Patch dinâmico para o Windows Server

A aplicação de patch dinâmico é uma maneira de instalar atualizações de segurança do sistema operacional no Windows Server sem precisar reiniciar o computador. A aplicação de patch dinâmico corrige o código carregado na memória de processos em execução sem a necessidade de reiniciar o processo. O patch dinâmico também oferece os seguintes benefícios:

• Menos binários significam que as atualizações são instaladas mais rapidamente e consomem menos recursos de disco e CPU.

• Menor impacto no workload com menos necessidade de reiniciar o computador.

• Melhor proteção, pois os pacotes de atualização de patch dinâmico têm como escopo as atualizações de segurança do Windows que são instaladas mais rapidamente sem exigir que você reinicie o computador.

• Reduz o tempo exposto a riscos de segurança e janelas de alteração, além de facilitar a orquestração de patches com o Gerenciador de Atualizações do Azure.

Plataformas compatíveis

Máquinas virtuais do Azure e Azure Local

A tabela a seguir lista as combinações exatas de editor, oferta do sistema operacional e SKU que dão suporte à aplicação de patch dinâmico para Windows Server 2022 e Windows Server 2025 no Azure. Máquinas virtuais (VMs) criadas no Azure Local usando essas combinações também dão suporte ao Hotpatching.

Para obter mais informações sobre as imagens disponíveis, consulte o Windows Server no Azure Marketplace.

Computadores conectados pelo Azure Arc

Os computadores Windows Server 2025 conectados ao Azure Arc poderão receber patches dinâmicos se você habilitar o recurso no Portal do Azure Arc. Para começar a usar o Patch dinâmico habilitado para Azure Arc, conecte o Azure Arc a computadores usando uma das seguintes edições:

• Windows Server 2025, Edição Datacenter

• Windows Server 2025 Edição Standard

Como o Hotpatch funciona

O patch dinâmico primeiro estabelece uma linha de base com a Atualização Cumulativa atual para o Windows Server. A cada três meses, a linha de base é atualizada periodicamente com a Atualização Cumulativa mais recente. Você receberá versões de patch dinâmico pelos próximos dois meses após a atualização cumulativa. Por exemplo, se janeiro for uma Atualização Cumulativa, fevereiro e março terão versões de patch dinâmico. Para obter mais informações sobre o agendamento de lançamento do Hotpatch, consulte o Calendário de Hotpatch do Windows Server.

Existem dois tipos de linhas de base: Linhas de base planejadas e Linhas de base não planejadas.

• As linhas de base planejadas são lançadas em uma cadência regular, com versões de patch dinâmico entre elas. As linhas de base planejadas incluem todas as atualizações em uma atualização cumulativa mais recente comparável para aquele mês e exigem que você reinicie o computador.

  • Por exemplo, um período de lançamento planejado de um ano pode incluir quatro versões de linha de base planejadas em um ano civil e oito versões hotpatch.

• As linhas de base não planejadas são lançadas durante uma atualização importante não planejada, como uma correção de dia zero, quando essa atualização específica não pode ser lançada como um patch dinâmico. Quando linhas de base não planejadas são lançadas, uma versão de patch dinâmico é substituída por uma linha de base não planejada para mês. As linhas de base não planejadas também incluem todas as atualizações em uma Atualização Cumulativa Mais Recente comparável para esse mês e, portanto, exigem que você reinicie o computador.

  • Como esses eventos não são planejados, os desenvolvedores não podem prever linhas de base não planejadas com antecedência.

As atualizações de patch dinâmico não exigem que você reinicie o computador. Como os patches dinâmicos corrigem o código na memória dos processos em execução sem a necessidade de reiniciá-los, seus aplicativos não são afetados. Essa falta de reinicialização não afeta as implicações de performance ou funcionalidade do patch em si.

Atualizações suportadas

O patch dinâmico abrange as Atualizações de segurança do Windows e mantém a paridade com o conteúdo das atualizações de segurança emitidas no canal de atualizações regular (sem patch dinâmico) do Windows.

Há algumas coisas importantes que você precisa considerar ao habilitar o patch dinâmico em uma versão com suporte do Windows Server. Você ainda precisa reiniciar o computador para instalar atualizações que não estão incluídas no programa de Patch Dinâmico. Você também precisa reiniciar periodicamente após a instalação de uma nova linha de base. A reinicialização mantém sua VM em sincronia com os patches de não segurança incluídos nas atualizações cumulativas mais recentes.

