Le tre facce dell’aggiornamento di Windows

Come Endpoint Administrator gestisci il ciclo di patching di Windows tramite Microsoft Intune e Windows Update for Business. Servizio per servizio, la scelta non è “aggiornare sì o no”, ma quale tipo di aggiornamento governare, con quale profilo e con quali tempistiche. I tre pilastri sono feature update, quality update ed expedite update, ciascuno con un profilo Intune dedicato e una logica distinta.

Feature update: cambiare versione di Windows

Un feature update porta il device a una nuova versione del sistema operativo (per esempio da Windows 11 23H2 a 24H2). È di fatto un upgrade tra release, non una semplice patch: introduce nuove funzionalità e ridefinisce la build di base.

In Intune si governa con il Feature update profile, dove specifichi la target version. Questo profilo ha due funzioni chiave:

  • Portare i device idonei alla versione indicata.
  • Bloccare (freeze) i device su quella versione: finché il profilo assegna, per esempio, “23H2”, i device non salteranno spontaneamente a “24H2”. Questo version blocking è lo strumento con cui eviti upgrade non pianificati.

Il feature update mantiene la possibilità di rollback: Windows conserva la versione precedente per una finestra di disinstallazione (di default 10 giorni), configurabile, entro cui puoi tornare indietro se emergono problemi di compatibilità.

Quality update: le patch cumulative mensili

Un quality update è l’aggiornamento cumulativo mensile rilasciato tipicamente il secondo martedì (Patch Tuesday). Contiene fix di sicurezza e di affidabilità e, essendo cumulativo, include tutto ciò che è stato pubblicato nei mesi precedenti: installare l’ultimo porta il device allo stato corrente senza dover applicare i precedenti.

Si governa con i Update rings (“Update rings for Windows 10 and later”), dove definisci:

  • Deferral period per i quality update (0–30 giorni), così da scaglionare l’esposizione tra anelli (pilot, broad, critical).
  • Deadline, grace period e comportamento di riavvio, per bilanciare compliance e continuità operativa.

La logica ad anelli serve proprio a ritardare in modo controllato: il pilota riceve prima, la produzione dopo.

Expedite update: forzare una patch critica

L’expedite update rovescia questa logica quando serve velocità. È il profilo “Expedite Windows quality updates” che, appoggiandosi al Windows Update for Business deployment service, spinge rapidamente uno specifico quality update (tipicamente una patch di sicurezza urgente, zero-day) bypassando i deferral e le pause configurati negli update ring.

Punti architetturali da tenere a mente:

  • L’expedite vale solo per i quality update, non per i feature update.
  • Puoi imporre un riavvio forzato entro un intervallo di grazia definito.
  • Richiede l’invio di Windows diagnostic data (almeno livello Required) e che il device faccia check-in con Windows Update: senza telemetria e connessione al servizio, l’espedizione non può essere orchestrata.

In pratica: quando un anello ha un deferral di 15 giorni ma esce una CVE critica oggi, l’expedite scavalca quel ritardo e installa subito.

Come scegliere in uno scenario

  • Vuoi bloccare i device su una versione OS e pianificare gli upgrade → Feature update profile con target version.
  • Vuoi distribuire in modo scaglionato le patch mensili → Update rings con deferral crescenti.
  • Devi chiudere una vulnerabilità immediatamente ignorando i deferral → Expedite.

Trappole tipiche d’esame

  • Scenario: hai spinto un expedite update ma alcuni device non lo ricevono. Sono già su una build pari o superiore a quella target → Corretto: l’expedite non retrocede né riapplica; se il device è già oltre la build richiesta, non fa nulla. Verifica la build corrente prima di attribuirlo a un errore.
  • Scenario: un device offline/non gestito non applica l’expedite → Corretto: l’expedite richiede che il device faccia check-in con Windows Update e invii diagnostic data (almeno Required); senza questo non viene orchestrato.
  • Scenario: un update ring impone 20 giorni di deferral, ma serve una patch di sicurezza oggi → Corretto: usa un Expedite update, che bypassa i deferral e le pause dei ring per quel singolo quality update.
  • Scenario: vuoi impedire che i client passino autonomamente alla nuova versione annuale → Corretto: assegna un Feature update profile con la versione desiderata (version blocking); i soli update ring non fissano la target version.
  • Scenario: un upgrade di versione causa incompatibilità e vuoi tornare indietro → Corretto: è un feature update, quindi sfrutta la finestra di rollback (default 10 giorni). L’expedite riguarda solo i quality update e non offre questo percorso.