所有补丁的汇总明显是一个认识误区。

随着时间的推移，使用集成了方便汇总更新(KB3125574)的安装盘安装的系统，自动更新检查出来的补丁数量越来越多，记得有一次看到检查出二百多个补丁。特别是2016年10月微软采用月度累积汇总方式发布更新后还检查出这么多补丁就非常不理解了。因为无论是从字面上理解还是网上的介绍，每个月的累积汇总更新都包含了上一个月的累积汇总更新，那么最新的累积汇总更新应该就包含了所有补丁至少是从采用累积更新方式以来的所有补丁，即便汇总更新只能包含核心的补丁，但外围的补丁应该也不会太多，而且也没有启用很多功能，就不应该检查出太多补丁啊。所以曾经认为，所谓的累积更新方式是骗人的。直到最近由于Windows 7 和 Windows Server 2008 R2技术支持已到期，准备自己汇总一下默认情况下系统会自动打多少补丁，这些补丁应该就是最基本的，集成到安装盘里面的话，基本就不用纠结补丁问题了，因为不会再有补丁了。结果才惊奇地发现，虽然安装完系统后检查出一百七十几个补丁，但是更新完之后实际只安装了几十个而已，后面陆陆续续又检查到一些补丁，但是这些补丁打了之后，总的已安装更新数量并没有增加，仍然是很稳定的几十个(60个左右)，这就说明后面的补丁的确是替代了前面的补丁，并且连已安装补丁列表都被替代了。也就是说累积补丁是真的。

那么问题来了，既然累积补丁是真的，那为什么还要检查出一两百个补丁来而不是直接就安装最新的累积补丁呢？仔细琢磨了半天才想明白，直接装最新的累积补丁手工安装可以但是自动安装不行或者说行不通。为什么呢？首先，补丁是针对存在的问题进行修补，那么问题是否存在总要判断一下，至少没理由用旧的版本去替换新的版本吧。也就是补丁是要有先决条件的，不满足先决条件就不执行修补，这样虽然有问题至少还可以用，如果随便修改反而可能造成混乱而不可用。其次，补丁可能针对同一个地方进行多次修补，这样的话，每个补丁只能把上一个版本作为先决条件，否则，如果把更早的版本作为先决条件，那么相对较新的版本反而得不到更新了。所以，自动更新只能依次更新，而人工更新的话，就可以跳过中间的更新而直接用最新的版本来更新。当然，这里用文件版本号作为先决条件来判断只是举个例子，实际的判断肯定更复杂更严谨，除了文件版本号可能还有其他条件，仅就版本号来说有可能是小于x.x.x或者等于x.x.x等等，并且打补丁也不一定就是替换文件，有可能是修改某个配置参数而已。总之，对于自动更新，如果随意跳过某个中间补丁，有可能这个补丁能成功打上，但是由于可能由于漏掉了中间的补丁，造成后续无法继续更新。所以要确保自动更新能持续正常工作，必须很严格的依次更新，而人工更新的话，出了问题再人工撤回呗。这就是安装系统后检查出很多补丁，但是补丁打完之后已安装的补丁数量少得多的原因，也是我们感受不到累积补丁好处的原因，因为即便有累积补丁，采用自动更新的话仍然是依次一个补丁一个补丁的打的，检查出来的补丁数量当然会越来越多，花费的时间越来越长。

所以，正确的打补丁的方式是：安装完系统之后先手工安装最新的累积补丁（当然还得先打这个累积补丁的先决条件需要的补丁）。这样才能节约打补丁的时间。当然，这样做并不会影响累积补丁中未包含的补丁的，因为系统自动更新仍然会从当前产品第一个补丁开始检查是否需要更新的。原理前面已经说过了，为了保证自动更新的可持续和系统稳定，自动更新只能依次一个一个地检查，然后一个一个的安装，检查花的时间只会越来越长的，但关键的重要的补丁已经打好，其他的就让它后台慢慢地检查慢慢地安装吧，无所谓了。

