KomuraSoft LLC
Contatti
Menu

Gestione di Windows Update dopo la deprecazione di WSUS — Come scegliere tra WUfB, Autopatch e Intune

· Aggiornato il: · · Windows Update, WSUS, Intune, Windows Autopatch, Sistemi informativi, Sicurezza, Gestione degli asset IT, PMI

«Ho sentito che WSUS è stato deprecato. Fino a quando possiamo usare il nostro server WSUS?», «Al momento di sostituire il server, dobbiamo ricostruire anche WSUS o dobbiamo abbandonarlo?», «In realtà ora non abbiamo né WSUS né altro, e lasciamo tutto a Windows Update di ciascun PC. Va bene così?» — Tra le richieste di consulenza sulla fine del supporto di Windows 10, queste domande arrivano sempre più spesso in coppia.

A settembre 2024 Microsoft ha annunciato la deprecazione di WSUS (Windows Server Update Services). Solo che la parola «deprecato» (deprecated) si presta a malintesi: non c’è bisogno di spaventarsi convinti che «non si può più usare», né di ignorarlo perché «funziona ancora, quindi non ci riguarda». In termini precisi significa «non si fanno nuove funzioni, ma per il momento continua a funzionare», e ciò che viene chiesto non è la data di rimozione, ma un giudizio di progetto su dove caricare la prossima gestione degli aggiornamenti.

Questo articolo è rivolto al personale IT delle PMI che ha gestito gli aggiornamenti dei PC interni con WSUS (o li ha lasciati senza gestione a Windows Update). Organizza in una tabella di decisione le opzioni (1) continuare con WSUS, (2) Windows Update for Business (WUfB), (3) Windows Autopatch, (4) gestione cloud con Intune. Il contenuto si basa su fonti primarie ad agosto 2026. Come azienda di sviluppo di applicazioni Windows su commissione, dedichiamo anche una sezione alla preparazione agli incidenti delle app causati dagli aggiornamenti.

1. Prima di tutto, la conclusione

  • WSUS è stato dichiarato deprecato il 20 settembre 2024. Il significato è «fine dello sviluppo di nuove funzioni e dell’accettazione di nuove richieste di funzioni». Le funzioni esistenti sono mantenute e gli aggiornamenti continuano a essere pubblicati tramite il canale WSUS.12
  • Deprecato non è morte immediata. Windows Server 2025 include ancora un ruolo WSUS, e il supporto in ambienti di produzione e gli aggiornamenti di sicurezza e qualità continuano secondo il ciclo di vita del prodotto. Non è stata annunciata una data di rimozione.32
  • La sincronizzazione dei driver era stata preannunciata come «fine il 18 aprile 2025», ma il 4 aprile 2025 è stata ritirata. Il motivo sono i feedback da ambienti disconnessi come le reti chiuse, e la sincronizzazione continua anche ora.45
  • Il successore principale è WUfB. Il nome formale attuale è Windows Update client policies; sulle edizioni Pro, Education ed Enterprise nessun costo aggiuntivo. Si configura sia da GPO sia da Intune e non serve un server di distribuzione (Home è esclusa).6
  • La sostanza di WUfB è «rinvio e anelli». Si configurano per policy rinvii fino a 30 giorni per gli aggiornamenti della qualità e fino a 365 giorni per gli aggiornamenti delle funzionalità, più pause fino a 35 giorni, e si costruisce una distribuzione a ondate pilota → tutta l’azienda.67
  • All’ansia sulla banda risponde l’Ottimizzazione recapito (Delivery Optimization). È un meccanismo con cui i PC sulla stessa rete condividono gli aggiornamenti in P2P, e su Pro/Enterprise/Education è abilitato per default.8
  • Windows Autopatch è un servizio cloud che, sopra WUfB, automatizza approvazione, pianificazione e protezione. Al 2026 è utilizzabile anche con Microsoft 365 Business Premium, e presuppone Entra ID P1/P2 e Intune.9
  • In un ambiente chiuso o offline WSUS è ancora la soluzione realistica. Tracciate però la linea «si continua a usare, ma non si fanno nuovi investimenti» e incorporatela nel registro degli asset e nel piano futuro.25