Os seguintes patches atualmente não estão incluídos no programa de Patch Dinâmico e exigem que você atualize o computador durante os meses de lançamento do patch dinâmico:

• Atualizações de não segurança para Windows

• Atualizações do .NET

• Atualizações que não sejam do Windows, como drivers, atualizações de firmware e assim por diante.

O processo de orquestração de patches

O patch dinâmico é uma extensão do Windows Update e processos de gerenciamento típicos. No entanto, as ferramentas para gerenciamento de patch variam dependendo de qual plataforma você está usando.

Azul

• As VMs que você cria no Azure usando uma imagem do Windows Server suportado têm a Aplicação de patch automática de VM de convidado habilitada por padrão.

• O patch dinâmico baixa e aplica automaticamente patches classificados como Críticos ou de Segurança à sua VM.

• Os patches dinâmicos aplicam patches fora do horário de pico no fuso horário da VM.

• O Azure gerencia patches para você, aplicando patches de acordo com os princípios de disponibilidade.

• O Azure monitora a integridade da VM por meio de sinais de integridade da plataforma para detectar falhas de aplicação de patches.

Azure Local

O Azure Local pode orquestrar atualizações do Hotpatch para VMs usando as seguintes ferramentas:

• A política de grupo define as configurações do cliente do Windows Update.

• O SCONFIG define as configurações do cliente do Windows Update para o Server Core.

• Soluções de gerenciamento de patch que não são da Microsoft.

Computadores conectados pelo Azure Arc

Os computadores conectados pelo Azure Arc podem instalar e gerenciar atualizações de patch dinâmico usando as seguintes ferramentas:

• Gerenciador de Atualizações do Azure

• A política de grupo define as configurações do cliente do Windows Update.

• O SCONFIG define as configurações do cliente do Windows Update para o Server Core.

• Soluções de gerenciamento de patch que não são da Microsoft.

Para obter mais informações sobre quais ferramentas o patch dinâmico usa, confira nossa Documentação do Gerenciador de Atualizações do Azure.

Compreenda o status do patch da sua VM no Azure

Para exibir o status do patch da VM, abra a página Visão geral da VM no portal do Azure. A partir daí, em Operações, selecione Atualizações. Você deve ver o status do patch e os patches instalados mais recentemente em Atualizações recomendadas.

Na página Atualizações recomendadas, você pode ver o status do patch dinâmico da VM e se há patches disponíveis para a VM. Como dissemos em Como funciona o patch dinâmico, a Aplicação automática de patches de convidado de VM instala automaticamente todos os patches críticos e de segurança em sua VM.

Os patches fora dessas duas categorias não são instalados automaticamente e, em vez disso, são exibidos na guia Atualizar conformidade como uma lista de patches disponíveis. Você também pode verificar a guia Histórico de atualizações para exibir detalhes de instalação de patches para implantações de atualizações em sua VM dos últimos 30 dias.

A Aplicação de patch automática de VM de convidado executa regularmente avaliações dos patches disponíveis, que podem ser visualizadas na guia Atualizações. Você pode iniciar manualmente uma avaliação clicando no botão Avaliar agora. Você também pode instalar patches sob demanda selecionando o botão Instalar atualizações agora. Essa opção permite que você escolha se deseja instalar todas as atualizações em classificações de patch específicas. Você também pode selecionar atualizações individuais para incluir ou excluir fornecendo uma lista de artigos da base de dados de conhecimento. No entanto, lembre-se de que os patches instalados manualmente não seguem os princípios de disponibilidade e podem exigir que você reinicie a VM.

Você também pode exibir os patches instalados executando o cmdlet Get-HotFix no PowerShell ou exibindo o menu Configurações na Experiência Desktop.

Suporte de reversão para patch dinâmico

As atualizações de patch dinâmico não oferecem suporte à reversão automática. Se você tiver um problema durante ou após uma atualização, deverá desinstalar a atualização mais recente e instalar a última atualização de linha de base funcional. Esse processo requer que você reinicie a VM.

Próximas etapas

• Habilitar o Hotpatch para servidores habilitados para Azure Arc

• Aplicação de patch automática de VM de convidado

• Habilitar a aplicação de patch dinâmico para máquinas virtuais do Azure Edition criadas a partir de ISO.

• Gerenciamento de Atualizações do Azure