Como bloquear atualizações específicas do Windows sem interromper ciclos inteiros de atualizações

A Microsoft lança atualizações cumulativas mensalmente, mas nem todas as correções podem ser implementadas imediatamente com segurança. Algumas atualizações podem causar falhas em aplicativos, interromper fluxos de trabalho ou provocar problemas de estabilidade nos dispositivos dos usuários. Os profissionais de MSP e administradores de TI frequentemente precisam de uma maneira de bloquear uma atualização específica do Windows , mantendo o restante do ciclo de atualizações dentro do cronograma. Cada atualização do Windows é identificada por umnúmero exclusivoda Base de Conhecimento (KB) da , o que permite selecionar e bloquear apenas o patch problemático.

Ao utilizar ferramentas como o PowerShell, a Política de Grupo, edições no Registro e scripts de RMM, é possível desativar seletivamente as atualizações do KB que apresentam problemas sem interromper totalmente o Windows Update. Isso mantém os terminais protegidos com as correções mais recentes, ao mesmo tempo em que evita que patches com falhas conhecidas causem tempo de inatividade.

Guia para bloquear uma atualização específica do Windows sem interromper os ciclos de atualização

📌 Pré-requisitos:

• Os dispositivos devem estar rodando o Windows 11 ou o Windows Server 2016, 2019, 2022 ou versões posteriores.
• Você precisa de direitos de administrador nos terminais locais ou remotos para bloquear ou adiar atualizações.
• É necessário ter o PowerShell 5.1 ou uma versão superior para executar scripts que ocultem ou revelem atualizações específicas da KB.
• É necessário ter acesso ao Registro do Windows caso você pretenda configurar manualmente os bloqueios de atualização.
• O Console de Gerenciamento de Políticas de Grupo (GPMC) deve estar disponível em ambientes de domínio para aplicar regras de atualização em grande escala.
• Opcionalmente, uma plataforma RMM, como o NinjaOne, pode ser usada para implantar scripts, aplicar políticas e gerar relatórios sobre atualizações bloqueadas nos dispositivos dos clientes.

NOTA: Os dispositivos com Windows 11 que utilizam retenções de proteção ou políticas modernas de orquestração de atualizações podem apresentar um comportamento diferente dos fluxos de trabalho de manutenção legados do Windows 10. Verifique se as exclusões de atualização estão de acordo com o seu canal de manutenção atual e com a configuração do anel de atualização.

Método 1: Bloquear uma atualização específica do Windows usando o PowerShell

Você pode usar o PowerShell para ocultar uma única atualização problemática do KB, de modo que ela não seja instalada, permitindo que todas as outras atualizações sejam executadas normalmente.

NOTA: Em ambientes corporativos restritos, o acesso à PowerShell Gallery pode estar bloqueado. Talvez seja necessário preparar previamente o módulo PSWindowsUpdate internamente ou permitir acesso temporário de saída ao PSGallery.

📌Casos de uso do :

• Esse método permite impedir que um KB com falha conhecida seja instalado no ciclo de atualizações deste mês, sem interromper as atualizações.
• Você pode usar isso para reexibir a KB mais tarde, depois que a Microsoft lançar uma correção ou quando seus testes confirmarem que está tudo em ordem.

📌 Pré-requisitos:

• Direitos de administrador no terminal ou por meio do seu RMM
• PowerShell 5.1 ou versão superior, com acesso à Internet, para instalar o módulo PSWindowsUpdate
• O número exato da KB que você deseja bloquear

Aqui estão os passos para usar o PowerShell para bloquear uma atualização específica do Windows:

1. Abra o PowerShell e instale o módulo usando este comando:

Install-Module PSWindowsUpdate -Force

2. Em seguida, use este comando para listar as atualizações pendentes e confirmar o número da KB:

Get-WindowsUpdate -MicrosoftUpdate

3. Em seguida, use este código para ocultar o artigo específico da Base de Conhecimento (substitua KB5000000 pelo artigo de seu interesse) para que ele não seja instalado:

