Specifieke Windows-updates blokkeren zonder de hele patchcyclus stil te leggen

Microsoft brengt maandelijks cumulatieve updates uit, maar niet elke patch kan meteen veilig worden uitgerold. Sommige updates maken applicaties onbruikbaar, verstoren workflows of veroorzaken stabiliteitsproblemen op clientdevices. MSP’s en IT-beheerders hebben daarom vaak een manier nodig om een specifieke Windows-update te blokkeren terwijl de rest van de patchcyclus gewoon doorloopt. Elke Windows-update heeft een uniek Knowledge base-nummer (KB), waardoor u alleen de problematische patch kunt aanpakken en blokkeren.

Wilt u snel een visueel overzicht? Bekijk dan onze videogids Specifieke Windows-updates blokkeren zonder de hele patchcyclus stil te leggen.

Zo blokkeert u een specifieke Windows-update zonder patchcycli te pauzeren

Met tools als PowerShell, Group Policy, registerbewerkingen en RMM-scripting stopt u problematische KB’s selectief zonder Windows Update volledig te pauzeren. Zo blijven uw endpoints beveiligd met de nieuwste fixes terwijl bekende slechte patches geen uitvaltijd veroorzaken.

📌 Vereisten:

• Devices moeten draaien op Windows 11 of op Windows Server 2016, 2019, 2022 of hoger.
• U hebt beheerdersrechten nodig op lokale of externe endpoints om updates te blokkeren of uit te stellen.
• PowerShell 5.1 of hoger moet beschikbaar zijn om scripts uit te voeren waarmee specifieke KB-updates worden verborgen of weer zichtbaar gemaakt.
• Toegang tot het Windows-register is nodig als u updateblokkades handmatig wilt configureren.
• De Groepsbeleidsbeheerconsole (GPMC) moet beschikbaar zijn in domeinomgevingen om updateregels op grote schaal af te dwingen.
• Optioneel kunt u een RMM-platform zoals NinjaOne gebruiken om scripts uit te rollen, beleid af te dwingen en te rapporteren over geblokkeerde updates op clientdevices.

LET OP: Windows 11-devices die gebruikmaken van safeguard holds of moderne update-orchestratiebeleidsregels kunnen zich anders gedragen dan de oude servicing-workflows van Windows 10. Valideer uw update-uitsluitingen aan de hand van uw huidige servicingkanaal en de configuratie van uw update rings.

Methode 1: een specifieke Windows-update blokkeren met PowerShell

Met PowerShell verbergt u één problematische KB zodat die niet wordt geïnstalleerd, terwijl alle andere updates gewoon doorgaan.

Vereisten:

• Beheerdersrechten op het endpoint of via uw RMM
• PowerShell 5.1 of hoger met internettoegang om de module PSWindowsUpdate te installeren
• Het exacte KB-nummer dat u wilt blokkeren

Dit zijn de stappen om een specifieke Windows-update met PowerShell te blokkeren:

1. Open PowerShell en installeer de module met deze opdracht:

Install-Module PSWindowsUpdate -Force

2. Gebruik vervolgens deze opdracht om openstaande updates weer te geven en het KB-nummer te bevestigen:

Get-WindowsUpdate -MicrosoftUpdate

3. Gebruik daarna deze code om de specifieke KB te verbergen (vervang KB5000000 door uw eigen doel) zodat die niet wordt geïnstalleerd:

Get-WindowsUpdate -KBArticleID KB5029263 | Hide-WindowsUpdate -Confirm:$false

4. Gebruik dit om verborgen updates te bekijken:

Get-WindowsUpdate -IsHidden

5. Gebruik deze opdracht om een update weer zichtbaar te maken:

Hide-WindowsUpdate -KBArticleID 'KB5000000' -MicrosoftUpdate -Hide:$false -Confirm:$false

In afgeschermde bedrijfsomgevingen kan toegang tot de PowerShell Gallery geblokkeerd zijn. Mogelijk moet u de module PSWindowsUpdate intern klaarzetten of tijdelijk uitgaande toegang tot PSGallery toestaan.

Methode 2: specifieke updates blokkeren met de tool wushowhide.diagcab van Microsoft

Met de tool wushowhide.diagcab blokkeert u handmatig specifieke Windows-updates zonder de hele patchcyclus te pauzeren. Dat werkt goed op losse machines, maar niet voor automatisering of uitrol op grote schaal.

Vereisten:

• U hebt lokale beheerdersrechten nodig op het endpoint.
• De tool wushowhide.diagcab moet van Microsoft gedownload zijn.

