Op 10 maart 2026 publiceerde Microsoft in het Message Center bericht MC1248388 met de titel "Plan for Change: Windows Autopatch is enabling hotpatch updates by default". De kern: vanaf de beveiligingsupdate van mei 2026 schakelt Windows Autopatch hotpatch-updates standaard in voor alle Intune-apparaten die aan de voorwaarden voldoen. Organisaties die dat niet willen, krijgen vanaf ongeveer 1 april 2026 een instelling om dit uit te zetten. Dit artikel beschrijft wat hotpatch is, hoe de releasecyclus werkt, welke voorwaarden gelden en wat de wijziging in de praktijk inhoudt.
De aankondiging
Tot nu toe was hotpatch een optie die beheerders bewust aanzetten in een Windows quality update-beleid. Microsoft draait dat nu om. De motivatie in het bericht is kort: hotpatch-updates zijn volgens Microsoft "de snelste manier om veilig te worden", omdat de beveiligingsupdate direct actief is zonder dat de gebruiker hoeft te herstarten. Microsoft stelt dat dit gemiddeld drie tot vijf dagen scheelt ten opzichte van een reguliere update, waarbij de herstart vaak wordt uitgesteld.
De tijdlijn in twee stappen:
| Moment | Wat er gebeurt |
|---|---|
| Rond 1 april 2026 | De opt-out-instelling wordt beschikbaar in de Windows quality update-beleidsregels |
| Beveiligingsupdate van mei 2026 | Hotpatch staat standaard aan voor alle geschikte Intune-apparaten |
Voor organisaties die Windows Autopatch al gebruiken en hotpatch al hebben ingeschakeld, is geen actie nodig. Microsoft adviseert om hotpatch aan te laten en om de voorwaarden op meer apparaten te vervullen, met als belangrijkste punt het inschakelen van Virtualization-based Security (VBS) op x86-apparaten.
Hoe hotpatch werkt
Hotpatch-updates zijn de maandelijkse B-release beveiligingsupdates, geleverd in een vorm die wordt geïnstalleerd en actief wordt zonder herstart. Hotpatch is een uitbreiding van Windows Update en vereist Windows Autopatch om de updates te maken en uit te rollen naar apparaten die in een Autopatch quality update-beleid zitten.
De cyclus werkt per kwartaal. Eén maand per kwartaal is een baseline-maand: dan komt een standaard cumulatieve update met alle beveiligingsfixes, nieuwe functies en verbeteringen, en is een herstart nodig. De twee maanden daarna zijn hotpatch-maanden: alleen beveiligingsupdates, zonder herstart.
| Kwartaal | Baseline (herstart nodig) | Hotpatch (geen herstart) |
|---|---|---|
| 1 | januari | februari en maart |
| 2 | april | mei en juni |
| 3 | juli | augustus en september |
| 4 | oktober | november en december |
Twee nuances uit de documentatie. Ten eerste kan Microsoft om veiligheidsredenen incidenteel een extra baseline-update buiten het kwartaalschema uitbrengen; het geplande schema verschuift daardoor niet. Ten tweede: een apparaat dat in een hotpatch-maand nog niet op de laatste baseline staat, krijgt dan zowel de baseline-update (met herstart) als de hotpatch-update.
Ook het moment van een versie-upgrade telt mee. Wie een hotpatch-apparaat in een baseline-maand naar een nieuwere Windows 11-versie brengt, blijft in de hotpatch-cyclus. Gebeurt dat in een hotpatch-maand, dan schakelt het apparaat tijdelijk over op standaardupdates met herstart, tot de volgende baseline.
Het hotpatch-pakket is aanzienlijk kleiner dan een standaard cumulatieve update, waardoor de installatie sneller is en minder bandbreedte kost. Bestaande update rings blijven ongemoeid: de deferral- en active hours-instellingen blijven gelden naast het hotpatch-beleid.
Voorwaarden
Een apparaat komt in aanmerking voor hotpatch-updates als het aan alle volgende voorwaarden voldoet:
- Licentie: Windows 11 Enterprise E3 of E5, Microsoft 365 F3, Windows 11 Education A3 of A5, Microsoft 365 Business Premium of Windows 365 Enterprise.
- Windows-versie: Windows 11, versie 24H2 of later.
- Baseline: het apparaat staat op de laatste baseline-release.
- VBS: Virtualization-based Security is ingeschakeld. Dit is nodig voor de werking van de hotpatch-installer. VBS kan via de CSP VirtualizationBasedTechnology worden geconfigureerd.
