Windows Update אחרי ש-WSUS הפך ל-deprecated — איך בוחרים בין WUfB, Autopatch ו-Intune

“שמעתי ש-WSUS הפך ל-deprecated. עד מתי שרת ה-WSUS שלנו יעבוד?” “במועד החלפת השרת, לבנות מחדש גם WSUS או להפסיק?” “מלכתחילה אין לנו WSUS ושום דבר, ומשאירים ל-Windows Update בכל מחשב. זה בסדר?” — בתוך ייעוץ על טיפול בסיום התמיכה ב-Windows 10, השאלות האלה מגיעות יותר ויותר כחבילה.

בספטמבר 2024 הכריזה Microsoft ש-WSUS (Windows Server Update Services) הוא deprecated. המילה “deprecated” קלה לאי-הבנה: אין צורך להיבהל ולחשוב ש”כבר אי אפשר להשתמש”, וגם אין להתעלם ב”עדיין רץ אז לא רלוונטי”. במדויק זה “לא יוצרים תכונות חדשות, אבל בינתיים זה ממשיך לרוץ”. מה שנשאל אינו מועד פירוק, אלא החלטת תכנון איפה לשים את ניהול העדכונים הבא.

המאמר הזה מיועד לאנשי IT בעסקים קטנים ובינוניים שניהלו עדכוני מחשבים פנימיים ב-WSUS (או השאירו בלי ניהול ל-Windows Update). הוא מסדר בטבלת החלטה את האפשרויות (1) להמשיך עם WSUS, (2) Windows Update for Business (WUfB), (3) Windows Autopatch, (4) ניהול ענן ב-Intune. התוכן מבוסס על מקורות ראשוניים נכון לאוגוסט 2026. כחברה ל-Custom Software Development של אפליקציות עסקיות, מוקדש גם פרק אחד להכנה מול תקלות אפליקציה שמקורן בעדכון.

1. קודם כל, המסקנות

• WSUS הוכרז כ-deprecated ב-20 בספטמבר 2024. המשמעות היא סיום פיתוח תכונות חדשות וקבלת בקשות תכונה חדשות. תכונות קיימות נשמרות, ועדכונים ממשיכים להתפרסם בערוץ WSUS.¹²
• deprecated ≠ מוות מיידי. גם ב-Windows Server 2025 תפקיד WSUS מובנה, ותמיכה ועדכוני אבטחה ואיכות בסביבת production ממשיכים לפי מחזור החיים של המוצר. תאריך מחיקה לא פורסם.³²
• Driver sync תוכנן פעם להסתיים ב-18 באפריל 2025, ובוטל ב-4 באפריל 2025. הסיבה הייתה משוב מארגונים בסביבות מנותקות (רשת סגורה), וה-sync נמשך גם כעת.⁴⁵
• היורש המוביל הוא WUfB. השם הרשמי כעת הוא Windows Update client policies, ובמהדורות מסוג Pro, Education ו-Enterprise בלי עלות נוספת. אפשר להגדיר גם מ-GPO וגם מ-Intune, ואין צורך בשרת הפצה (Home מחוץ להיקף).⁶
• המהות של WUfB היא deferral ו-update rings. מגדירים במדיניות דחייה של quality updates עד 30 יום ו-feature updates עד 365 יום, והשהיה עד 35 יום, ובונים הפצה גלית מפיילוט לחברה כולה.⁶⁷
• לחשש מרוחב פס עונה Delivery Optimization. מנגנון שבו מחשבים באותה רשת חולקים עדכונים ב-P2P, ומופעל כברירת מחדל ב-Pro/Enterprise/Education.⁸
• Windows Autopatch הוא שירות ענן שמאוטמט מעל WUfB אישור, לוח זמנים והגנה. נכון ל-2026 אפשר להשתמש גם ב-Microsoft 365 Business Premium, בהנחת Entra ID P1/P2 ו-Intune.⁹
• ברשת סגורה או offline, WSUS עדיין הפתרון המציאותי. אבל שמים קו “ממשיכים להשתמש, אבל לא משקיעים חדש”, ושוזרים אותו ב-inventory של הנכסים ובתכנון העתידי.²⁵

ב-diagram, solid line מציינת relation שתמיד מתקיים ו-dashed line מציינת relation מותנה (התנאים מופיעים בהסבר של כל relation ב-detail page). הרשימה המלאה של ה-relations (סה”כ 36, כולל evidence ו-certainty) וההגדרות של ה-concepts המרכזיים נמצאות ב-detail page של ה-knowledge map (ביפנית). Data: JSON-LD / Turtle

2. מה קרה ל-WSUS — המשמעות המדויקת של “deprecated”

קודם תופסים את העובדות בציר זמן.

