Windows Server 2025 и Hotpatch: почему в 2026 году перезагрузок шесть, а не четыре
Hotpatch продали сисадминам под лозунгом «перезагрузка раз в квартал». В 2026 году Windows Server 2025 попросил рестарт в январе, апреле, июне, июле, 8 сентября — и попросит ещё в октябре. Шесть baseline вместо четырёх. Разбираю, почему так вышло, почему внеплановый baseline не отменяет плановый, что ещё молча выбивает сервер из hotpatch-цикла и как я после этого переписываю регламент обслуживания у клиентов.
«Четыре перезагрузки в год» — это план из презентации, а не обязательство
14 июля 2026 года мне написал технический директор «Кросс-Логистик» — логистической компании на 33 рабочих места, которую мы обслуживаем: «Женя, мы же месяц назад перезагружали серверы по вашему регламенту. Почему опять?» И он был прав в своём удивлении. Ровно 9 июня эти же машины уехали в перезагрузку, ровно по внеплановому baseline. А через пять недель — снова. Причём в договоре у нас чёрным по белому: окно обслуживания четыре раза в год, третья суббота января, апреля, июля и октября. Именно так это продают: baseline в первый месяц квартала, дальше два месяца hotpatch без рестарта. Красиво, логично, легко объяснить бизнесу.
Проблема в том, что «четыре и восемь» — это плановая схема, а не гарантия. Фактический календарь Hotpatch для Windows Server 2025 за 2026 год по данным Microsoft release health (страница обновлена 8 сентября 2026) я привёл в списке ниже — с датами, сборками и номерами KB. Сверял построчно, потому что по этим номерам потом проверяю парк.
Итого: январь, апрель, июнь, июль, сентябрь, октябрь — шесть месяцев с обязательной перезагрузкой из двенадцати. Ровно половина. Для сравнения, 2025 год выглядел образцово: baseline выпали на январь, апрель, июль и октябрь, остальные месяцы — hotpatch. Поэтому те, кто въехал в Hotpatch в 2025-м, успели поверить в квартальный цикл как в закон природы. 2026-й это убеждение сломал. Сентябрь в календаре был помечен как Baseline (Restart) заранее, ещё до выхода пакета, а 8 сентября пришёл KB5122871 со сборкой 26100.33438 — и серверы снова ушли в перезагрузку.
Та же история и на Windows Server 2022 с hotpatch: июнь 2026 — KB5094128, сборка 20348.5256, Baseline; июль 2026 — KB5099540, сборка 20348.5386, тоже Baseline; сентябрь — KB5122882, сборка 20348.5622, опять Baseline. То есть это не случайный сбой в одной ветке, а общий сдвиг всей hotpatch-программы. И прецедент был раньше: в августе 2024 года на Server 2022 вышел KB5041160 (20348.2655), помеченный в календаре звёздочкой — «изначально планировался как hotpatch». Микрософт честно ставит эту сноску, просто её никто не читает.
- 13.01.2026 — Baseline (Restart), сборка 26100.32230, KB5073379
- 10.02.2026 — Hotpatch, сборка 26100.32313, KB5075942
- 10.03.2026 — Hotpatch, сборка 26100.32463, KB5078736
- 14.04.2026 — Baseline (Restart), сборка 26100.32690, KB5082063
- 12.05.2026 — Hotpatch, сборка 26100.32772, KB5087423
- 09.06.2026 — Baseline (Restart), сборка 26100.32995, KB5094125
- 14.07.2026 — Baseline (Restart), сборка 26100.33158, KB5099536
- 11.08.2026 — Hotpatch, сборка 26100.33222, KB5120228
- 08.09.2026 — Baseline (Restart), сборка 26100.33438, KB5122871
- 13.10.2026 — Baseline (Restart), плановый квартальный (KB ещё не опубликован)
- ноябрь и декабрь 2026 — Hotpatch
Почему июль не «зачёл» июнь: плановые и внеплановые baseline
Механика простая, если один раз в неё вникнуть. Hotpatch патчит код в памяти уже запущенных процессов, не подменяя файлы на диске так, чтобы требовался рестарт. Для этого нужен работающий VBS — безопасность на основе виртуализации. Отсюда и требование Secure Boot, UEFI и второго поколения виртуальных машин. Но патчить в памяти можно только то, что укладывается в узкий класс изменений: hotpatch-пакет содержит исключительно обновления безопасности Windows и по содержанию соответствует security-части обычного накопительного обновления. Всё остальное — несекьюрити-фиксы, новые фичи, изменения ядра — так не доставляется.
