Op 10 maart 2026 publiceerde Microsoft in het Message Center bericht MC1248388 met de titel "Plan for Change: Windows Autopatch is enabling hotpatch updates by default". Een dag eerder verscheen de bijbehorende toelichting op het Windows IT Pro Blog. De kern: vanaf de beveiligingsupdate van mei 2026 schakelt Windows Autopatch hotpatch-updates standaard in voor alle Intune-apparaten die aan de voorwaarden voldoen. Organisaties die dat niet willen, krijgen op of kort na 1 april 2026 een tenant-instelling om dit uit te zetten. Dit artikel beschrijft wat hotpatch is, hoe de releasecyclus werkt, welke voorwaarden gelden en hoe de wijziging in Intune is ingericht.
De aankondiging
Tot nu toe was hotpatch een optie die beheerders bewust aanzetten in een Windows quality update-beleid. Microsoft draait dat om. De motivatie in het bericht is kort: hotpatch-updates zijn volgens Microsoft "de snelste manier om veilig te worden", omdat de beveiligingsupdate direct actief is zonder dat de gebruiker hoeft te herstarten. Microsoft stelt dat dit gemiddeld drie tot vijf dagen scheelt ten opzichte van een reguliere update, waarbij de herstart doorgaans wordt uitgesteld. In de blogpost onderbouwt Microsoft dat met cijfers van vier bedrijven met 30.000 tot 70.000 apparaten, die 90 procent patch-compliance in de helft van de eerdere tijd haalden, en noemt meer dan 10 miljoen productieapparaten die hotpatch-updates ontvangen.
De wijziging geldt voor het gebruik van Windows Autopatch via Microsoft Intune én via de Windows updates API in Microsoft Graph. De tijdlijn in twee stappen:
| Moment | Wat er gebeurt |
|---|---|
| 1 april 2026 (of kort daarna) | Een tenant-instelling om hotpatch-updates uit te zetten wordt beschikbaar in Windows Autopatch |
| Beveiligingsupdate van mei 2026 | Hotpatch staat standaard aan voor alle geschikte Intune-apparaten |
Omdat april een baseline-maand is, worden volgens Microsoft vóór 11 mei 2026 geen hotpatch-updates uitgerold. Een apparaat dat aan de voorwaarden voldoet en de beveiligingsupdate van april 2026 (een baseline-update) heeft geïnstalleerd, krijgt met de update van mei zijn eerste hotpatch-update.
Voor organisaties die Windows Autopatch al gebruiken, is volgens Microsoft geen actie nodig om hotpatch standaard aan te krijgen. Microsoft adviseert hotpatch aan te laten en het aantal geschikte apparaten te vergroten, met als meest voorkomende stap het inschakelen van Virtualization-based Security (VBS) op x86-apparaten.
Hoe hotpatch werkt
Hotpatch-updates zijn de maandelijkse B-release beveiligingsupdates, geleverd in een vorm die wordt geïnstalleerd en actief wordt zonder herstart. Hotpatch is een uitbreiding van Windows Update en vereist Windows Autopatch om de updates te maken en uit te rollen naar apparaten die in een Autopatch quality update-beleid zitten.
De cyclus werkt per kwartaal. Eén maand per kwartaal is een baseline-maand: dan komt een standaard cumulatieve update met alle beveiligingsfixes, nieuwe functies en verbeteringen, en is een herstart nodig. De twee maanden daarna zijn hotpatch-maanden: alleen beveiligingsupdates, zonder herstart.
| Kwartaal | Baseline (herstart nodig) | Hotpatch (geen herstart) |
|---|---|---|
| 1 | januari | februari en maart |
| 2 | april | mei en juni |
| 3 | juli | augustus en september |
| 4 | oktober | november en december |
Drie nuances uit de documentatie. Ten eerste kan Microsoft om veiligheidsredenen incidenteel een extra baseline-update buiten het kwartaalschema uitbrengen; het geplande schema verschuift daardoor niet. Ten tweede: een apparaat dat in een hotpatch-maand nog niet op de laatste baseline staat, krijgt dan zowel de baseline-update (met herstart) als de hotpatch-update. Ten derde telt het moment van een versie-upgrade mee: wie een hotpatch-apparaat in een baseline-maand naar een nieuwere Windows 11-versie brengt, blijft in de hotpatch-cyclus; gebeurt dat in een hotpatch-maand, dan schakelt het apparaat tijdelijk over op standaardupdates met herstart, tot de volgende baseline.
Het hotpatch-pakket is aanzienlijk kleiner dan een standaard cumulatieve update, waardoor de installatie sneller is en minder bandbreedte kost. Bestaande update rings blijven ongemoeid: de deferral- en active hours-instellingen blijven gelden naast het hotpatch-beleid.
Voorwaarden
Een apparaat komt in aanmerking voor hotpatch-updates als het aan alle volgende voorwaarden voldoet:
- Licentie: Windows 11 Enterprise E3 of E5, Microsoft 365 F3, Windows 11 Education A3 of A5, Microsoft 365 Business Premium of Windows 365 Enterprise.
- Windows-versie: Windows 11, versie 24H2 of later.
- Baseline: het apparaat staat op de laatste baseline-release.
- VBS: Virtualization-based Security is ingeschakeld. Dit is nodig voor de werking van de hotpatch-installer. VBS kan via de CSP VirtualizationBasedTechnology worden geconfigureerd.
- Beleid: een Windows quality update-beleid in Intune waarin de instelling "When available, apply without restarting the device ("Hotpatch")" op Allow staat, of (vanaf april) de tenant-standaard.