Mappa della conoscenza di questo articolo

WSUS è stato dichiarato deprecato a settembre 2024, ma sincronizzazione e distribuzione continuano a funzionare. Il successore principale è Windows Update for Business (WUfB) senza costi aggiuntivi, configurabile sia dai Criteri di gruppo sia da Intune, e come tetto che automatizza quell’operazione c’è Windows Autopatch. All’ansia sulla banda risponde l’Ottimizzazione recapito, e nelle reti chiuse WSUS resta la soluzione realistica.

Mappa della conoscenza della gestione di Windows Update dopo la deprecazione di WSUSDiagramma che mostra le relazioni tra WSUS, Windows Update for Business (WUfB), Windows Autopatch, Intune, Criteri di gruppo, Ottimizzazione recapito, rete chiusa, rinvio e pausa degli aggiornamenti della qualità e delle funzionalità, dual scan e policy della sorgente di scansione, ambito di applicazione di Home e Windows Serversuccessore diusaconfigurato daconfigurato daautomatizzarichiederichiedeusamitigamitigausausapuò causareprevieneconfigurato dapuò causaremitigausausaconfigurato daconfigurato daconfigurato damitigaincompatibile conusapuò causareconsigliato perdeve precedereconsigliato persconsigliato perconfigurato daconfigurato darichiedesconsigliato perdeve precederedeve precedereWSUSWindows Update for BusinessWindows UpdateCriteri di gruppoMicrosoft IntuneWindows AutopatchMicrosoft Entra IDAnello di aggiornamentoGuasto delle app aziendali da aggiornamentoOttimizzazione recapitoSaturazione della bandaRete chiusaWindows Internal DatabaseDual scanApplicazione non voluta di un aggiornamentoPolicy della sorgente di scansioneMicrosoft Connected CacheSincronizzazione dei driver WSUSAggiornamento della qualitàAggiornamento delle funzionalitàPausa degli aggiornamentiEdizione Windows HomeWindows ServerMigrazione da WSUSNuovi investimenti in WSUSGestione degli aggiornamentiAggiornamento dei driverScadenza di conformità e periodo di graziaLicenza di destinazione AutopatchAmbiente di piccola scala in cui di fatto non c'è un amministratoreArresto e rimozione del server WSUSInventario delle edizioni

Nel diagramma, una linea continua indica una relazione che vale sempre e una linea tratteggiata indica una relazione condizionale (le condizioni sono nella spiegazione di ciascuna relazione nella pagina di dettaglio). L’elenco completo delle relazioni (in totale 36, con evidenza e livello di certezza) e le definizioni dei concetti principali sono raccolti nella pagina di dettaglio della mappa della conoscenza (in giapponese). Dati: JSON-LD / Turtle

2. Cosa è successo a WSUS — Il significato preciso di «deprecato»

Per prima cosa fissiamo i fatti in ordine cronologico.

  • Giugno 2024: preannuncio della fine della sincronizzazione dei driver WSUS il 18 aprile 2025.4
  • 20 settembre 2024: sul Windows IT Pro Blog, annuncio della deprecazione di WSUS stesso. Si ferma lo sviluppo di nuove funzioni e non si accettano nuove richieste di funzioni. Si dichiara però esplicitamente che le funzioni esistenti sono mantenute e che continuano la pubblicazione degli aggiornamenti sul canale WSUS e il supporto dei contenuti già pubblicati.1
  • 4 aprile 2025: ritiro del preannuncio di fine della sincronizzazione dei driver. Ricevuti i feedback delle organizzazioni che operano in ambienti disconnessi (reti chiuse), si annuncia la prosecuzione della sincronizzazione dei driver da Windows Update/Microsoft Update Catalog.5