Get-WindowsUpdate -KBArticleID KB5029263 | Hide-WindowsUpdate -Confirm:$false

4. Para visualizar as atualizações ocultas, use isto:

Get-WindowsUpdate -IsHidden

5. Para exibir, use este comando:

Hide-WindowsUpdate -KBArticleID ‘KB5000000’ -MicrosoftUpdate -Hide:$false -Confirm:$false

Método 2: Como usar a ferramenta wushowhide.diagcab da Microsoft para bloquear atualizações específicas

A ferramenta wushowhide.diagcab permite bloquear manualmente atualizações específicas do Windows sem interromper todo o ciclo de atualizações. É adequado para uso em máquinas individuais, mas não para automação ou implantação em grande escala.

📌Casos de uso do :

• Você pode usar isso para ocultar manualmente uma atualização problemática em um dispositivo autônomo.
• Essa é uma opção simples para os técnicos quando uma ferramenta RMM ou uma Política de Grupo não estiver disponível.

📌 Pré-requisitos:

• Você precisará de direitos de administrador local no terminal.
• Download da ferramenta wushowhide.diagcab da Microsoft.

Siga estas etapas para usar a ferramenta wushowhide.diagcab:

1. Baixar wushowhide.diagcab no site da Microsoft.
2. Execute a ferramenta e siga as instruções exibidas na tela para verificar se há atualizações disponíveis.
3. Selecione a atualização problemática e escolha “Ocultar atualização” para bloqueá-la.

Observação: O utilitário wushowhide.diagcab da Microsoft é considerado obsoleto e pode não funcionar de maneira consistente nas versões mais recentes do Windows 11. A Microsoft agora recomenda o uso do Windows Update for Business, do Intune,

Método 3: Bloquear atualizações por meio de GPO ou do Registro (exemplo de driver)

Se uma atualização do Windows continuar tentando instalar um driver indesejado, você pode bloqueá-la usando o ID de hardware do driver como alvo. Você pode fazer isso por meio do GPO ou do Registro.

📌Casos de uso do :

• Você pode usar isso para impedir que o Windows reinstale automaticamente um driver problemático.
• Aplicar um bloqueio consistente de drivers em todos os terminais gerenciados.

📌 Pré-requisitos:

• Direitos de administrador e acesso ao Console de Gerenciamento de Políticas de Grupo (para dispositivos do domínio) ou ao Editor do Registro (para dispositivos autônomos)
• O ID de hardware do driver que você deseja bloquear, que pode ser encontrado em Gerenciador de Dispositivos > Propriedades do Dispositivo > guia Detalhes > IDs de hardware

Para usar a Política de Grupo para bloquear uma atualização específica do Windows, siga estas etapas:

1. Abra oEditor de Política de Grupo do  e acesse:

Configuração do computador > Modelos administrativos > Sistema > Instalação de dispositivos > Restrições à instalação de dispositivos.

2. Ativar“ ” (Exclusão de dispositivos): Impedir a instalação de dispositivos cujos IDs correspondam a qualquer um desses IDs. Para remover a política, você pode redefini-la para“  (Não configurado), “  ou“ ” (Desativado).
3. Adicione os IDs de hardware do driver que você deseja bloquear.

Você pode executar o método do Registro executando este código no PowerShell:

Para desfazer a alteração, siga estas etapas:

1. Abra o Editor do Registro.
2. Acesse: HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
3. Exclua a entrada“ DenyDeviceIDs” ou remova toda a chave“ Restrictions” .
4. Reinicie o computador para que as alterações entrem em vigor.

⚠️ Aviso: Certifique-se de usar esse método com cuidado. O bloqueio por ID de hardware impedirá que o Windows reinstale o driver corretamente até que a política ou a entrada do Registro seja removida.

Método 4: Use o Registro para registrar ou marcar as atualizações bloqueadas

É possível registrar quais KBs foram bloqueados, inserindo-os no Registro. Isso proporciona aos técnicos ou às ferramentas de RMM um registro local que pode ser utilizado para validação durante auditorias ou verificações de conformidade.