• יוני 2024: הודעה מוקדמת ש-driver sync של WSUS יסתיים ב-18 באפריל 2025.⁴
• 20 בספטמבר 2024: ב-Windows IT Pro Blog מכריזים ש-WSUS עצמו deprecated. מפסיקים פיתוח תכונות חדשות ואינם מקבלים בקשות תכונה חדשות. אבל מצהירים במפורש שתכונות קיימות נשמרות, ופרסום עדכונים בערוץ WSUS ותמיכה בתוכן שפורסם נמשכים.¹
• 4 באפריל 2025: מבטלים את הודעת הסיום של driver sync. בעקבות משוב מארגונים שמפעילים בסביבה מנותקת (רשת סגורה), מכריזים על המשך driver sync מ-Windows Update / מקטלוג Microsoft Update.⁵

התיעוד הנוכחי ב-Microsoft Learn מתאר את מצב WSUS כ-“deprecated ותכונות חדשות לא יתווספו, אבל התמיכה בסביבת production נמשכת, ומקבלים עדכוני אבטחה ו-quality updates לפי מחזור החיים של המוצר”.² וברשימת התכונות ה-deprecated של Windows Server 2025, WSUS מופיע, אבל גם שם ההגדרה היא “רכיב deprecated ממשיך להיות כלול ב-Windows Server ונתמך בפריסת production”. בפועל גם ב-Windows Server 2025 יש תפקיד WSUS, וכתוב ש”תכונות ותוכן קיימים ממשיכים להיות זמינים”.³

כלומר המציאות נכון לאוגוסט 2026 היא שגם sync וגם הפצה לא נעצרו. מצד שני יש תנועה היקפית שכדאי לשים לב אליה. גם Windows Internal Database (WID), מסד הנתונים ש-WSUS משתמש בו כברירת מחדל, צוין ב-Windows Server 2025 כ-deprecated ומתוכנן למחיקה בעתיד.³ ייתכן שהנחות התאימות יתחילו להתפרק מהרגליים לפני הגוף.

הקו המעשי שנגזר מכאן ברור. אין צורך להיבהל בהנחה ש”מחר נעצר”, אבל לא עושים השקעה חדשה שממרכזת WSUS (החלפת שרת, הוספת replica, התאמה עמוקה). מועד החלפת השרת הופך למועד טבעי לבחינה מחדש של ניהול העדכונים.

3. תמונת האפשרויות — מיקום ארבעת הנתיבים

כשחושבים על “הבא אחרי WSUS”, האפשרויות נוטות להתערבב בתפקידים שונים. קודם מסדרים.

כפי שרואים, WUfB, Autopatch ו-Intune אינם אפשרויות מתנגשות אלא שכבות. בבסיס קבוצת מדיניות WUfB; לכתוב אותה ב-GPO זה “WUfB לבד”; לכתוב אותה ב-update ring של Intune זה “ניהול Intune”; ולהשאיר לשירות גם אישור, לוח זמנים והשהיית הרחבה זה “Autopatch”. בפועל Microsoft ממקמת את Autopatch כ-“שירות ענן שפועל בשילוב עם WUfB (Windows Update client policies)”.⁶

flowchart TB
    accTitle: שכבות WUfB, Autopatch ו-Intune
    accDescr: Windows Autopatch נשען על קבוצת מדיניות WUfB, ו-GPO ו-update ring של Intune הן שתי צורות כתיבה אל WUfB
    AP["Windows Autopatch<br/>אוטומציה עד הרכבת rings, ניטור הרחבה והחלטת עצירה"] --> WUFB
    WUFB["קבוצת מדיניות WUfB (deferral, השהיה, מועד)<br/>= Windows Update client policies"] --> WU["הפצה ישירה מ-Windows Update<br/>(בלי שרת הפצה)"]
    GPO["תצורה ב-GPO<br/>(AD מקומי)"] -.->|"צורת כתיבה 1"| WUFB
    INTUNE["תצורה ב-update ring של Intune<br/>(ניהול ענן)"] -.->|"צורת כתיבה 2"| WUFB

איור 1: קבוצת מדיניות WUfB היא היסוד; GPO או Intune כותבים אותה, ו-Autopatch מאוטמט את התפעול מעליה.