顺便补充一下服务堆栈更新（SSU）的概念，服务堆栈更新往往是新补丁的先决条件之一。服务堆栈更新本身也有先决条件，就是上一次的服务堆栈更新。也就是服务堆栈更新把更新的范围分成了一段一段的，只有把前面的补丁打了，才能打后面的。这样就防止自动更新一次更新太多，老是更新不完。当然，更新程序本身也需要升级也是服务堆栈更新存在的原因。由于它是新补丁的先决条件，所以不会包含在累积更新里，是单独发布的。SSU有可能代替以前的SSU，有时候又不会，所以哪些需要哪些不需要还得手工安装或集成进行测试。在原始安装盘上集成较新的SSU或者在用原始安装盘新装的系统上直接安装了较新的SSU之后，由于更新堆栈变长了，前几次检查更新往往会失败，需要多检查几次才行。而逐步更新上来的话，虽然更新堆栈仍然变长，但是以前的补丁已经打过了，补丁信息也已经下载过了，所以也不太会出现检查更新失败的情况。

实际上，累积更新虽然包含了很多更新并且有自己的补丁号，但并不是说被汇总的补丁就不存在了，每一个具体的补丁都依然单独存在，汇总补丁作为一种方便的打补丁方式，只是把多个补丁集中在一起打而已，其先决条件必然也是所有补汇总补丁的先决条件，只要其中一个条件不满足，汇总补丁就不可能执行，这时候仍然可能分散的打其中一部分补丁的。根据前面的分析，使用自动更新的话，实际上是一个一个的小补丁打完，再打汇总补丁的。如果汇总补丁的先决条件满足，那么其中的每个补丁实际上都已经打上了，汇总补丁可能也就是更新一下已安装补丁的信息而已，而如果汇总补丁的先决条件不满足，那也没关系，反正所有能补的都补上了。只不过如果出现这种情况，恐怕后续的汇总补丁都没办法打了，这可能也是某些电脑上仍然有几百个补丁的原因吧。另外，服务堆栈更新可以就看成是更新程序的升级，新的服务堆栈总是包含旧的服务，所以前面虽然说更新的范围是一段一段的，像一个栈，但是如果服务堆栈更新后不能使用老的补丁，那就相当于更新之后就不允许启用以前没有启用的功能了，因为这些已经无法更新了。所以，直接把服务堆栈更新到最新是不应该有问题的。当然，作为某一个补丁先决条件的即便较旧的SSU也需要打。

以Windows 7 SP1为基础，打补丁或者集成补丁的正确顺序应该是下面这样：

1.安装KB3020369、KB3125574。（2015 年 4 月 Windows 7 和 Windows Server 2008 R2 的服务堆栈更新、Windows 7 SP1 和 Windows Server 2008 R2 SP1 的方便使用汇总更新）。
2.安装KB4490628、KB4474419。（2019 年 3 月 12 日服务堆栈更新、2019 年 9 月 10 日最新 SHA-2 更新）这两个是最后的月度汇总更新的先决条件。
3.安装KB4534310、KB4534314。（2020 年 1 月 14 日月度汇总和仅安全更新，累积汇总更新的历史在https://support.microsoft/zh-cn/help/4009469/windows-7-sp1-windows-server-2008-r2-sp1-update-history 里，但是，2020年1月14日是Windows 7和Windows Server 2008 R2的支持中止日期，之后的补丁只有购买了扩展安全更新 (ESU)的才能安装成功。

其他的补丁就视需要而定，下面是用按上述顺序安装补丁后又自动检查安装的补丁列表。其中一些不适用于Windows 7一些不适用于Windows Server 2008 R2。其中包含了NVMe支持补丁KB2990941、KB3087873。