Поэтому раз в квартал выходит baseline: полноценный накопительный апдейт, который синхронизирует машину с обычным каналом обновлений и создаёт новую точку, поверх которой следующие два месяца лягут hotpatch. Это плановый baseline. А есть внеплановый — когда выходит критическая правка, которую нельзя доставить hotpatch'ем (типовой пример — нулевой день или изменение, затрагивающее загрузку). Тогда hotpatch-месяц просто превращается в baseline-месяц. Microsoft в документации по этому поводу не юлит: разработчики не могут предсказать внеплановые baseline заранее.
И вот главное, из-за чего люди в июле 2026 схватились за голову. В документации Microsoft по hotpatch (страница Hotpatch updates, общая для программы; там же сказано, что календарь из четырёх baseline и восьми hotpatch-месяцев одинаков для всех поддерживаемых ОС) прямым текстом написано: если по соображениям безопасности выходит baseline вне плановой квартальной схемы, существующая плановая последовательность не меняется — например, если июнь стал baseline, июль всё равно останется baseline. То есть внеплановый рестарт не «съедает» плановый и не сдвигает его на квартал вперёд. Это не баг и не сбой в календаре. Это документированное поведение, которое ломает интуицию: любой нормальный человек ждёт, что если мы только что накатили полный кумулятив, то через месяц можно не повторять.
Практический вывод для планирования один: hotpatch-месяц — это не гарантия отсутствия перезагрузки, это вероятность её отсутствия. Высокая, но не стопроцентная. Планировать надо от худшего сценария, а экономию рестартов считать по факту, задним числом. Я после июля 2026 перестал называть клиентам hotpatch-месяцы «месяцами без перезагрузки» и говорю «месяцы, в которых перезагрузка, скорее всего, не понадобится».
- Плановый baseline — первый месяц квартала, полный кумулятив, рестарт обязателен
- Hotpatch — только обновления безопасности, применяется в память, рестарт не нужен
- Внеплановый baseline — заменяет hotpatch в своём месяце, тоже полный кумулятив и рестарт
- Внеплановый baseline НЕ отменяет и НЕ сдвигает ближайший плановый
Разбор из практики: «Кросс-Логистик», 33 рабочих места, два хоста Hyper-V
Клиент — логистическая компания «Кросс-Логистик»: 33 рабочих места, офис и складской терминал, диспетчеры работают в две смены. Инфраструктура на двух хостах Hyper-V, 7 виртуалок под Windows Server 2025 Standard, все Gen2 с включённым Secure Boot. Осенью 2025 года мы подключили часть машин к Azure Arc и включили Hotpatch — ровно четыре штуки: два контроллера домена, файловый сервер и внутренний веб-сервер с порталом отслеживания грузов. Сервер 1С с MS SQL, терминальный сервер и сервер резервного копирования мы в hotpatch-контур принципиально не брали, и ниже объясню почему.
Регламент обслуживания был устроен так: окно четыре раза в год, третья суббота января, апреля, июля и октября, с 23:00 до 03:00 — между последним вечерним рейсом и утренней отгрузкой со склада. Уведомление пользователям за неделю. Обновления приезжали через Azure Update Manager, установка в нерабочие часы по таймзоне машины. Первые полгода всё работало как в рекламе: январский baseline KB5073379 накатился в окно, февраль и март прошли без единой перезагрузки, апрельский KB5082063 — снова строго в окно. Экономия по факту: вместо двенадцати потенциальных рестартов за год схема обещала четыре. Клиент доволен, я тоже.