לכן את ההחלטה של עסק קטן-בינוני אפשר לפרק בפועל לשני שלבים. (1) האם להעביר את ההפצה מ-WSUS להפצה ישירה מ-Windows Update. (2) האם מקום המדיניות נשאר AD מקומי (GPO) או עולה ל-Intune. בחברה שממשיכה תפעול GPO ב-AD מקומי, להתקדם קודם רק ב-(1) — כלומר להגדיר WUfB ב-GPO — הוא הנתיב הרציף ביותר.

שימו לב שניהול העדכונים של Windows Server עצמו, ש-WSUS כיסה, הוא בעיה נפרדת. Windows Server אינו מקבל feature updates מ-Windows Update, ולכן מדיניות WUfB חלה רק על quality updates.⁷ בעסק קטן-בינוני עם מעט שרתים, המציאותי הוא להשאיר שרתים ב-WSUS או בתפעול ידני, ולהעביר קודם מחשבי לקוח להפצת ענן.

4. Windows Update for Business — היורש בלי עלות נוספת

אם אומרים את מנגנון WUfB במשפט אחד: “בלי שרת הפצה, לאלף במדיניות את ההפצה הישירה מ-Windows Update”.

• מהדורות יעד: Pro (כולל Pro for Workstations), Education ו-Enterprise (כולל LTSC ו-IoT Enterprise) של Windows 10/11. Home מחוץ להיקף. אין עלות נוספת.⁶
• אמצעי הגדרה: תמיכה גם ב-Group Policy וגם ב-MDM (Intune וכו’). מקום ה-GPO הוא תחת Computer Configuration\Administrative Templates\Windows Components\Windows Update, לדחיית quality updates מתאימה המדיניות “Select when Quality Updates are received”, ולדחיית feature updates “Select when Preview Builds and feature updates are received”. ב-Intune/MDM משתמשים ב-Policy CSP כמו Update/DeferQualityUpdatesPeriodInDays.⁷
• מספר ימי deferral: quality updates (בעיקר יום שלישי השני בחודש) עד 30 יום, feature updates (שנתיים) עד 365 יום. בנוסף, השהיה עד 35 יום שעוצרת הפצה כשמתעוררת בעיה (מחושב מתאריך ההתחלה, ובפקיעה מתחדש אוטומטית).⁶⁷
• סוגי עדכון שאפשר לכלול: מלבד feature updates ו-quality updates, אפשר לשלוט ב-driver updates (מופעל כברירת מחדל; אפשר להחריג ב-ExcludeWUDriversInQualityUpdate) ובעדכוני מוצרי Microsoft אחרים כמו Office (כבוי כברירת מחדל; מפעילים ב-AllowMUUpdateService).⁷
• מועד וחסד: מלבד deferral, יש מדיניות compliance deadline + grace period שקובעת תוך כמה ימים מהפרסום להתקין, ותוך כמה ימים אחרי ההתקנה להפעיל מחדש. כאן התשובה ל-“מחשב שלא עושה restart לעולם”.⁶

חשיבת תכנון rings

מה שמקביל ל-“אישור” ב-WSUS הוא rings (גלים) עם ימי deferral שונים. Microsoft עצמה מניחה שימוש שיוצרים קבוצות עם תקופות deferral שונות, מאשרים איכות בקבוצה קטנה ואז מרחיבים לכולם.⁷ למשל שלושת ה-rings האלה הם נקודת מוצא.