La documentazione attuale di Microsoft Learn descrive lo stato di WSUS come «deprecato e senza nuove funzioni, ma il supporto in ambienti di produzione continua e, secondo il ciclo di vita del prodotto, riceve aggiornamenti di sicurezza e qualità».2 Inoltre WSUS figura nell’elenco delle funzioni deprecate di Windows Server 2025, ma anche lì la definizione è «i componenti deprecati restano inclusi in Windows Server e sono supportati in produzione». Di fatto Windows Server 2025 ha ancora un ruolo WSUS, e si scrive che «le funzioni e i contenuti esistenti restano utilizzabili».3

Quindi la realtà ad agosto 2026 è: né la sincronizzazione né la distribuzione si sono fermate. C’è però un movimento collaterale da tenere d’occhio. Anche Windows Internal Database (WID), il database che WSUS usa per default, è dichiarato deprecato in Windows Server 2025 e previsto per una futura rimozione.3 Significa che i presupposti di compatibilità possono sgretolarsi dal telaio prima che dal corpo.

La linea pratica che se ne ricava è chiara. Non c’è bisogno di precipitarsi sul presupposto che «domani si ferma», ma non si fanno nuovi investimenti centrati su WSUS (sostituzione server, replica aggiuntiva, personalizzazioni). Il momento di sostituzione del server diventa la scadenza naturale per rivedere la gestione degli aggiornamenti.

3. Panoramica delle opzioni — Dove stanno le quattro strade

Quando si pensa al «dopo WSUS», le opzioni tendono a mescolare cose di ruolo diverso. Le organizziamo prima.

Opzione Sostanza Percorso di recapito Costo aggiuntivo Continuità rispetto all’operazione GPO di un AD on-premises
Continuare con WSUS Server on-premises di sincronizzazione e distribuzione Distribuzione dal server WSUS Costo di mantenimento del server Così com’è (status quo)
WUfB Controllo di rinvio e anelli per policy Direttamente da Windows Update Nessuno (Pro o superiore)6 Alta (si può migrare solo con GPO)7
Windows Autopatch Servizio cloud che automatizza approvazione, distribuzione e protezione degli aggiornamenti Direttamente da Windows Update Incluso nella licenza di destinazione9 Bassa (presuppone Entra ID+Intune)9
Intune (gestione cloud) Piattaforma di gestione dispositivi. Come una delle sue funzioni si configurano gli anelli di aggiornamento Direttamente da Windows Update Licenza Intune Bassa (si migra tutta la piattaforma di gestione)

Come si vede, WUfB, Autopatch e Intune non sono opzioni in conflitto ma una pila. Alla base c’è il gruppo di policy WUfB; scriverlo con GPO è «WUfB da solo», scriverlo con gli anelli di aggiornamento di Intune è «gestione Intune», e lasciare al servizio anche approvazione, pianificazione e pausa della distribuzione è «Autopatch». Di fatto Microsoft posiziona Autopatch come «servizio cloud che opera in collaborazione con WUfB (Windows Update client policies)».6

Come si sovrappongono WUfB, Autopatch e IntuneWindows Autopatch sta sul gruppo di policy WUfB, e GPO e gli anelli di aggiornamento Intune sono i due modi di scrivere WUfBprimo modo di scriverlosecondo modo di scriverloWindows Autopatchautomatizza composizione anelli, monitoraggio distribuzione, decisione di stopGruppo di policy WUfB (rinvio, pausa, scadenza)= Windows Update client policiesRecapito diretto da Windows Update(nessun server di distribuzione)Configurazione con GPO(AD on-premises)Configurazione con anelli di aggiornamento Intune(gestione cloud)

Figura 1: Il gruppo di policy WUfB è la base; GPO o Intune lo scrivono, Autopatch automatizza le operazioni sopra di esso.

Quindi il giudizio di una PMI si scompone in sostanza in due tappe. (1) Passare la distribuzione da WSUS al recapito diretto da Windows Update? (2) Lasciare il posto delle policy sull’AD on-premises (GPO) o alzarlo a Intune? Per un’azienda che continua a operare con GPO su un AD on-premises, procedere prima solo con (1) — cioè configurare WUfB con GPO — è il percorso più in continuità.