9 июня всё поехало. KB5094125 приехал как baseline, машины ушли в сборку 26100.32995 с перезагрузкой — вне согласованного окна, потому что окно было заложено под квартальную схему, а внеплановый июнь в неё не попадал. Утром 10 июня мы имели три сервера с аптаймом около четырёх часов, оборванную ночную выгрузку заявок с портала отслеживания и ругань утренней смены диспетчеров и неприятный разговор. А 14 июля прилетел KB5099536, сборка 26100.33158, и это была вторая перезагрузка за пять недель. Тогда-то мне и написали «мы же только что перезагружались». К середине сентября 2026 года у «Кросс-Логистик» уже пять фактических baseline-рестартов (январь, апрель, июнь, июль, сентябрь) вместо четырёх запланированных на год, и шестой ждём 13 октября. Сентябрьский, правда, прошёл уже в согласованное окно — к нему мы подготовились.
Отдельная находка всплыла в августе. Одна виртуалка — тестовый стенд обновлений портала, развёрнутый в мае из старого шаблона, перезагрузилась 11 августа — в честный hotpatch-месяц, когда все остальные стояли смирно. Причина оказалась банальной: в шаблоне не был включён VBS, машина не считалась подходящей для hotpatch и молча получала обычные накопительные обновления. Ни ошибки, ни алерта — просто тихо другой канал обновлений. Плюс к этому Microsoft прямо описывает и второй сценарий: если в hotpatch-месяц машина с включённым hotpatch не находится на последнем baseline, ей приедет и baseline (с рестартом), и hotpatch. Так что «случайная» перезагрузка в феврале или мае — это почти всегда не мистика, а отставший baseline или выключенный VBS.
- Было в регламенте: 4 окна в год (январь, апрель, июль, октябрь), 22:00–02:00
- Стало по факту в 2026: январь, апрель, июнь, июль, сентябрь + октябрь впереди
- Побочный эффект: 1 ВМ из шаблона без VBS всё это время жила на обычных LCU
- Итог: регламент переписан на ежемесячное окно с пометкой «перезагрузка возможна»
Что ещё молча выбивает сервер из hotpatch-цикла
Hotpatch — это не режим «сервер больше не перезагружается». Это узкая программа с длинным списком исключений, и почти каждый пункт этого списка я ловил у клиентов руками. Держите перечень того, что не покрывается hotpatch и всё равно потребует рестарта в любой месяц.
Обратите особое внимание на два последних пункта. Драйверы и прошивки — это ровно то, что вы обновляете на физических хостах и на серверах с RAID-контроллерами, и никакой hotpatch тут не поможет. А .NET — это причина, по которой я не тащу в hotpatch-контур серверы 1С и любые машины с обвязкой на .NET: они всё равно будут перезагружаться, и вы получите худшее из двух миров — сложность настройки Arc и VBS без экономии рестартов.
Проверять состояние я предпочитаю одной командой на весь парк. Вот что я гоняю перед каждым патч-вторником — сборка ОС, статус VBS и текущий аптайм:
$servers = 'srv-dc01','srv-dc02','srv-fs01','srv-web01'
Invoke-Command -ComputerName $servers -ScriptBlock {
$ubr = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR
$dg = Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard `
-ClassName Win32_DeviceGuard
[pscustomobject]@{
Host = $env:COMPUTERNAME
Build = "10.0.26100.$ubr"
VBS = $dg.VirtualizationBasedSecurityStatus # 0 нет, 1 включён, 2 работает
Uptime = [int]((Get-Date) - (Get-CimInstance Win32_OperatingSystem).LastBootUpTime).TotalDays
}
} | Sort-Object Host | Format-Table -AutoSizeЗначение VBS должно быть равно 2 — «работает». Единица означает, что VBS включён в конфигурации, но по факту не запущен, и для hotpatch этого недостаточно. Если VBS выключен, включается он ключом реестра с последующей перезагрузкой — это ровно та команда, что приведена в инструкции Microsoft по включению Hotpatch для Arc-серверов:
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard' `
-Name 'EnableVirtualizationBasedSecurity' -PropertyType DWORD -Value 1 -Force
Restart-Computer
# после перезагрузки должно вернуться 2:
Get-CimInstance -Namespace 'root/Microsoft/Windows/DeviceGuard' -ClassName Win32_DeviceGuard |
Select-Object -ExpandProperty VirtualizationBasedSecurityStatusИ ещё одна ловушка, про которую почти не пишут: откат hotpatch автоматически не поддерживается. Если после обновления что-то поехало, штатный сценарий — удалить последнее обновление и поставить последний рабочий baseline, а это опять-таки перезагрузка. То есть в аварийном сценарии hotpatch не экономит вам ничего, скорее наоборот: вы теряете время на разбор, какой именно пакет откатывать.