בניגוד ל-WSUS שבו “בלי ללחוץ על כפתור האישור זה לא מופץ”, WUfB הוא מנגנון שאם משאירים, זה מופץ לפי המועד. הדרך המהירה להבין היא שמרכז הניהול עובר מ”עבודת ההפצה” ל”החלטת העצירה”.

flowchart LR
    accTitle: שלושה update rings עם ימי deferral שונים
    accDescr: אחרי פרסום העדכון מרחיבים את ה-deferral בפיילוט, במובילים ובחברה כולה, ואם מתעוררת בעיה עוצרים בהשהיה את ההרחבה לחברה כולה
    PUB["פרסום עדכון<br/>(quality update חודשי וכו')"] --> P["פיילוט<br/>deferral 0-3 ימים"]
    P -- "אין בעיה" --> S["מובילים<br/>deferral בסביבות 7 ימים"]
    S -- "אין בעיה" --> A["החברה כולה<br/>deferral בסביבות 14 ימים"]
    P -- "יש בעיה" --> PAUSE["עוצרים את ההרחבה לחברה כולה<br/>בהשהיה (עד 35 יום)"]
    S -- "יש בעיה" --> PAUSE
    PAUSE --> FIX["isolation: תיקון אפליקציה<br/>או החרגה בצד המדיניות"]
    FIX --> RESUME["אחרי פתרון, חידוש"]

איור 2: גל מהפיילוט עד החברה כולה; כשיש בעיה עוצרים בהשהיה את ההרחבה, ואחרי התיקון מחדשים.

לחשש מרוחב פס עונה Delivery Optimization

אם מפסיקים WSUS, כל המחשבים מביאים עדכונים מהאינטרנט, ולכן יש חשש לקו באתר. לזה עונה Delivery Optimization. מנגנון שבו מחשבים באותה רשת חולקים ב-P2P חבילות עדכון שכבר הורדו, וב-Pro, Enterprise ו-Education שיתוף peers ברשת המקומית מופעל כברירת מחדל. היעד רחב: feature, quality ו-driver updates של Windows Update, אפליקציות החנות, עדכוני הגדרות Microsoft Defender, Microsoft 365 Apps ועוד.⁸ בהרחבה הפנימית של Microsoft דווח שיותר מ-76% מהתוכן הגיע מ-peers ולא מהאינטרנט.⁸ אם רוצים לצמצם עוד, יש גם אפשרות Microsoft Connected Cache — שרת cache ייעודי.⁸

5. Windows Autopatch — להוציא החוצה את “תפעול העדכון עצמו”

גם אחרי שמגדירים WUfB, תכנון rings, ניטור מצב הרחבה והחלטת עצירה כשמתעוררת בעיה נשארים כעבודה שלכם. את חלק התפעול הזה משאירים לשירות ב-Windows Autopatch, שמאוטמט אישור, לוח זמנים והגנה (שליטה בהרחבה בזיהוי בעיה) של עדכונים שמופצים מ-Windows Update.⁶ התוכן העיקרי הוא הרכבה אוטומטית של קבוצות Autopatch ו-update rings, ניהול הרחבת quality, feature ו-driver/firmware updates, ודוחות מצב הרחבה.⁹

התנאים הנחוצים נכון ל-2026:⁹

• רישיון: אחד מ-Microsoft 365 Business Premium, Windows 10/11 Education A3/A5, Windows 10/11 Enterprise E3/E5 (כלול ב-Microsoft 365 F3/E3/E5), או Enterprise E3/E5 VDA. זה כבר לא מוגבל ל-E3 כמו פעם, אבל יש הבדל בתכונות לפי רצועת רישיון, ובקשת תמיכה מ-Microsoft זמינה רק ב-E3 ומעלה וב-F3.
• תשתית: נחוצים Microsoft Entra ID P1/P2 ו-Microsoft Intune. המכשירים הם מחשבים בבעלות החברה הרשומים ב-Intune (co-management עם ConfigMgr גם אפשרי), וחייבים לתקשר עם Intune ב-28 הימים האחרונים. בסביבת AD מקומי בלבד אי אפשר להשתמש (hybrid join ל-Entra אפשרי).
• מערכות יעד: מהדורות מסוג Pro, Education ו-Enterprise של Windows 10/11, ערוץ General Availability (GA). LTSC תומך רק בניהול quality updates.

את המציאות לעסק קטן-בינוני אפשר לסדר כך. אם כבר משתמשים ב-Business Premium ומנהלים מחשבים ב-Intune (או עומדים לנהל), Autopatch הוא “גג שעולה בלי עלות נוספת”. ולהפך, לחברה שמסתובבת רק ב-AD מקומי וב-GPO, הטמעת Autopatch = פרויקט מעבר ל-Entra ID+Intune, וזה לא בסדר גודל שדורכים בו רק בשביל ניהול עדכונים. במקרה הזה הסדר הטבעי הוא קודם לעבור ל-WUfB ב-GPO, וכשיגיע יום המעבר לניהול ענן לשקול Autopatch.