Apparaten die niet aan een of meer voorwaarden voldoen, krijgen automatisch de reguliere Latest Cumulative Update (LCU), met herstart. De instellingen van de update ring blijven daarbij ongewijzigd. De ineligibiliteit kan tijdelijk zijn, bijvoorbeeld omdat VBS nog niet actief is of het apparaat nog niet op de laatste baseline staat. Autopatch signaleert dit onder meer via de waarschuwing "Hotpatch – VBS not running".
Standaard aan is niet hetzelfde als overal actief
De wijziging van mei 2026 zet hotpatch aan in de tenant-standaard, maar apparaten zonder VBS, zonder passende licentie of op een oudere Windows-versie blijven de gewone cumulatieve update met herstart ontvangen. Microsoft noemt VBS als de meest voorkomende ontbrekende voorwaarde.
Op een apparaat is de status te controleren via System Information, waar onder System summary het item Virtualization-based security de waarde Running moet tonen, en via Settings > Windows Update > Advanced options > Configured update policies, waar de instelling Enable hotpatching when available aangeeft dat het apparaat via Autopatch in hotpatch is ingeschreven.
Arm64: CHPE uitschakelen
Voor apparaten met een Arm64-processor geldt een extra voorwaarde. Hotpatch is niet compatibel met het servicen van CHPE-binaries (Compiled Hybrid Portable Executable) in de map %SystemRoot%\SyChpe32. CHPE versnelt 32-bits x86-applicaties op Arm64 en is alleen relevant waar 32-bits Office of andere legacy x86-software nodig is.
Om alle hotpatch-updates te kunnen toepassen, moet CHPE eenmalig worden uitgeschakeld, gevolgd door een herstart. Dat kan via de DisableCHPE-instelling in de System Policy CSP, of via de volgende registerwaarde:
Sleutel: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
Waarde: HotPatchRestrictions (DWORD) = 1
De instelling blijft behouden door updates heen. Wie later stopt met hotpatch, zet HotPatchRestrictions op 0 en herstart. Microsoft waarschuwt dat 32-bits programma's, zoals VBA-code met Declare-statements of 32-bits COM-add-ins zonder 64-bits alternatief, na het uitschakelen van CHPE kunnen falen of trager worden. Microsoft noemt als uitwegen het omzetten van de software naar 64-bits of het uitsluiten van de betreffende apparaten uit het hotpatch-beleid, en heeft geen plannen om hotpatch te ondersteunen op Arm64-apparaten met CHPE ingeschakeld.
Tenant-instelling, beleid en opt-out
De nieuwe standaard is een tenant-instelling in Windows Autopatch, te vinden onder Tenant administration > Windows Autopatch > Tenant management, tabblad Tenant settings, met de schakelaar "When available, apply updates without restarting the device ("hotpatch")" op Allow of Block. Die tenant-standaard geldt alleen voor apparaten die niet in een Windows quality update-beleid zitten. Zit een apparaat wél in zo'n beleid, dan geldt de hotpatch-instelling van dat beleid; Autopatch respecteert daarbij ook de bestaande deferral- en ring-instellingen.
Daarmee zijn er twee manieren om af te wijken van de standaard. Voor de hele tenant: de tenant-instelling op Block. Voor een groep apparaten: een Windows quality update-beleid (Devices > Manage updates > Windows updates, tabblad Quality updates) met de hotpatch-instelling op Block en de gewenste Entra-groepen toegewezen. Het omgekeerde kan ook.
Een geïnstalleerde hotpatch-update kan niet automatisch worden teruggedraaid, maar wel worden verwijderd. Verwijderen gaat snel, maar vereist een herstart, waarna de reguliere LCU kan worden geïnstalleerd. Een ingebouwde monitorservice bewaakt de updates en logt fouten in het Application-logboek; bij een kritieke fout installeert het apparaat alsnog de standaard LCU.
Wat dit betekent voor beheer
Organisaties die Windows Autopatch gebruiken en aan de voorwaarden voldoen, zien vanaf mei 2026 in acht van de twaalf maanden geen herstartverzoek meer na de beveiligingsupdate. De vier baseline-maanden januari, april, juli en oktober blijven maanden met herstart, ook voor hotpatch-apparaten.
Welke apparaten in mei daadwerkelijk overgaan, wordt bepaald door de voorwaarden (licentie, 24H2 of later, laatste baseline, VBS, op Arm64 ook CHPE) en door de plaats van het apparaat in de beleidsstructuur: de tenant-standaard voor apparaten zonder quality update-beleid, de beleidsinstelling voor apparaten mét zo'n beleid. Apparaten met bekende 32-bits afhankelijkheden op Arm64 kunnen via een eigen beleid buiten hotpatch worden gehouden terwijl de rest van de vloot de standaard volgt.
Voor de controle vooraf en achteraf wijst Microsoft op twee rapporten in het Intune admin center. Het Hotpatch quality updates report toont per beleid welke apparaten hotpatch hebben ingeschakeld en aan de voorwaarden voldoen (kolom Hotpatch ready) en welke apparaten daadwerkelijk zijn gepatcht (kolom Hotpatched). Het Quality update status report heeft een kolom Hotpatch Readiness; daar komt een kolom Hotpatch enabled bij die per apparaat de status toont.
Bronnen
- MC1248388 – Plan for Change: Windows Autopatch is enabling hotpatch updates by default (Message Center, 10 maart 2026)
- Securing devices faster with hotpatch updates on by default (Windows IT Pro Blog, 9 maart 2026)
- Hotpatch updates – Windows Autopatch (Microsoft Learn, versie van maart 2026)
