识别和纠正Windows更新客户端无法接收更新的问题

发布日期：2017年5月9日
更新日期：2017年5月12日
版本：1.3

执行摘要

微软发布此安全公告，旨在提供与一种不常见部署场景相关的信息，在该场景中，Windows更新客户端可能无法正确扫描或下载更新。此场景可能影响安装了Windows 10或Windows Server 2016操作系统，且从未通过交互式登录或远程桌面服务登录系统的客户。这些系统在用户通过交互式登录或远程桌面服务登录完成初始设置之前，可能无法接收Windows更新。

为解决此场景，微软已通过Windows更新发布通道中的自我修复机制发布了Windows更新客户端的更新，以纠正未扫描或接收更新的服务器操作系统的Windows更新行为。在此机制解除计算机的阻塞状态后，系统管理员配置的所有现有设置将得到遵守，并且不会在已配置为禁用Windows更新的计算机上强制更新。

本公告为客户提供指导，帮助他们识别是否受到此不常见场景的影响，以及需要采取哪些措施（如果有）来纠正此行为。

公告详情

受影响软件

以下软件版本或版本受到影响。未列出的版本或版本要么已超过其支持生命周期，要么不受影响。要确定软件版本或版本的支持生命周期，请参阅Microsoft支持生命周期。

客户端操作系统

Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems

服务器操作系统

Windows Server 2016
Windows Server 2016（服务器核心安装）

缓解因素

微软已确定以下缓解因素：

交互式登录系统的用户不受此行为影响。大多数用户在初始设置后交互式登录Windows，因此不受影响。
连接到互联网的服务器将通过WU自我修复系统自动接收更新。只有拥有隔离网络或使用防火墙阻止了Windows更新URL的客户可能需要手动操作。
许多企业软件部署工具和扫描程序可能会引起登录事件，从而防止系统受此问题影响。有一个事件日志（在FAQ中描述）可以检查以确定工具是否引起登录，从而排除任何更新失败。

公告常见问题解答

如何知道我是否受到影响？

交互式登录计算机或通过远程桌面服务登录的客户不受此问题影响。使用自动化映像构建和部署机制（如DISM和Windows部署服务）的客户可能拥有未自动扫描或下载更新的Windows 10或Windows 2016系统。已部署且从未被交互式登录或通过远程桌面服务登录的运行系统可能导致这些系统处于未扫描或下载更新的状态。配置为无头机器的系统将不受影响。

我已登录我的系统。我必须采取进一步的手动操作吗？

只有未启用自动更新或使用防火墙阻止了自动更新URL的客户需要检查更新并手动安装。使用WSUS并阻止系统访问Windows更新URL的客户还必须手动安装当前累积更新。或者，WSUS包含审核机器是否接收更新的能力。只要系统正在接收更新，就不需要采取任何操作。有关自动更新中特定配置选项的信息，请参阅Microsoft知识库文章294871。

我正在使用受影响的客户端操作系统。我会收到自动更新吗？

否，目前没有计划为客户端操作系统版本发布自动更新。请遵循本文档“建议操作”部分中的指导，该部分解释了如何为这些操作系统版本解决此场景。

如何确定我的系统是否为无头系统？

您可以检查位于注册表中“HKLM\SYSTEM\CurrentControlSet\Control\WinInit”路径下的“Headless”键的值。如果此键具有任何非零值，则它作为无头系统运行。如果该键没有值或其值为零，则系统不是无头的，可能受此问题影响。手动更改此值不会修复此问题，也不建议这样做。

是否有事件日志可以检查以确定我的系统是否有正确的登录事件？

是的。您可以在安全事件日志中检查4624安全事件，查找登录类型为2或10的事件。如果系统有任何这些事件，则不受此问题影响。

建议操作

登录每台机器

如果您有少量可能受影响的机器，确保您的机器不处于此状态的最简单方法是登录每台机器。这可以是交互式登录，或通过远程桌面登录。您只需要在操作系统安装后执行一次此操作。

其他信息

反馈

您可以通过填写Microsoft帮助和支持表单、客户服务联系我们提供反馈。

支持

美国和加拿大的客户可以从安全支持获得技术支持。有关更多信息，请参阅Microsoft帮助和支持。国际客户可以从当地的Microsoft子公司获得支持。有关更多信息，请参阅国际支持。 Microsoft TechNet安全提供有关Microsoft产品中安全的其他信息。

免责声明

本公告中提供的信息“按原样”提供，不作任何明示或暗示的担保。微软否认所有明示或暗示的担保，包括适销性和特定用途适用性的担保。在任何情况下，Microsoft Corporation或其供应商都不对任何损害承担责任，包括直接、间接、附带、后果性、商业利润损失或特殊损害，即使Microsoft Corporation或其供应商已被告知可能发生此类损害。有些州不允许排除或限制附带或后果性损害的责任，因此上述限制可能不适用。

修订版本

V1.0（2017年5月9日）：公告发布。
V1.1（2017年5月10日）：公告更新以包括登录类型2安全事件日志条目。这仅是信息性更改。
V1.2（2017年5月11日）：公告更新以澄清WSUS环境。这仅是信息性更改。
V1.3（2017年5月17日）：更新FAQ以澄清需要安装的更新：“当前累积更新”。这仅是信息性更改。

页面生成于2017年5月17日10:48Z-07:00。

Windows更新客户端故障识别与修复指南

微软安全公告4022345详细介绍了Windows 10和Windows Server 2016在特定部署场景下可能无法正常扫描或下载更新的问题，并提供了识别受影响系统和解决方案的完整指南。