Gebruik de tool wushowhide.diagcab via deze stappen:

1. Download wushowhide.diagcab van de site van Microsoft.
2. Start de tool en volg de instructies op het scherm om te scannen op beschikbare updates.
3. Selecteer de problematische update en kies Update verbergen om die te blokkeren.

Het hulpprogramma wushowhide.diagcab van Microsoft geldt als verouderd en werkt niet altijd consistent op nieuwere Windows 11-builds. Microsoft raadt nu aan om Windows Update for Business en Microsoft Intune te gebruiken.

Methode 3: updates blokkeren via GPO of het register (voorbeeld met een driver)

Als een Windows-update steeds een ongewenste driver blijft pushen, kunt u die blokkeren op basis van de hardware-ID. Dat kan via GPO of via het register.

Vereisten:

• Beheerdersrechten en toegang tot de Groepsbeleidsbeheerconsole (voor domeindevices) of de Register-editor (voor standalone devices)
• De hardware-ID van de driver die u wilt blokkeren. Die vindt u via Apparaatbeheer > Eigenschappen > tabblad Details > Hardware-id’s

Gebruik deze stappen om een specifieke Windows-update te blokkeren met Group Policy:

1. Open de Editor voor lokaal groepsbeleid en ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Apparaatinstallatie > Beperkingen voor apparaatinstallatie.

2. Schakel Installatie van apparaten die overeenkomen met een van deze apparaat-id’s voorkomen in. Wilt u het beleid verwijderen, zet het dan terug op Niet geconfigureerd of Uitgeschakeld.
3. Voeg de hardware-ID’s toe van de driver die u wilt blokkeren.

De registermethode voert u uit door deze code in PowerShell te draaien:

Volg deze stappen om de wijziging ongedaan te maken:

1. Open de Register-editor.
2. Ga naar: HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
3. Verwijder de vermelding DenyDeviceIDs of de volledige sleutel Restrictions.
4. Reboot uw computer zodat de wijzigingen van kracht worden.

⚠️ Waarschuwing: Ga zorgvuldig om met deze methode. Blokkeren op hardware-ID zorgt ervoor dat Windows de driver niet meer correct kan installeren zolang het beleid of de registervermelding niet is verwijderd.

Methode 4: geblokkeerde updates loggen of taggen via het register

U kunt vastleggen welke KB’s geblokkeerd zijn door ze in het register weg te schrijven. Zo hebben technici of RMM-tools een lokale registratie om tegen te valideren tijdens audits of compliancecontroles.

Vereisten:

• Beheerdersrechten om registersleutels onder HKLM aan te maken of te bewerken
• Consistente naamgevingsconventies voor registervermeldingen (bijvoorbeeld KB-nummers als waardenamen)

Zo gebruikt u het register om geblokkeerde updates te loggen of te taggen:

1. Voer deze opdracht uit om een registersleutel aan te maken voor de geblokkeerde KB’s:

New-Item -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Force

2. Voeg vervolgens het KB-nummer toe dat u wilt bijhouden:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "KB5029263" -Value "Blocked"

3. Zo legt u vast wanneer de blokkade voor het laatst is bijgewerkt:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "LastUpdated" -Value (Get-Date).ToString("u")

4. Ter validatie kunt u dit uitvoeren via de opdrachtprompt:

reg query HKLM\SOFTWARE\Org\UpdateExclusions

Deze methode is ideaal om per endpoint een eenvoudige lokale registratie van geblokkeerde KB’s bij te houden, die u ook op grote schaal via RMM kunt uitrollen.

Methode 5: updates uitstellen met beleid van Windows Update for Business (WUfB) (optioneel)

Met Windows Update for Business stelt u bepaalde soorten updates uit via Group Policy. Hiermee blokkeert u geen afzonderlijke KB, maar u kunt wel hele categorieën updates pauzeren tot u de tijd hebt gehad om ze te testen.

Vereisten:

• U hebt de editie Windows Pro, Enterprise of Education nodig (WUfB is niet beschikbaar in Home).
• Toegang tot de Groepsbeleidsbeheerconsole (GPMC).

Zo gebruikt u het beleid van Windows Update for Business (WUfB) om updates voorlopig tegen te houden:

1. Open de Editor voor lokaal groepsbeleid.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Update > Windows Update for Business.

3. Configureer dit beleid:
   1. Selecteren wanneer kwaliteitsupdates worden ontvangen
   2. Selecteren wanneer onderdelenupdates worden ontvangen
4. Stel per updatetype het aantal dagen uitstel in op basis van uw patchstrategie.