6. טבלת החלטה — איזו חברה בוחרת במה

מרכזים עד כאן לדף אחד. קודם מאשרים את הפיצול הגדול בזרימה, ואת הפרטים ממלאים בטבלה.

flowchart TB
    accTitle: פיצול הבחירה בין WSUS, WUfB ו-Autopatch
    accDescr: ברשת סגורה ממשיכים ב-WSUS, ב-AD מקומי מגדירים WUfB ב-GPO, בניהול Intune עם רישיון יעד בוחרים Autopatch, ובלי הרישיון בוחרים update ring של Intune
    Q1{"רשת סגורה או offline"} -- "כן" --> WSUS["המשך WSUS<br/>חריג מנוהל עם inventory + מועד בחינה מחדש"]
    Q1 -- "לא" --> Q2{"האם מנהלים מחשבים ב-Intune<br/>(או מתוכנן מעבר)"}
    Q2 -- "לא (AD מקומי + GPO)" --> GPO["מגדירים WUfB ב-GPO<br/>בלי עלות נוספת, הנתיב הרציף ביותר"]
    Q2 -- "כן" --> Q3{"יש רישיון Business Premium<br/>או E3 ומעלה"}
    Q3 -- "יש" --> AP["Windows Autopatch"]
    Q3 -- "אין" --> RING["update ring של Intune (WUfB)"]

איור 3: ברשת סגורה ממשיכים ב-WSUS; אחרת זמינות Intune והרישיון קובעים WUfB או Autopatch.

שתי נקודות זהירות. ראשית, אם מעורבת מהדורת Home אי אפשר לעלות לזירה של WUfB.⁶ בעסק קטן לא נדיר מחשב ש”נשאר Home כמו שנקנה”, והעבודה הראשונה בתכנון המעבר היא בפועל inventory של editions. שנית, ההחלטה להשאיר WSUS סגור “סבירה בהסתכלות הוגנת”, אבל העובדה שהוא deprecated לא משתנה. כמו בתפעול מבודד של Windows 10 שתם תמיכתו, רק כששמים ב-inventory וחותכים מועד בחינה מחדש זה הופך לחריג מנוהל.

7. מעבר בפועל — שלד ההעברה מ-WSUS ל-WUfB

הנקודה הטכנית שהכי קל להיתקע בה במעבר מ-WSUS ל-WUfB היא ערבוב מדיניות ישנה וחדשה. קודם מציגים את הזרימה הכללית.

flowchart TB
    accTitle: הליך המעבר מ-WSUS ל-WUfB
    accDescr: עושים inventory לכל ה-GPO, מציינים מקור ב-scan source policy, קובעים deferral של feature update וגרסת יעד, מחליפים לפי סדר הפיילוט, ולבסוף מקפלים את WSUS
    A["1. inventory של מדיניות בכל ה-GPO<br/>(ציון WSUS, עדכון אוטומטי, deferral)"] --> B["2-3. ב-scan source policy<br/>מציינים מקור לפי סוג עדכון"]
    B --> C["4. מציינים deferral של feature update וגרסת<br/>יעד (מניעת שדרוג Windows 11 בטעות)"]
    C --> D["5. מהפיילוט מסירים ציון WSUS ומחילים<br/>מדיניות WUfB (מקביליות 1-2 חודשים)"]
    D --> E["6. אחרי מעבר כל המחשבים צופים מחזור אחד<br/>ואז מקפלים את שרת WSUS (סגור — ל-inventory)"]

איור 4: inventory של מדיניות → ציון scan source → שליטה ב-feature updates → מקביליות ב-rings → קיפול שרת WSUS.