- Несекьюрити-обновления Windows (накопительные фиксы, улучшения) — только через baseline
- Обновления .NET — всегда отдельно и с рестартом
- Драйверы, прошивки и любые обновления не от Windows Update
- Выключенный или не запущенный VBS — сервер получает обычный LCU вместо hotpatch
- Неподдерживаемая редакция или образ (кастомные образы, контейнерные base images)
- Отставший baseline — в hotpatch-месяц приедут и baseline, и hotpatch
- Установка «не того» внепланового пакета — в октябре 2025 Microsoft прямо предупреждала, что out-of-band KB5070881 выбивает сервер на обычные ежемесячные LCU с рестартом вплоть до следующего baseline
Как я теперь строю календарь обслуживания под Hotpatch
После июня-июля 2026 я поменял подход у всех клиентов, где включён Hotpatch. Главное изменение — не техническое, а договорное. Окно обслуживания теперь резервируется каждый месяц, во вторую или третью субботу после патч-вторника, но с формулировкой «в hotpatch-месяцы перезагрузка, как правило, не требуется, окно резервируется на случай baseline». Бизнесу это продаётся легко: мы не просим больше простоя, мы просим предсказуемости. Реально окно используется четыре-шесть раз в год, а не двенадцать.
Второе — я слежу за самим календарём Microsoft, а не за письмами вендора. Страница release health с hotpatch-календарём обновляется, и в ней метка Baseline (Restart) на будущие месяцы появляется раньше, чем выходит KB. Сентябрь 2026, например, был помечен baseline ещё в августе, до выхода KB5122871. У меня на управляющем сервере крутится примитивный сторож: раз в сутки тянет страницу, выбрасывает HTML-разметку, оставляет строки календаря текущего года с типом релиза и сравнивает хеш. Грубо, зато работает:
#!/bin/bash
# cron: 0 7 * * * /usr/local/bin/hotpatch-cal-watch.sh
URL='https://learn.microsoft.com/en-us/windows/release-health/windows-server-release-info'
STATE=/var/lib/hotpatch-watch/cal.md5
YEAR=$(date +%Y)
mkdir -p "$(dirname "$STATE")"
PAGE=$(curl -fsSL "$URL") || exit 1
# склеиваем страницу в одну строку, режем теги и вынимаем пары «месяц — тип релиза»
LINES=$(printf '%s' "$PAGE" | tr '\n' ' ' | sed 's/<[^>]*>/ /g' | tr -s ' \t' ' ' \
| grep -oE "${YEAR}\.[0-9]{2} B[^A-Za-z]{0,20}(Baseline \(Restart\)|Hotpatch)")
[ -n "$LINES" ] || exit 2 # разметка страницы поменялась — разбирать руками
NEW=$(printf '%s\n' "$LINES" | md5sum | cut -d' ' -f1)
OLD=$(cat "$STATE" 2>/dev/null)
if [ -n "$NEW" ] && [ "$NEW" != "$OLD" ]; then
echo "$NEW" > "$STATE"
curl -s -X POST "https://api.telegram.org/bot${TG_TOKEN}/sendMessage" \
-d chat_id="${TG_CHAT}" \
--data-urlencode 'text=Календарь Hotpatch изменился — проверить окна обслуживания'
fiТретье — контроль сборок. Раз в месяц, на следующий день после патч-вторника, скрипт из предыдущего раздела прогоняется по парку, и я глазами сверяю номер сборки с календарём. Расхождение означает ровно одну из трёх вещей: машина выпала из hotpatch (VBS, редакция, образ), машина отстала на baseline и получит двойную порцию в следующий месяц, или обновление не доехало вообще. Все три случая надо чинить до следующего патч-вторника, иначе перезагрузка прилетит в самый неудобный момент.