Organisaties die Microsoft Intune of Windows Autopatch gebruiken kunnen updates ook uitstellen en safeguard holds instellen via deployment rings en updatebeleid. Dat biedt fijnmaziger, cloudbeheerde controle over updates in hybride en remote werkomgevingen.

Wanneer blokkeert u een Windows-update?

Het blokkeren van een Windows-update is doorgaans een tijdelijke maatregel voor situaties waarin een patch operationeel risico oplevert. Veelvoorkomende scenario’s zijn:

• Blue screens of bootloops na Patch Tuesday
• Kapotte VPN-, print- of RDP-functionaliteit
• Compatibiliteitsproblemen met applicaties
• Instabiele drivers na cumulatieve updates
• Conflicten met beveiligingssoftware
• Mislukte uitrol binnen pilotgroepen

IT-teams zouden updates zo min mogelijk langdurig moeten onderdrukken. Valideer problematische KB’s liever in testgroepen, volg de adviezen van Microsoft en zet updates weer aan zodra er een gecorrigeerde release beschikbaar is.

⚠️ Waar u op moet letten

Aanvullende aandachtspunten bij het blokkeren van specifieke Windows-updates

Let op vervanging van updates

Sommige geblokkeerde KB’s worden vervangen door nieuwere rollups. Controleer de updates van elke maand en blokkeer zo nodig ook de nieuwe KB.

Rapportage

Gebruik gebeurtenislogboeken en Windows Update-logboeken met de opdracht Get-WindowsUpdateLog om te bevestigen dat updates correct worden onderdrukt.

Patchtools van derden

Pas op voor conflicten als u ook WSUS, Intune of patchbeheer van derden gebruikt. Die tools kunnen handmatige blokkades overschrijven of omzeilen.

Afhankelijkheden

Sommige Windows-updates hebben vereisten. Als u één update blokkeert, kunnen andere updates vertraging oplopen totdat de afhankelijkheid is geïnstalleerd.

Beste praktijken om Windows-updates veilig te blokkeren

Beschouw het blokkeren van Windows-updates als een tijdelijke operationele maatregel en niet als een permanente patchstrategie. Zo beperkt u het risico terwijl u compliant blijft:

• Test maandelijkse updates in pilotgroepen voordat u ze breed uitrolt
• Documenteer alle geblokkeerde KB’s en beoordeel ze regelmatig
• Gebruik deployment rings of gefaseerde uitrol voor productiesystemen
• Volg de releasenotities en meldingen over bekende problemen van Microsoft
• Zet geblokkeerde updates weer aan zodra er fixes of vervangende patches beschikbaar zijn
• Stel beveiligingsupdates niet langer uit dan nodig

Voor MSP’s helpt de combinatie van selectief KB’s blokkeren met RMM-automatisering en compliancerapportage om het overzicht te bewaren in grote endpointomgevingen.

Problemen oplossen rond het blokkeren van specifieke Windows-updates

De update wordt toch geïnstalleerd

Controleer of de KB is vervangen door een nieuwere rollup of is meegeleverd in een ander updatepakket. Blokkeer zo nodig ook de vervangende KB.

Hide-WindowsUpdate werkt niet

Controleer of de module PSWindowsUpdate up-to-date is en of PowerShell met beheerdersrechten draait.

Blokkade op apparaat-ID heeft geen effect

Controleer of u de juiste hardware-ID gebruikt. Voer pnputil /enum-devices /connected uit om de ID’s weer te geven en de juistheid te bevestigen.

Het register wordt niet toegepast

Controleer het registerpad, het gegevenstype en de rechten nog eens. Zorg ervoor dat de sleutel is aangemaakt onder HKLM en niet onder HKCU.

NinjaOne-diensten voor het blokkeren van specifieke Windows-updates

Blokkeer specifieke updates en behoud stabiliteit terwijl uw patchcycli doorlopen

Afzonderlijke Windows-updates blokkeren is essentieel als stabiliteit of compatibiliteit in het geding is, zeker wanneer updates de tools en workflows van uw technici kunnen hinderen. Door gericht specifieke KB’s aan te pakken in plaats van Patching helemaal te pauzeren, houden MSP’s en IT-beheerders devices veilig en voorkomen ze uitvaltijd door problematische en verstorende updates.

Gerelateerde onderwerpen:

• 4 manieren om Windows-updates eenvoudig uit te schakelen in Windows 10
• Meldingen over opnieuw opstarten na een Windows-update in- of uitschakelen in Windows 10
• De geschiedenis van Windows Update wissen in Windows 10 en Windows 11
• Gids voor het diagnosticeren van problemen met Windows Update via PowerShell
• Bezorgingsoptimalisatie van Windows Update in- of uitschakelen in Windows 11