- Beleid: een Windows quality update-beleid in Intune waarin de instelling "When available, apply without restarting the device ("Hotpatch")" op Allow staat.
Apparaten die niet aan een of meer voorwaarden voldoen, krijgen automatisch de reguliere Latest Cumulative Update (LCU), met herstart. De instellingen van de update ring blijven daarbij ongewijzigd. De ineligibiliteit kan tijdelijk zijn, bijvoorbeeld omdat VBS nog niet actief is of het apparaat nog niet op de laatste baseline staat. Autopatch signaleert dit onder meer via de waarschuwing "Hotpatch – VBS not running".
Standaard aan is niet hetzelfde als overal actief
De wijziging van mei 2026 zet hotpatch aan in het beleid, maar apparaten zonder VBS, zonder passende licentie of op een oudere Windows-versie blijven de gewone cumulatieve update met herstart ontvangen. Wie in mei een merkbaar verschil wil zien, moet vooral VBS controleren.
Arm64: CHPE uitschakelen
Voor apparaten met een Arm64-processor geldt een extra voorwaarde. Hotpatch is niet compatibel met het servicen van CHPE-binaries (Compiled Hybrid Portable Executable) in de map %SystemRoot%\SyChpe32. CHPE versnelt 32-bits x86-applicaties op Arm64 en is alleen relevant waar 32-bits Office of andere legacy x86-software nodig is.
Om alle hotpatch-updates te kunnen toepassen, moet CHPE eenmalig worden uitgeschakeld, gevolgd door een herstart. Dat kan via de DisableCHPE-instelling in de System Policy CSP, of via de volgende registerwaarde:
Sleutel: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
Waarde: HotPatchRestrictions (DWORD) = 1
De instelling blijft behouden door updates heen. Wie later stopt met hotpatch, zet HotPatchRestrictions op 0 en herstart. Microsoft waarschuwt dat 32-bits programma's, zoals VBA-code met Declare-statements of 32-bits COM-add-ins zonder 64-bits alternatief, na het uitschakelen van CHPE kunnen falen of trager worden. Het advies is dan om de software naar 64-bits te brengen of de betreffende apparaten uit het hotpatch-beleid te houden. Microsoft heeft geen plannen om hotpatch te ondersteunen op Arm64-apparaten met CHPE ingeschakeld.
Opt-out en terugdraaien
De opt-out-instelling komt rond 1 april 2026 beschikbaar en werkt via de Windows quality update-beleidsregels. Hotpatch kan worden uitgezet voor een groep apparaten of voor de hele tenant. Organisaties die de wijziging niet willen, hebben dus ruim een maand om dit in te stellen voordat de update van mei 2026 wordt uitgerold.
Een geïnstalleerde hotpatch-update kan niet automatisch worden teruggedraaid, maar wel worden verwijderd. Verwijderen gaat snel, maar vereist een herstart, waarna de reguliere LCU kan worden geïnstalleerd. Hotpatch bevat daarnaast een ingebouwde monitorservice die de gezondheid van de updates bewaakt; bij een kritieke fout installeert het apparaat alsnog de standaard LCU.
Wat dit betekent voor beheer
De praktische gevolgen zijn overzichtelijk. Organisaties die Windows Autopatch gebruiken en aan de voorwaarden voldoen, zien vanaf mei 2026 in acht van de twaalf maanden geen herstartverzoek meer na de beveiligingsupdate. De vier baseline-maanden januari, april, juli en oktober blijven maanden met herstart, ook voor hotpatch-apparaten.
Wie de wijziging wil laten doorgaan, controleert vooral de VBS-status en de Windows-versie van de vloot en let bij Arm64-apparaten op CHPE. Wie de wijziging niet wil, wacht op de opt-out-instelling van april en zet die per groep of tenantbreed. Een tussenweg is ook mogelijk: hotpatch toestaan voor het grootste deel van de vloot en apparaten met bekende 32-bits afhankelijkheden op Arm64 uitsluiten.
Het rapport Hotpatch quality update report in het Intune admin center toont per beleid de actuele updatestatus van alle apparaten die hotpatch ontvangen, en is daarmee de plek om na mei te controleren of de wijziging het beoogde effect heeft.
Bronnen
- MC1248388 – Plan for Change: Windows Autopatch is enabling hotpatch updates by default (Message Center, 10 maart 2026)
- Hotpatch updates – Windows Autopatch (Microsoft Learn)