И четвёртое, чисто организационное: я развожу серверы по контурам. Hotpatch-контур — машины, где действительно нет .NET, нет экзотических драйверов и где ценен аптайм: контроллеры домена, файловые серверы, внутренние веб-сервисы вроде портала отслеживания грузов. Обычный контур — всё остальное, с честным ежемесячным окном. Смешивать их в одном регламенте — верный способ запутаться самому и запутать клиента.
- Окно резервируется ежемесячно, используется по факту 4–6 раз в год
- Сторож за календарём Microsoft — метка Baseline появляется раньше KB
- Сверка сборок по всему парку на следующий день после патч-вторника
- Два контура обслуживания: hotpatch-пригодные машины и все остальные
Стоит ли вообще включать Hotpatch: честный ответ
Скажу прямо: у меня двойственное отношение. Технология рабочая, экономия реальна — даже в аномальном 2026 году это шесть перезагрузок вместо двенадцати, то есть вдвое меньше окон простоя. Для контроллеров домена, файловых серверов и внутренних веб-сервисов это ощутимо. Но вход в неё стоит дороже, чем кажется по маркетинговым материалам, и в профессиональных сообществах администраторов Hotpatch регулярно ругают за привязку к Azure и непредсказуемость календаря — и в этом есть рациональное зерно.
Требования к среде: для локальных серверов Windows Server 2025 Datacenter или Standard (сборка не ниже 26100.1742, инсайдерские и preview-сборки не поддерживаются) нужен Azure Arc — то есть агент Connected Machine на каждой машине, подписка Azure и исходящий доступ к её конечным точкам. Hotpatch включается в портале Azure Arc на карточке машины и при включении проверяет, что VSM/VBS реально запущен, — иначе включение просто падает. Плюс UEFI с Secure Boot, для виртуалок Hyper-V — второе поколение. Для машин в самом Azure или в Azure Local список поддерживаемых образов узкий: только SKU Datacenter Azure Edition, кастомные образы и контейнерные base images не поддерживаются вообще. Для небольшой российской компании, у которой нет и не будет подписки Azure, разговор на этом заканчивается — и это, пожалуй, главный ограничитель.
Про деньги отдельно, потому что в статьях до сих пор гуляет устаревшая цифра. После выхода из preview Hotpatch для Arc-серверов на Windows Server 2025 стал платным: бесплатно до 30 июня 2025 года, с июля 2025-го — 1,5 доллара за ядро в месяц, физическое или виртуальное. В мае 2026 года Microsoft эту плату отменила: в документации теперь стоит пометка, что Hotpatch через Azure Arc для Windows Server 2025 доступен без дополнительной платы, а биллинг для уже подключённых серверов остановлен без каких-либо действий со стороны клиента. Бесплатен именно Hotpatch — лицензии Windows Server и прочие платные службы Azure, которые вы подключите к тем же машинам, это не отменяет. Так что при расчёте бюджета смотрите на текущую страницу документации и прайс Azure, а не на обзоры 2025 года.
Мой вердикт по итогам года такой. Включать имеет смысл, если у вас уже есть Azure Arc или вы готовы его завести, если серверов больше десятка и если на них нет .NET-обвязки и экзотических драйверов. Не включать — если у вас пять виртуалок с 1С и терминалами, если подписки Azure нет, или если вы рассчитываете, что Hotpatch снимет с вас необходимость договариваться о ночных окнах. Не снимет. Он уменьшает число окон примерно вдвое, и это всё, что он делает.
- Нужно: WS2025 Datacenter или Standard (сборка 26100.1742+) + Azure Arc + подписка Azure
- Нужно: UEFI, Secure Boot, VBS в состоянии «работает», Gen2 для ВМ
- В Azure и Azure Local — только образы Datacenter Azure Edition
- Не поддерживаются кастомные образы и контейнерные base images
- Автоматического отката hotpatch нет — только удаление и возврат на baseline с рестартом
Что сделать прямо сейчас, до октябрьского baseline
Ситуация на середину сентября 2026 такая: 8 сентября вышел baseline KB5122871 (сборка 26100.33438), а 13 октября будет плановый квартальный baseline. То есть две перезагрузки подряд с интервалом в пять недель — ровно та же связка, что была в июне и июле. Если после сентябрьского рестарта кто-то в компании решил, что «до января можно выдохнуть», — самое время это ожидание поправить, до октябрьского патч-вторника меньше месяца.
