GPO本身不下发补丁，仅配置更新策略；需结合WSUS或Intune实现补丁分发，其中GPO管控“怎么打”，WSUS/Intune提供“打什么”，三者（GPO、WSUS部署与同步、客户端连通性）缺一不可。
直接用gpo下发系统补丁本身不可行——组策略不提供补丁分发功能，它只负责配置补丁行为的策略。真正实现补丁分发与维护，需要结合windows server update services（wsus）或microsoft intune，并通过gpo统一管控客户端的更新策略。
核心思路：GPO管“怎么打”，WSUS/Intune管“打什么”
GPO本身不下载、不存储、不推送补丁文件。它的作用是告诉每台域内计算机：从哪获取更新、何时检查、是否自动安装、重启如何处理。实际补丁内容由WSUS服务器（推荐本地部署）或Microsoft Update Catalog/Intune服务提供。
关键GPO配置项（全部在“计算机配置”下）
路径：计算机配置 → 管理模板 → Windows组件 → Windows更新
- 指定Intranet Microsoft更新服务位置：启用该策略，填入你的WSUS服务器地址（如http://wsus01.contoso.com:8530），并勾选“使用独立的Intranet Microsoft更新服务位置”。这是所有策略生效的前提。
- 配置自动更新：设为“已启用”，并选择模式。推荐“4 - 自动下载并计划安装”，再设定“安装时间”（如每周日凌晨2点），避免干扰用户。
- 不要在未配置自动更新的情况下进行自动重启：启用此项，防止补丁安装后无提示强制重启。
- 对于已登录用户的自动更新通知设置：可设为“已禁用”，避免弹窗打扰；或设为“已启用”并指定延迟分钟数（如15），给用户缓冲时间。
- 允许非管理员用户在“设置”中接收更新通知：建议“已禁用”，确保补丁策略完全由IT控制，不被终端用户绕过。
补丁分发链路必须打通的三个环节
仅配GPO远远不够，以下三者缺一不可：
- WSUS服务器部署与同步：安装WSUS角色，同步微软官方补丁（建议按产品筛选，如Windows 10/11、Office、.NET Framework），并审批关键补丁（如本次4月的CVE-2026-32201和CVE-2026-33825必须第一时间审批）。
- 客户端网络可达性：确保所有目标计算机能访问WSUS服务器的HTTP端口（默认8530），防火墙放行，且DNS解析正常。可在客户端执行wuauclt /detectnow触发检测，再查Windows日志 → 应用程序和服务日志 → Windows Update确认连接状态。
- 权限与证书信任：若WSUS启用SSL（推荐），需将WSUS服务器证书导入客户端“受信任的根证书颁发机构”存储区——这一步正好可用另一条GPO完成（参考知识库中“下发受信任根证书”方案）。
高危补丁的应急响应建议
面对零日或严重漏洞（如本次165个漏洞中的两个零日），标准补丁周期可能来不及。此时应：
- 在WSUS中立即审批对应KB编号补丁（例如KB5012345），并设置“紧急”分类标签；
- 用GPO临时提高检查频率：“指定检测频率（小时）”设为1–2小时，缩短窗口期；
- 对关键服务器或工作站OU，可单独链接更高优先级GPO，启用“重新启动以完成更新时显示一个计时器”并设为短时限（如5分钟），加速落地；
- 补丁部署后，用wmic qfe list | findstr "KB5012345"批量验证是否安装成功。
