Windows 11 Hotpatch：企业终端少重启补丁怎么落地
Windows 11 Enterprise 24H2/25H2 支持 Hotpatch 日历。本文解释 baseline、hotpatch、适用范围和企业落地检查。
Windows 终端补丁最让用户反感的往往不是下载，而是重启。Hotpatch 的价值就在这里：在满足条件的设备上，部分安全更新可以不通过完整重启就生效，从而更快达到合规状态。
截至 2026 年 7 月，微软的 Windows 11 发布信息中已经列出 24H2 和 25H2 Enterprise 客户端的 hotpatch 日历，但同时明确说明 26H1 不支持 hotpatch。
Hotpatch 不是永不重启
Hotpatch 的更新节奏通常是：
季度第一个月：Baseline，通常需要重启
接下来两个月：Hotpatch，安全更新可减少重启所以它不是“以后不用重启”，而是减少重启次数。
这对企业很现实。用户不喜欢频繁重启，但安全团队又希望尽快安装补丁。Hotpatch 正好能缩短这个矛盾。
适合哪些设备
更适合：
- 企业版 Windows 11 设备
- Intune 管理设备
- Autopatch 管理设备
- 对重启敏感但又要快速合规的办公终端
不适合简单套用到：
- 不受管理的个人设备
- 特殊驱动设备
- 业务终端没有维护窗口的设备
- 仍在旧 Windows 版本的设备
先确认 edition 和版本：
Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, OsBuildNumberHotpatch 和 Autopatch 的关系
Windows Autopatch 是微软提供的云端更新管理服务，Hotpatch 是更新交付能力之一。Autopatch 文档建议，为了更快达到安全状态，可以在设备满足条件时启用 hotpatch。
可以这样理解：
Autopatch：负责分组、审批、部署、报表
Hotpatch：减少部分质量安全更新对重启的依赖两者结合，适合希望减少补丁运维负担的企业。
落地前检查
版本检查
Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, OsBuildNumber管理状态检查
确认设备是否：
- 加入 Microsoft Entra ID
- 被 Intune 管理
- 满足 Autopatch 或 update policy 要求
- 没有被本地策略阻断 Windows Update
重启策略检查
Hotpatch 减少重启，但 baseline 仍需要重启。因此仍要配置：
- active hours
- deadline
- grace period
- 用户通知
运维容易误解的点
误解一：Hotpatch 覆盖所有补丁
不是。部分更新、驱动更新、功能更新和 baseline 仍可能需要重启。
误解二：有 Hotpatch 就不用维护窗口
仍然需要。只是维护窗口压力变小。
误解三：所有 Windows 11 都支持
不是。要看版本、edition、管理方式和微软支持范围。
如何看效果
可以从 Intune 或 Autopatch 报表看：
- 设备是否 up to date
- 哪些设备未安装
- 哪些设备 pending reboot
- 哪些设备有 update alert
如果大量设备仍 pending reboot，说明 baseline 更新、驱动或策略仍需要优化。
总结
Windows 11 Hotpatch 的真正价值是提升安全补丁安装速度，同时减少对用户工作的打扰。
对企业运维来说，它不是单点功能，而是补丁治理体系的一部分。要和 Intune、Autopatch、更新环、重启策略和报表一起设计，才能真正发挥作用。