Мой короткий чек-лист на ближайшие недели — по нему я прохожу все стенды клиентов, где включён Hotpatch. Занимает полчаса на парк из десяти-пятнадцати машин, экономит ночной разбор полётов.
И последнее, самое важное: перестройте ожидания у себя в голове и у заказчика. Hotpatch — это инструмент снижения числа перезагрузок, а не их отмены. Расписание известно заранее только на плановые baseline; внеплановые появляются тогда, когда у Microsoft выходит правка, которую нельзя доставить в память. Никто, включая самих разработчиков Microsoft, не может предсказать это заранее — так и написано в документации. Стройте регламент от этого факта, а не от красивой схемы «четыре и восемь».
- Согласовать окно на субботу после 13 октября — с пометкой «перезагрузка обязательна»
- Прогнать сверку сборок и VBS по всему парку (скрипт выше): после сентября везде должна быть 26100.33438 или новее, отставших найти
- Проверить шаблоны ВМ: включён ли VBS, Gen2 ли, Secure Boot ли
- Вынести из hotpatch-контура машины с .NET, 1С, специфичными драйверами
- Проверить, что бэкап и ночные задания не пересекаются с окном установки обновлений
- Убрать из договора формулировку «не чаще одного раза в квартал»
- Поставить сторож на календарь Microsoft release health
Частые вопросы
Правда ли, что с Hotpatch сервер перезагружается всего четыре раза в год?
Нет. Четыре baseline в год — это плановая схема (январь, апрель, июль, октябрь), а не гарантия. В 2026 году для Windows Server 2025 baseline пришлись на январь, апрель, июнь, июль и сентябрь, а в октябре будет плановый — шесть перезагрузок вместо четырёх. В 2025 году схема соблюдалась ровно, поэтому многие успели поверить в неё как в закон.
Если внеплановый baseline вышел в июне, июльский пропустят?
Нет. Microsoft прямо пишет в документации: внеплановый baseline не меняет плановую последовательность, и если июнь стал baseline, июль всё равно останется baseline. Именно поэтому в 2026 году получилось две перезагрузки подряд с интервалом в пять недель — 9 июня (KB5094125, сборка 26100.32995) и 14 июля (KB5099536, сборка 26100.33158).
Нужен ли Azure Arc для Hotpatch на локальном Windows Server 2025?
Да. Для машин вне Azure hotpatch включается через Azure Arc: агент Connected Machine на каждом сервере, подписка Azure, исходящий доступ, Windows Server 2025 Standard или Datacenter сборки 26100.1742 и новее. Редакции Datacenter: Azure Edition Arc не нужен — hotpatch в ней включён по умолчанию, но она работает только в Azure и Azure Local, и только на поддерживаемых SKU; кастомные и контейнерные образы не поддерживаются.
Почему один сервер перезагрузился в hotpatch-месяц, а остальные нет?
Три типовые причины. Первая: на машине не включён или не запущен VBS — тогда она не считается подходящей для hotpatch и молча получает обычные накопительные обновления с перезагрузкой. Вторая: машина отстала от последнего baseline — в hotpatch-месяц ей приедут и baseline (с рестартом), и hotpatch. Третья: неподдерживаемая редакция или образ либо установлен внеплановый пакет, несовместимый с hotpatch-цепочкой (как out-of-band KB5070881 в октябре 2025). Проверьте Win32_DeviceGuard (нужно значение 2 — «работает») и номер сборки против календаря.
Сколько стоит Hotpatch для Windows Server 2025?
Сейчас — ничего сверх лицензий и Arc. С июля 2025 года Arc-вариант стоил 1,5 доллара за ядро в месяц (до 30 июня 2025 — бесплатно в рамках preview), но в мае 2026 года Microsoft отменила эту плату: Hotpatch через Azure Arc для Windows Server 2025 Standard и Datacenter доступен без дополнительной платы, биллинг для подключённых серверов остановлен автоматически. Цифра 1,5 доллара в старых обзорах устарела.
