Verificar, instalar e confirmar atualizações do Windows sem interface gráfica

Objetivo

Verificar, instalar e confirmar atualizações do sistema operacional em um host Windows Server sem área de trabalho, sabendo de antemão se ele já está aguardando uma reinicialização.

Pré-requisitos

Direitos de administrador; acesso direto ao Windows Update ou um servidor WSUS configurado. Este artigo trata o WSUS como o caminho principal de aplicação de patches gerenciada; existem ferramentas de terceiros para gerenciamento de patches, mas elas não são abordadas aqui.

Passos

1. No Server Core, a página de atualizações do sconfig define a política diretamente: Automatic verifica e instala em um agendamento diário, Download only (o padrão documentado) baixa e notifica sem instalar, e Manual não faz nenhuma das duas coisas automaticamente.
2. Em ambientes gerenciados, as atualizações normalmente são aprovadas e distribuídas pelo Windows Server Update Services (WSUS), em vez de cada servidor acessar o Windows Update diretamente. A política do WSUS (grupos de aprovação, prazos e direcionamento de clientes) costuma ser definida por Group Policy, apontando os clientes para o servidor WSUS.
3. Antes de instalar qualquer coisa, verifique se o host já está aguardando uma reinicialização causada por uma ação anterior, para não empilhar mudanças sobre um estado inconsistente. Um exemplo concreto e verificável: reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations. Se esse valor existir, já há arquivos na fila para serem renomeados na próxima inicialização. De forma mais ampla, o recurso Microsoft.Windows/RebootPending do próprio Windows informa uma reinicialização pendente por vários motivos distintos, entre eles "Windows Updates requiring restart", "Component-Based Servicing operations", "Pending file rename operations", "Computer rename pending" e "Domain join operations pending". Trate qualquer um deles como um sinal para agendar uma janela de manutenção, em vez de instalar mais mudanças de imediato.
4. Depois de instalar as atualizações, não confie apenas no Get-HotFix para confirmar o que está instalado: ele consulta a classe WMI Win32_QuickFixEngineering, e a documentação da própria Microsoft sobre essa classe afirma que ela "returns only the updates supplied by Component Based Servicing (CBS)... Updates supplied by Microsoft Windows Installer (MSI) or the Windows update site... are not returned." Para ter um quadro completo, compare com o histórico do Windows Update ou com os relatórios do WSUS.
5. Reinicie em uma janela de manutenção controlada, e não imediatamente: Restart-Computer -Force (não interativo; não há prompt de confirmação a suprimir).

Resultado esperado

A verificação de reinicialização pendente do passo 3 não retorna nada antes da manutenção e, se retornar algo, fornece um ponto concreto a investigar. Após a instalação e a reinicialização, tanto o Get-HotFix quanto o histórico do WSUS/Windows Update mostram as atualizações recém-aplicadas.

Limites e base de verificação

Como o Get-HotFix cobre apenas o CBS, um resultado vazio ou curto não prova que o host está sem patches: uma atualização cumulativa entregue fora do CBS não apareceria ali. Nada aqui exige um "desfazer" explícito: a instalação de atualizações só é reversível pelo caminho de desinstalação do próprio Windows (Get-HotFix junto com wusa /uninstall /kb:<number>, quando aplicável) ou por um ponto de restauração, e não revertendo uma configuração. A mudança de modo de atualização no sconfig e a verificação do registro entram em vigor imediatamente, sem exigir reinicialização própria; somente as atualizações em instalação podem exigi-la.