KID描述Windows 7Windows Server 2008 R2
KB977238用于Windows Server 2008R2 x64 Edition的HYPER-V最佳实践分析工具更新程序(KB977238)×
KB981390用于Windows Server 2008R2 x64 Edition的Windows Server Update Services最佳实践分析工具更新程序(KB981390)×
KB981391用于Windows Server 2008R2 x64 Edition的Active Directory Rights Management Services最佳实践分析工具更新程序(KB981391)×
KB981392用于Windows Server 2008R2 x64 Edition的应用程序服务器最佳实践分析工具更新程序(KB981392)×
KB2386667用于Windows Server 2008R2 x64 Edition的应用程序服务器最佳实践分析工具更新程序(KB2386667)×
KB2533552尝试安装Windows 7 SP1、Windows Server 2008 R2 SP1或Windows Embedded Standard 7 SP1时可阻止“0xC0000034”错误消息的更新已发布×
KB2534111“当您使用Windows 7 SP1安装Windows 7的”“计算机名不能包含数字”“错误信息集成安装介质”×
KB2545698运行Windows Vista、Windows Server 2008、Windows 7或Windows Server 2008 R2的计算机的Internet Explorer 9中以某些核心字体显示的文本模糊
KB2547666在运行Windows 7或Windows Server 2008 R2的计算机上无法从Internet Explorer浏览历史记录中删除长URL
KB2574819针对Windows 7 SP1和Windows Server 2008 R2 SP1中的DTLS添加支持的更新
KB2592687Remote Desktop Protocol 8.0更新程序
KB260322932位版本的两个注册表项的值在64位版本的Windows 7或Windows Server 2008 R2中错误
KB2667402MS12-020：终端服务器拒绝服务漏洞的安全更新说明：2012年3月13日
KB2670838Windows 7 SP1和Windows Server 2008 R2 SP1的平台更新
KB2676562MS12-034：Microsoft Office、Windows、.NETFramework和Silverlight的组合安全更新
KB2685811适用于Windows Vista、Windows Server2008、Windows 7和Windows Server 2008 R2的1.11版内核模式驱动程序框架更新
KB2685813适用于Windows Vista、Windows Server2008、Windows 7和Windows Server 2008 R2的1.11版用户模式驱动程序框架更新
KB2698365MS12-045：Microsoft数据访问组件中的漏洞可能允许远程执行代码：2012年7月10日
KB2706045MS12-056：JScript和VBScript引擎中的漏洞可能允许远程执行代码：2012年8月14日
KB2729094现提供对Windows 7和Windows Server 2008 R2中SegoeUI符号字体的更新
KB2732059You cannot openan.oxps file in Windows 7 or in Windows Server 2008 R2
KB2750841已推出用于Windows 7和Windows Server 2008 R2的IPv6准备就绪更新
KB2761217已推出可向Windows 7和Windows Server 2008 R2添加Calibri Light和Calibri LightItalic字体的更新
KB2773072更新更改在Windows 7 中的游戏分级系统×
KB2813347MS13-029：远程桌面连接7.0客户端的安全更新
KB2830477Remote Desktop Protocol 8.1更新程序×
KB2834140在运行Windows 7 SP1或Windows Server 2008 R2 SP1的计算机上安装更新2670838后出现“0x00000050”停止错误
KB2841134Internet Explorer11
KB2841134Internet Explorer11zh_cn语言包
KB2862330MS13-081：USB驱动程序安全更新说明：2013年10月8日
KB2894844Windows 7 Service Pack1和Windows Server 2008 R2 Service Pack1上.NET Framework3.5.1的安全更新说明：2013年12月10日
KB2900986MS13-090：ActiveX KillBits累积安全更新：2013年11月12日
KB2912390MS14-007：Direct2D中的漏洞可能允许远程代码执行：2014年2月11日
KB2919469Canada country code is incorrectin Windows 7 SP1 or Windows Server 2008 R2 SP1
KB2923545RDP8.1更新补丁×
KB2970228用以在Windows中支持俄罗斯卢布新货币符号的更新
KB2984972用于支持Windows 7和Windows Server 2008 R2上的受限管理登录的RDC7.1更新
KB2990941更新以在 NVM 速成版 Windows 7 和 Windows Server 2008 R2 中添加本地驱动程序支持
