Windows10、WSUS和SSU+LCU检测混乱

Windows10 2021 年 6 月更新相关的问题。如果缺少作为先决条件所需的更新，则安装将导致问题。但是一位博客读者给我发电子邮件指出，几个月来，Windows10 及其服务器版本在检测 WSUS 中可用的 SSU 和 LCU 组合包方面存在严重问题。

Windows10 更新的陷阱

我已经在博客文章Windows10 SSU：障碍、错误和新版本 KB5003974(2021 年 6 月 15 日)中指出，选择安装累积更新的 Windows10 版本 2004、20H2 和 21H1 的管理员需要注意并遵循安装要求。安装 2021 年 6 月更新的先决条件是日期为 2021 年 5 月 11 日的已安装更新 KB5003173。

这与 Microsoft 已将适用于 Windows10 版本 2004、20H2 和 21H1 的服务堆栈更新 (SSU) 集成到最新累积更新 (LCU) 中的事实有关。LCU 应该是累积性的，但如果缺少 SSU，累积更新的安装就会出错。

WSUS 在某些情况下失败

通常，这不是问题，只需从 2021 年 5 月 11 日开始安装所需的更新就可以了?完全没有，因为当 Microsoft 后来确认这一事实时，请参阅我的博客文章Windows10：Microsoft 确认 2021 年 6 月安全更新的问题。如果安装所需的 2021 年 5 月 11 日更新在 WSUS 等管理环境中(可能也在 SCCM/ConfigMgr 中)被标记为过期，则它不再可用于安装。

更深层次的 WSUS 问题

在我的德语博客文章Windows10：Microsoft bestätigt Probleme mit Juni 2021 中，一位匿名用户评论道“那么 MS 根本不应该将 5 月的补丁标记为“已取代”(由 6 月的补丁)“。但更有趣的信息可能会在下面找到：

还有一个更大的问题是，通过WSUS从1909升级到20H2时，补丁级别检测在2020年11月的一些系统上卡住了(不幸的是，WSUS分发的20H2升级仍然只有2020年11月的补丁版本)。

之后，一些系统认为他们已经安装了 5 月和 6 月的补丁(显示在 QFE 中)并且 WSUS 报告它已安装并且不需要。然而，这些系统实际上仍处于 2020 年 11 月的水平。

如果您在 MS 外部搜索这些受影响的系统，则会再次找到 5 月和 6 月的补丁，然后干净地安装。哪些系统受到影响似乎是随机的。

几个月来，SSU 与 LCU 捆绑在一起。我注意到，如果捆绑的 SSU 是手动预装的，例如 DISM，则 WSUS 将不再检测到相应的 LCU 部分适用!但是，如果我直接扫描 WU，它将被检测到。WSUS 甚至会显示为仅安装了 SSU 部分的客户端安装的整个包!

这似乎并不像一个常见的场景，但它成为一个巨大的设备是否做了功能升级问题(从媒体或WSUS，无所谓)从旧版本(= 1909)于20H2，用“/ DynamicUpdate NoLCU”选项已启用。似乎发生的情况是，Windows 安装程序不会按照说明下载并应用最新的 LCU，但仍会下载并应用最新的 SSU!这会导致安装有效地停留在所用升级媒体的 LCU(WSUS 升级包当前为 2020-11)并且无法升级到当前 LCU，如果 WSUS 用作唯一更新源 - 至少在更新之前LCU 已发布和批准。由于无法卸载 SSU，因此对于受影响的机器没有简单的解决方法。

我不知道 WSUS 团队中是否有人读过这篇文章，但在发布到 WSUS 的 SSU+LCU 包中似乎存在错误的“已安装”检测逻辑，需要尽快解决。现在，我有 35 个 Windows10 客户端卡在 20 年 11 月的 LCU，无法升级。

关键是 WSUS 中可用的组合 SSU+LCU 包的检测逻辑几个月来一直存在严重错误，我很惊讶除了上面链接的评论之外，我没有在任何地方阅读过。

毕竟，SSU+LCU 组合包在内部只是将 SSU 和 LCU 捆绑到一个包中。这两个更新可以单独提取和手动安装，因为它甚至在离线服务场景(创建自定义 ISO/WIM)中是强制性的，根据 MS(关键字：如果不遵循，则新边缘不可用)。

现在我进行了以下观察：如果您仅从组合累积更新中提取并安装 SSU，WSUS 随后会将整个程序包识别为已安装/不再适用。

从 5 月累积更新开始，这变得更加模糊：更新确实被客户端识别为需要，但随后会在几秒钟内“安装”自身，不需要重新启动。如果这样做，您可以在 Windows 设置中看到内部版本号没有增加。

仅此一项实际上就已经够糟糕了，尽管人们可以合理地声称这是一个相当模糊的行政特例。然而，我首先意识到这个问题，因为一个更平凡的场景：

自 Windows10 2004 起，Windows 安装程序提供了在功能升级期间更精细地控制“动态更新”行为的能力(请参阅这篇 Microsoft 文章)。例如，可以允许所有可用的动态更新(设置更新、SafeOS 更新、驱动程序更新)，但忽略最新的累积更新。

特别是在托管环境中，我不希望在功能升级期间直接从 MS 加载最新的 LCU 占用大量带宽，即使到目前为止我只允许 WSUS 中的上个月的 LCU(请记住：截至 1809 年，动态更新不能再从 WSUS 加载，而总是直接来自 MS)。