📌Casos de uso do :

• Mantenha um registro local simples dos KBs bloqueados em cada terminal.
• Forneça aos RMMs uma chave confiável para a consulta de relatórios de conformidade.

📌 Pré-requisitos:

• Direitos de administrador para criar ou editar chaves do Registro na subestrutura HKLM
• Convenções de nomenclatura consistentes para entradas do Registro (por exemplo, números da Base de Conhecimento como nomes de valores)

Veja a seguir como usar o Registro para registrar ou marcar atualizações bloqueadas:

1. Para criar uma chave do Registro para armazenar os KBs bloqueados, execute este comando:

New-Item -Path “HKLM:\SOFTWARE\Org\UpdateExclusions” -Force

2. Em seguida, insira o número da KB que você deseja acompanhar:

Set-ItemProperty -Path “HKLM:\SOFTWARE\Org\UpdateExclusions” -Name “KB5029263” -Value “Bloqueado”

3. Veja a seguir como registrar a data da última atualização do bloco:

Set-ItemProperty -Path “HKLM:\SOFTWARE\Org\UpdateExclusions” -Name “LastUpdated” -Value (Get-Date).ToString(“u”)

4. Para validar, você pode executar este comando noPrompt de Comando do :

consulta ao registro HKLM\SOFTWARE\Org\UpdateExclusions

Método 5: Use as políticas do Windows Update for Business (WUfB) para adiar as atualizações (opcional)

O Windows Update for Business permite adiar certos tipos de atualizações por meio da Política de Grupo. Isso não bloqueia uma KB específica, mas permite que você suspenda categorias inteiras de atualizações até que você tenha tempo de testá-las.

📌Casos de uso do :

• Isso permite adiar atualizações de recursos ou de qualidade em todos os dispositivos para que sejam testadas antes de uma implantação em larga escala.
• Você pode usar isso para adicionar um período de segurança para detectar problemas sem desativar o Windows Update.

📌 Pré-requisitos:

• Você precisará da edição Pro, Enterprise ou Education do Windows (o WUfB não está disponível na edição Home).
• Acesso ao Console de Gerenciamento de Políticas de Grupo (GPMC).

Veja a seguir como você pode usar as políticas do Windows Update for Business (WUfB) para suspender as atualizações por enquanto:

1. Abra oEditor de Política de Grupo “  ”.
2. Acesse:

Configuração do computador > Modelos administrativos > Componentes do Windows > Windows Update > Windows Update para Empresas. 

3. Configure estas políticas:
   1. Selecione quando as atualizações de qualidade forem recebidas
   2. Selecione quando as atualizações de recursos serão recebidas
4. Defina o número de dias para adiar cada tipo de atualização com base na sua estratégia de aplicação de patches.

As organizações que utilizam o Microsoft Intune ou o Windows Autopatch também podem implementar adiamentos de atualizações e restrições de proteção por meio de anéis de implantação e políticas de atualização. Isso proporciona um controle mais detalhado das atualizações gerenciadas na nuvem para ambientes de trabalho híbridos e remotos.

Quando você deve bloquear uma atualização do Windows?

O bloqueio de uma atualização do Windows deve, em geral, ser uma estratégia de mitigação temporária, utilizada quando um patch acarreta risco operacional. Entre os cenários mais comuns estão:

• Problemas de tela azul ou loop de inicialização após a Patch Tuesday
• Problemas com a VPN, a impressão ou a funcionalidade RDP
• Problemas de compatibilidade de aplicativos
• Instabilidade do driver após atualizações cumulativas
• Conflitos entre softwares de segurança
• Implantações com falha nos grupos-piloto

As equipes de TI devem evitar, sempre que possível, a suspensão de atualizações por longos períodos. Em vez disso, verifique os artigos da Base de Conhecimento (KB) problemáticos em grupos de teste, acompanhe os alertas da Microsoft e reative as atualizações assim que uma versão corrigida estiver disponível.

