Vérifier, installer et confirmer les mises à jour Windows sans interface graphique

Objectif

Vérifier, installer et confirmer les mises à jour du système d'exploitation sur un hôte Windows Server sans environnement de bureau, et savoir au préalable s'il attend déjà un redémarrage.

Prérequis

Droits d'administrateur ; soit un accès direct à Windows Update, soit un serveur WSUS configuré. Cet article considère WSUS comme la voie principale de gestion des correctifs : il existe des outils tiers de gestion des correctifs, mais ils ne sont pas traités ici.

Étapes

1. Sur Server Core, la page de mises à jour de sconfig définit directement la stratégie : Automatic recherche et installe les mises à jour selon une planification quotidienne, Download only (valeur par défaut documentée) télécharge les mises à jour et notifie sans les installer, et Manual n'effectue aucune de ces actions automatiquement.
2. Dans un environnement géré, les mises à jour sont normalement approuvées et distribuées par Windows Server Update Services (WSUS), plutôt que chaque serveur contacte directement Windows Update. La stratégie WSUS (groupes d'approbation, échéances et ciblage des clients) se définit généralement par stratégie de groupe (Group Policy), qui oriente les clients vers le serveur WSUS.
3. Avant d'installer quoi que ce soit, vérifiez si l'hôte attend déjà un redémarrage à la suite d'une action antérieure, afin de ne pas empiler les modifications sur un état incohérent. Un exemple concret et vérifiable : reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations — si cette valeur existe, des fichiers sont déjà en file d'attente pour être renommés au prochain démarrage. Plus largement, la ressource native de Windows Microsoft.Windows/RebootPending signale un redémarrage en attente pour plusieurs raisons distinctes, notamment "Windows Updates requiring restart", "Component-Based Servicing operations", "Pending file rename operations", "Computer rename pending" et "Domain join operations pending". Considérez chacune d'elles comme un signal pour planifier une fenêtre de maintenance plutôt que d'installer immédiatement d'autres modifications.
4. Après l'installation des mises à jour, ne vous fiez pas uniquement à Get-HotFix pour confirmer ce qui est installé : la commande interroge la classe WMI Win32_QuickFixEngineering dont la documentation de Microsoft indique qu'elle "returns only the updates supplied by Component Based Servicing (CBS)... Updates supplied by Microsoft Windows Installer (MSI) or the Windows update site... are not returned." Recoupez le résultat avec l'historique de Windows Update ou les rapports WSUS pour obtenir une vue complète.
5. Redémarrez pendant une fenêtre de maintenance contrôlée plutôt qu'immédiatement : Restart-Computer -Force (non interactif ; il n'y a pas d'invite de confirmation à supprimer).

Résultat attendu

La vérification du redémarrage en attente à l'étape 3 ne renvoie rien avant la maintenance, et fournit un élément concret à examiner si ce n'est pas le cas. Après l'installation et le redémarrage, Get-HotFix ainsi que l'historique de WSUS/Windows Update affichent les mises à jour nouvellement appliquées.

Limites et base de vérification

Comme Get-HotFix ne couvre que CBS, un résultat vide ou court ne prouve pas qu'un hôte n'est pas à jour : une mise à jour cumulative livrée en dehors de CBS n'y apparaîtrait pas. Rien ici ne nécessite d'annulation explicite : l'installation d'une mise à jour n'est réversible que par la procédure de désinstallation propre à Windows (Get-HotFix puis wusa /uninstall /kb:<number> le cas échéant) ou par un point de restauration, et non en rétablissant un paramètre de configuration. Le changement de mode de mise à jour dans sconfig et la vérification du registre prennent tous deux effet immédiatement, sans redémarrage propre ; seules les mises à jour installées peuvent en exiger un.