פירוט השלבים:

1. עושים inventory למדיניות הקיימת. מכל ה-GPO שולפים שלושה סוגים: ציון שרת WSUS (מיקום שירות העדכון באינטראנט), תצורת עדכון אוטומטי, ומדיניות deferral שהוכנסה בעבר.
2. מכירים את מלכודת dual scan. ב-Windows 10, כשציון שרת WSUS ומדיניות deferral יושבים יחד, יעד ה-scan עובר ל-Windows Update (מה שנקרא dual scan), והמדיניות הישנה שדיכאה זאת אינה נתמכת ב-Windows 11.¹⁰
3. מציינים ב-scan source policy. הגישה הנכונה כעת היא “Specify source service for specific classes of Windows Updates” תחת Computer Configuration\Administrative Templates\Windows Components\Windows Update\Manage updates offered from Windows Server Update Service, שבה לכל אחת מארבע הקטגוריות — feature updates, quality updates, drivers ומוצרי Microsoft אחרים — מציינים אם המקור הוא WSUS או Windows Update (ב-MDM מגדירים את כל ארבע המדיניות של SetPolicyDrivenUpdateSourceFor～). Microsoft עצמה ממליצה בתקופת מעבר מניהול מקומי לענן על מעבר מדורג כמו “קודם רק drivers לענן”.¹⁰
4. זהירות משדרוג Windows 11 בלתי צפוי. אם משאירים תצורת WSUS בלי להגדיר scan source או מדיניות הצעה ל-feature updates, כשהמשתמש לוחץ על “Check online for updates from Microsoft Update” עלול להופיע שדרוג ל-Windows 11.¹⁰ דווקא בתקופת מעבר מציינים במפורש deferral של feature updates (עד 365 יום) או גרסת יעד.
5. יוצרים rings ומעבירים. מכינים את שלושת ה-rings מפרק 4, ומה-OU/קבוצה של הפיילוט מסירים לפי הסדר את ציון WSUS ומחילים מדיניות WUfB. בתקופת מקביליות של 1-2 חודשים מאשרים את יעילות Delivery Optimization (שיעור הבאה מ-peers) ואת עומס הקו, ואז מרחיבים לחברה כולה.
6. מקפלים את שרת WSUS. אחרי מעבר כל הלקוחות לא מוחקים את השרת מיד, אלא צופים מחזור אחד (חודש) ואז עוצרים. אם משאירים לרשת סגורה, מצמצמים את התפקיד לשם ורושמים ב-inventory.

8. מבט מצד האפליקציה העסקית — כדי שהעדכון לא יעצור את העבודה

מעמדת Custom Software Development, מה שרוצים באמת לשמור בשינוי שיטת ניהול העדכונים אינו רק ש”הטלאי יישב”, אלא שגם אחרי שהטלאי יישב האפליקציה העסקית תמשיך לרוץ. גם ב”עשרת האיומים הגדולים באבטחת מידע” של IPA, החלת תוכניות תיקון ממשיכה להופיע בראש הטיפולים הבסיסיים (“איך להסתכל על עשרת האיומים הגדולים באבטחת מידע 2026”). מנגנון שלא עוצר החלה, והכנה שלא נשברת בהחלה, הם שני גלגלים.

• שמים ב-ring הפיילוט בהכרח “מחשב נציג של האפליקציה העסקית”. בוחרים מחשב אחד לכל תצורה שונה — גרסת Office, כלי טפסים, חיבור למכשיר — ומאשרים שאחרי העדכון העבודה עושה סיבוב שלם. ה-ring אינו רק בשביל צוות IT; הוא גם מנגנון אימות אפליקציה.
• מתכננים ומפעילים אפליקציה שעומדת ב-restart. סגירת העדכון תמיד restart. מנגנון החלפת קובץ שבשימוש והפעלה מחדש אוטומטית של האפליקציה מטופל ב”Restart Manager ובעיית “הקובץ בשימוש” בעדכון אוטומטי”, ואת הקשר בין עדכון לילי לאפליקציה תושבת ולאפליקציה שרצה זמן ארוך מטפל “sleep, hibernation, Modern Standby ואפליקציות long-running”.
• בודקים מחדש יחד גם את הפצת העדכונים בצד האפליקציה. אם מקרבים עדכון מערכת להפצת ענן, זו גם הזדמנות לקרב הפצת אפליקציה עסקית וכלים נלווים מעבודה ידנית לסקריפט ולניהול חבילות. אוטומציית התקנה עם winget מרוכזת ב”אוטומציית PC kitting עם winget ו-PowerShell”.
• מקבעים מראש הליך isolation ל-“אחרי עדכון זה לא רץ”. עוצרים את ההרחבה לחברה כולה בהשהיה (עד 35 יום), משחזרים במחשב הפיילוט, ומחליטים אם זה תיקון בצד האפליקציה או החרגה בצד המדיניות (החרגת driver וכו’) — אם הזרימה קבועה מראש, ביום התקלה לא מתבלבלים.