⚠️ Pontos a serem observados

Considerações adicionais ao bloquear atualizações específicas do Windows

Fique atento à substituição

Algumas notas da Base de Conhecimento (KB) bloqueadas podem ser substituídas por pacotes cumulativos mais recentes. Verifique as atualizações de cada mês e, se necessário, re-bloqueie o novo KB.

Relatórios

Utilize os registros de eventos eos registros do Windows Update ( ) com o comando Get-WindowsUpdateLog para confirmar se as atualizações estão sendo suprimidas corretamente.

Ferramentas de patch de terceiros

Fique atento a possíveis conflitos caso você também esteja usando o WSUS, o Intune ou uma solução de gerenciamento de patches de terceiros. Essas ferramentas podem anular ou contornar bloqueios manuais.

Dependências

Algumas atualizações do Windows exigem pré-requisitos. Bloquear uma atualização pode atrasar outras até que a dependência seja instalada.

Melhores práticas para bloquear atualizações do Windows com segurança

O bloqueio das atualizações do Windows deve ser considerado uma medida de segurança operacional temporária, e não uma estratégia permanente de aplicação de patches. Para reduzir os riscos e, ao mesmo tempo, garantir a conformidade:

• Teste as atualizações mensais em grupos-piloto antes da implantação em larga escala
• Documentar todos os KBs bloqueados e revisá-los regularmente
• Utilize anéis de implantação ou implementações em fases para sistemas de produção
• Acompanhe as notas de lançamento da Microsoft e os avisos sobre problemas conhecidos
• Reative as atualizações bloqueadas assim que forem disponibilizadas correções ou patches mais recentes
• Evite adiar as atualizações de segurança por mais tempo do que o necessário

Para os MSPs, combinar o bloqueio seletivo de KB com a automação de RMM e os relatórios de conformidade ajuda a manter a visibilidade em grandes ambientes de terminais.

Solução de problemas relacionados ao bloqueio de atualizações específicas do Windows

A atualização continua sendo instalada

Verifique se o artigo da Base de Conhecimento foi substituído por um rollup mais recente ou se foi fornecido por meio de outro pacote de atualizações. Se necessário, reblock o artigo da KB que o substitui.

O Hide-WindowsUpdate não está funcionando

Verifique se o módulo PSWindowsUpdate está atualizado e se o PowerShell está sendo executado com direitos de administrador.

O bloqueio do ID do dispositivo não está funcionando

Verifique se você está usando o ID de hardware correto. Execute o comando ` pnputil /enum-devices /connected ` para listar os IDs e confirmar se estão corretos.

O registro não está sendo aplicado

Verifique novamente o caminho no Registro, o tipo de dados e as permissões. Certifique-se de que a chave seja criada em HKLM e não em HKCU.

Serviços do NinjaOne para bloquear atualizações específicas do Windows

[início rápido]

Bloquear atualizações específicas e manter a estabilidade, garantindo que os ciclos de atualização sigam o planejado

Bloquear atualizações individuais do Windows é essencial quando a estabilidade ou a compatibilidade estão em risco, especialmente se as atualizações puderem prejudicar as ferramentas e os fluxos de trabalho utilizados pelos seus técnicos. Ao direcionar as atualizações para KBs específicas, em vez de suspender completamente a aplicação de patches, os MSPs e os administradores de TI podem manter os dispositivos seguros e, ao mesmo tempo, evitar o tempo de inatividade causado por atualizações problemáticas e que causam interrupções.

Tópicos relacionados:

• 4 maneiras fáceis de desativar as atualizações do Windows no Windows 10
• Como ativar ou desativar a exibição de notificações de reinicialização do Windows Update no Windows 10
• Como limpar o histórico do Windows Update no Windows 10 e no Windows 11
• Guia para diagnosticar problemas com o Windows Update usando o PowerShell
• Como ativar ou desativar a otimização de entrega do Windows Update no Windows 11