Можно ли откатить hotpatch, если после обновления что-то сломалось?
Автоматического отката нет. Штатный сценарий — удалить последнее обновление и установить последний работавший baseline, а это требует перезагрузки. То есть в аварийной ситуации hotpatch не экономит простой, поэтому тестовое кольцо серверов и рабочий бэкап нужны ровно так же, как и без hotpatch.
Какие обновления hotpatch не закрывает?
Несекьюрити-обновления Windows, обновления .NET, а также драйверы, прошивки и всё, что приходит не из Windows Update. Их придётся ставить с перезагрузкой в любой месяц. Именно поэтому серверы 1С, машины с .NET-обвязкой и хосты с RAID-контроллерами я обычно не включаю в hotpatch-контур: экономии не будет, а сложность вырастет.
Источники
- Microsoft — Windows Server release information, раздел Windows Server hotpatch calendar — Календарь Hotpatch для Windows Server 2025 и 2022 по месяцам: тип релиза (Baseline (Restart) / Hotpatch), дата, сборка и KB; 2026: июнь KB5094125 (26100.32995), июль KB5099536 (26100.33158), август KB5120228 (26100.33222), сентябрь KB5122871 (26100.33438). Страница обновлена 08.09.2026. https://learn.microsoft.com/en-us/windows/release-health/windows-server-release-info#windows-server-hotpatch-calendar
- Microsoft Learn — Hotpatch for Windows Server — Поддерживаемые платформы и SKU (Azure Edition в Azure/Azure Local, Standard/Datacenter через Azure Arc), planned и unplanned baselines, непокрываемые обновления (.NET, драйверы, прошивки, несекьюрити), отсутствие автоматического отката, пометка об отмене платы для Arc. https://learn.microsoft.com/en-us/windows-server/get-started/hotpatch
- Microsoft Learn — Enable Hotpatch for Azure Arc-enabled servers — Требования: Windows Server 2025 сборка 26100.1742+, Standard/Datacenter, VBS/VSM, UEFI + Secure Boot, Gen2 на Hyper-V, подписка Azure, агент Connected Machine; команды проверки Win32_DeviceGuard и включения EnableVirtualizationBasedSecurity; known issue октября 2025 (KB5070881). https://learn.microsoft.com/en-us/windows-server/get-started/enable-hotpatch-azure-arc-enabled-servers
- Microsoft Learn — Hotpatch updates (Windows Autopatch) — Раздел Release cycles: таблица кварталов, формулировка «if June becomes a baseline update, July will still also be a baseline update», поведение при отставшем baseline, единый календарь для всех ОС с hotpatch. Страница обновлена 02.06.2026. https://learn.microsoft.com/en-us/windows/deployment/windows-autopatch/manage/windows-autopatch-hotpatch-updates
- Microsoft Support — Release notes for Hotpatch on Windows Server 2025 Datacenter Azure Edition — Помесячные заметки к выпускам hotpatch и baseline для Windows Server 2025, включая KB5094125 (июнь 2026), KB5099536 (июль 2026) и KB5120228 (август 2026). https://support.microsoft.com/en-us/topic/release-notes-for-hotpatch-on-windows-server-2025-datacenter-azure-edition-c548437e-8c7a-4e27-99f4-e8746f97f8fa
- Microsoft Tech Community (Azure Arc Blog) — Simplified access to Hotpatching enabled by Azure Arc for Windows Server 2025 — Объявление мая 2026 года: Hotpatch для Arc-серверов Windows Server 2025 Standard/Datacenter без дополнительной платы, остановка биллинга для уже подключённых машин. https://techcommunity.microsoft.com/blog/azurearcblog/simplified-access-to-hotpatching-enabled-by-azure-arc-for-windows-server-2025/4521251
- Microsoft Tech Community — Hotpatching for Azure Arc-connected servers: general availability and subscription — Объявление 2025 года о GA и платной подписке 1,5 доллара за ядро в месяц (исторический контекст цены). https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/hotpatching-for-azure-arc%E2 %80 %93connected-servers-general-availability-and-subscriptio/4433915