9. סיכום

• ה-deprecation של WSUS (הכרזה ב-20 בספטמבר 2024) הוא “סיום פיתוח תכונות חדשות”, ו-sync והפצה רצים גם נכון לאוגוסט 2026. גם driver sync נמשך אחרי הביטול. אין צורך להיבהל, אבל זה הזמן להפסיק השקעה חדשה ב-WSUS.
• היורש המוביל הוא WUfB (Windows Update client policies) בלי עלות נוספת. מגדירים ב-GPO או ב-Intune deferral של 30 יום ל-quality updates ו-365 יום ל-feature updates, והשהיה של 35 יום, ומפיצים בגלים ב-rings. מהדורת Home מחוץ להיקף.
• לבעיית רוחב הפס עונה Delivery Optimization (שיתוף P2P שמופעל כברירת מחדל). גם בלי שרת ההפצה של WSUS, הקו מוגן יותר ממה שחשבתם.
• Autopatch הוא אוטומציית התפעול של WUfB. הוא הפך לזמין גם ב-Business Premium, אבל מניח Entra ID+Intune, ולחברה עם AD מקומי בלבד זו אפשרות רחוקה. WUfB ב-GPO הוא הצעד הראשון הרציף.
• הגבעה הטכנית במעבר היא סידור ערבוב המדיניות. מציינים מקור לפי סוג עדכון ב-scan source policy, ומעבירים בהדרגה.
• ברשת סגורה WSUS עדיין הפתרון המציאותי. אבל משאירים אותו כ-“חריג מנוהל” עם inventory ומועד בחינה מחדש כחבילה.
• מטרת ניהול העדכונים אינה שיעור החלה אלא המשכיות העסק. רק כששמים ב-ring הפיילוט מחשב נציג של האפליקציה העסקית, וכוללים תכנון ותפעול שעומדים ב-restart — זה שלם.

מאמרים קשורים

• הפתרון המציאותי אחרי סיום התמיכה ב-Windows 10 — טבלת החלטה ESU, LTSC והחלפה
• עשרת האיומים הגדולים באבטחת מידע 2026 — איך להסתכל על הדירוג, ומה עסק קטן באמת צריך לטפל
• איך מחליפים exe/DLL שבשימוש — Restart Manager ובעיית “הקובץ בשימוש” בעדכון אוטומטי
• אוטומציית PC kitting עם winget + PowerShell — הפיכת ספר הריצה לניתן-להרצה
• sleep, hibernation, Modern Standby ואפליקציות long-running — למנוע בתכנון “בלילה זה עמד”
• הארכת חיים ומעבר של אפליקציות עסקיות ב-VB6 / Access — טבלת החלטה להשאיר, לעטוף, להחליף

תחומי ייעוץ קשורים

KomuraSoft LLC מטפלת בחקירת תקלות באפליקציה עסקית בעקבות החלת Windows Update, בתכנון אפליקציה שעומדת בעדכון וב-restart (תמיכה ב-Restart Manager, הפעלה מחדש אוטומטית), ובארגון סקריפטי אוטומציה לתפעול מחשבים פנימיים — ייעוץ טכני ב”צד האפליקציה” של ניהול עדכונים. אפשר להתייעץ כבר מהשלב “בכל עדכון האפליקציה ההיא מדאיגה”.

• שינוי ותחזוקה של תוכנה קיימת ל-Windows
• חקירת תקלות ואיתור גורמים
• ייעוץ טכני וסקירת תכנון
• יצירת קשר

מקורות

מאמרים קשורים

מאמרים עדכניים עם אותן תגיות, להעמקה בנושאים קרובים.

נושאים קשורים

העמודים האלה ממקמים את הנושא בהקשר רחב יותר של שירותים והחלטות.

שאלות נפוצות

שאלות נפוצות בפניות בנושא המאמר.

עד מתי אפשר להשתמש ב-WSUS?