KB2993651MS14-045：内核模式驱动程序的安全更新
KB2999226Windows中的Universal C Runtime更新
KB3004375Microsoft安全公告：用于改善Windows命令行审核的更新：2015年2月10日
KB3006137在Windows中，此更新将立陶宛的货币符号从立陶宛litas（Lt）更改为欧元(€)
KB3018238MS14-066：Schannel中的漏洞可能允许远程执行代码×
KB30203692015年4月Windows 7和Windows Server2008 R2的服务堆栈更新
KB3020388MS15-004：安装了远程桌面连接8.1客户端更新时Windows 7和Windows Server 2008 R2的安全更新
KB3021917更新到Windows7SP1的性能改进×
KB3031432MS15-015：Microsoft Windows 中的漏洞可能允许特权提升：2015 年 2 月 10 日
KB3035126“MS15-029:Vulnerabilityin Windows Photo Decoder component could allowinformationdisclosure:March10 2015”
KB3046269MS15-037：Windows任务计划程序中的漏洞可能允许特权提升：2015年4月14日
KB3054205WinVerifyTrust函数的SIP的更新×
KB3059317MS15-060：Microsoft常用控件中的漏洞可能允许远程执行代码：2015年6月9日
KB3068708更新的客户体验和诊断遥测
KB3075226MS15-082：WindowsRDP安全更新
KB3080149更新的客户体验和诊断遥测
KB3087873"0x0000007E"stop 错误之后在 Windows 7 SP1 或 Windows Server 2008 R2 SP1 安装修补程序 2990941
KB3102429在Windows中支持阿塞拜疆马纳特和格鲁吉亚语拉里货币符号的更新
KB3110329MS16-007：适用于Windows的安全更新程序说明：2016年1月12日
KB3118401Windows中的Universal C Runtime更新
KB3123479对Microsoft根证书程序弃用SHA-1哈希算法
KB3124275MS16-001：Internet Explorer安全更新程序：2016年1月12日
KB3125574Windows7SP1和Windows Server 2008 R2 SP1的方便使用汇总更新
KB3138612Windows7和Windows Server 2008 R2的Windows更新客户端：2016年3月
KB3140245启用TLS1.1和TLS1.2作为默认WinHTTP在Windows中的安全协议
KB3150513Windows的最新兼容性定义更新×
KB3155178MS16-056：Windows日记本的安全更新程序说明：2016年5月10日
KB3156016MS16-055：Microsoft图形组件的安全更新程序说明：2016年5月10日
KB3159398“MS16-072:DescriptionofthesecurityupdateforGroupPolicy:June142016”
KB3161102Windows日记本中删除组件的更新
KB3161949MS16-077：WPAD安全更新程序说明：2016年6月14日
KB3170735Windows日记本的2016年7月更新×
KB31726052016年7月Windows 7 SP1和Windows Server 2008 R2 SP1更新汇总
KB31795738月2016年的Windows 7 SP1和Windows Server 2008 R2 SP1更新汇总
KB3184143删除与Windows 10免费升级优惠活动相关的软件×
KB3185319MS16-104：Internet Explorer安全更新程序：2016年9月13日
KB4019990在Windows Server 2012、Windows Server 7和Windows Server 2008 R2上的d3dcompiler_47.dll组件的更新
KB4040980适用于Windows 7 SP1和Windows Server 2008 R2 SP1的.NET Framework3.5.1的安全与质量汇总(KB4040980)
KB4474419针对Windows Server 2008 R2、Windows 7和Windows Server 2008的SHA-2代码签名支持更新：2019年9月23日
KB4490628Windows 7 SP1和Windows Server 2008 R2 SP1的服务堆栈更新：2019年3月12日
KB4493132Windows 7 SP1支持通知×
KB4532945Windows 7 SP1和Windows Server 2008 R2 SP1的.NET Framework 3.5.1的安全与质量汇总(KB4532945)
KB45343102020年1月14日-KB4534310（月度汇总）
KB45343142020年1月14日-KB4534314（仅安全更新）
KB4536952Windows7SP1和Server2008R2SP1的服务堆栈更新：2020年1月14日

本文标签： 误区 正确 方式 Windows

版权声明：本文标题：关于Windows汇总累积更新的认识误区和正确的使用方式 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.freenas.com.cn/jishu/1728603989h1255520.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。