תאריך סיום לא פורסם. הכרזת ה-deprecation ב-20 בספטמבר 2024 פירושה שמפסיקים פיתוח תכונות חדשות וקבלת בקשות תכונה חדשות. תכונות קיימות נשמרות, ועדכונים ממשיכים להתפרסם בערוץ WSUS. גם ב-Windows Server 2025 תפקיד WSUS מובנה, ותמיכה ועדכוני אבטחה ואיכות בסביבת production ממשיכים לפי מחזור החיים של המוצר. נכון לאוגוסט 2026, sync והפצה פועלים כרגיל. תכונות חדשות לא יתווספו גם בהמשך, ולכן הקו המציאותי הוא: אפשר להמשיך להשתמש, אבל לא להשקיע חדש.

יש עלות נוספת ל-Windows Update for Business (WUfB)?

אין. WUfB (השם הרשמי כעת הוא Windows Update client policies) היא תכונה בלי עלות נוספת במהדורות Pro (כולל Pro for Workstations), Education ו-Enterprise (כולל LTSC ו-IoT Enterprise) של Windows 10/11. Home מחוץ להיקף. אפשר להגדיר גם מ-Group Policy וגם מ-MDM (Intune וכו'), לדחות quality updates עד 30 יום ו-feature updates עד 365 יום, ולהשהות עד 35 יום. אין צורך בשרת הפצה כמו WSUS; העדכונים עצמם מגיעים ישירות מ-Windows Update.

איזה רישיון נחוץ ל-Windows Autopatch?

בדרישות נכון ל-2026 אפשר להשתמש עם אחד מאלה: Microsoft 365 Business Premium, Windows 10/11 Education A3/A5 (כלול ב-Microsoft 365 A3/A5), Windows 10/11 Enterprise E3/E5 (כלול ב-Microsoft 365 F3/E3/E5), או Enterprise E3/E5 VDA. בעבר הניחו Enterprise E3 ומעלה, אבל כעת גם ב-Business Premium זמינות תכונות ליבה כמו ניהול update rings ו-quality, feature ו-driver updates (בקשת תמיכה מ-Microsoft זמינה רק ב-E3 ומעלה וב-F3). בנוסף נחוצים Microsoft Entra ID P1/P2 ו-Microsoft Intune, ומכשירי היעד צריכים להיות מחשבים בבעלות החברה שרשומים ב-Intune.

מה קורה אם מערבבים מדיניות deferral של WUfB במחשב בניהול WSUS?

ב-Windows 10, כשיש גם ציון שרת WSUS וגם מדיניות deferral, יעד ה-scan עובר ל-Windows Update — ההתנהגות שנקראת dual scan — ועדכון עלול להיכנס בלי לעבור באישור WSUS. המדיניות הישנה ששלטה בזה (Do not allow update deferral policies to cause scans against Windows Update) אינה נתמכת ב-Windows 11. הגישה הנכונה כעת היא scan source policy (Specify source service for specific classes of Windows Updates), שבה מציינים במפורש לכל אחת מארבע הקטגוריות — feature updates, quality updates, drivers ומוצרים אחרים — אם המקור הוא WSUS או Windows Update. בתקופת מעבר קל לעשות מעבר מדורג כמו "רק drivers לענן".

מה עושים עם מחשב ברשת סגורה בלי יציאה לאינטרנט?

ברשת סגורה או offline, כולל sync לא מקוון בייצוא/ייבוא, WSUS נשאר הפתרון המציאותי. WUfB ו-Autopatch מניחים ענן גם בהפצה וגם בניהול (שירות Windows Update ו-Intune), ולכן מלכתחילה אינם מתקיימים. Microsoft עצמה, בעקבות משוב מסביבות מנותקות, חזרה בה ב-4 באפריל 2025 מסיום ה-driver sync של WSUS שתוכנן ל-18 באפריל 2025, והכריזה על המשך. WSUS ברשת סגורה הוא "WSUS שמותר להשאיר", אבל העובדה שהוא deprecated לא משתנה, ולכן כדאי לשים אותו ב-inventory ולהתכונן לשינוי תצורה בעתיד.

פרופיל הכותב

עמוד היכרות עם כותב המאמר.

Go Komura

מנהל KomuraSoft LLC

מתמחה בפיתוח תוכנה עבור Windows, ייעוץ טכני וחקירת תקלות, בעיקר בפרויקטים עם מערכות קיימות ובאגים שקשה לשחזר.