Va detto che la gestione degli aggiornamenti di Windows Server stesso, che WSUS copriva, è un problema a parte. Windows Server non riceve aggiornamenti delle funzionalità da Windows Update, quindi le policy WUfB agiscono solo sugli aggiornamenti della qualità.7 Nelle PMI con pochi server, la forma realistica è lasciare i soli server su WSUS o su un’operazione manuale, e spostare prima i PC client al recapito cloud.

4. Windows Update for Business — La scelta principale senza costi aggiuntivi

Il meccanismo di WUfB, in una frase: «non si ha un server di distribuzione, e si addomestica con le policy il recapito diretto da Windows Update».

  • Edizioni di destinazione: Windows 10/11 Pro (incluso Pro for Workstations), Education, Enterprise (inclusi LTSC e IoT Enterprise). Home è esclusa. Non ci sono costi aggiuntivi.6
  • Mezzi di impostazione: entrambi i Criteri di gruppo e MDM (Intune ecc.). Il posto GPO è sotto Configurazione computer\Modelli amministrativi\Componenti di Windows\Windows Update; al rinvio degli aggiornamenti della qualità corrisponde la policy «Select when Quality Updates are received», a quello degli aggiornamenti delle funzionalità «Select when Preview Builds and feature updates are received». In Intune/MDM si usano Policy CSP come Update/DeferQualityUpdatesPeriodInDays.7
  • Giorni di rinvio possibili: gli aggiornamenti della qualità (in genere il secondo martedì del mese) fino a 30 giorni, gli aggiornamenti delle funzionalità (annuali) fino a 365 giorni. In più, la pausa fino a 35 giorni che ferma la distribuzione quando c’è un problema (calcolata dalla data di inizio; alla scadenza riparte da sola).67
  • Tipi di aggiornamento che si possono coprire: oltre ad aggiornamenti delle funzionalità e della qualità, si possono controllare gli aggiornamenti dei driver (abilitati per default; escludibili con ExcludeWUDriversInQualityUpdate) e gli aggiornamenti di altri prodotti Microsoft come Office (disabilitati per default; si abilitano con AllowMUUpdateService).7
  • Scadenza e periodo di grazia: aparte dal rinvio, c’è una policy di scadenza di conformità + periodo di grazia che decide entro quanti giorni dalla pubblicazione installare e entro quanti giorni dall’installazione riavviare. La risposta al «PC che non riavvia mai» è qui.6

Come pensarla nella progettazione degli anelli

Ciò che in WSUS corrisponde all’«approvazione» è un anello (onda) con giorni di rinvio diversi. Microsoft stessa presuppone un uso in cui si creano gruppi con periodi di rinvio diversi, si conferma la qualità su un piccolo collettivo e poi si allarga al resto.7 Per esempio, questi tre anelli sono un punto di partenza.

Anello Destinatari Rinvio degli aggiornamenti della qualità Obiettivo
Pilota Sistemi informativi + macchine rappresentative di ciascun reparto (5–10% del totale) 0–3 giorni Verifica sul campo, app aziendali comprese
Anticipo Reparti con maggiore tolleranza all’impatto Circa 7 giorni Rilevare differenze di configurazione che il pilota non raccoglie
Tutta l’azienda Tutto il resto Circa 14 giorni Se c’è un problema, fermare con una pausa (massimo 35 giorni)

A differenza di WSUS, in cui «non si distribuisce finché non si preme il pulsante di approvazione», WUfB è un meccanismo in cui se lo si lascia stare, si distribuisce nei tempi. Il modo più rapido di capirlo è che il baricentro della gestione passa dal «lavoro di distribuire» al «giudizio di fermare».

Tre anelli con giorni di rinvio diversiDopo la pubblicazione dell'aggiornamento si allarga il rinvio da pilota ad anticipo a tutta l'azienda, e se c'è un problema si ferma l'allargamento a tutta l'azienda con una pausanessun problemanessun problemac'è un problemac'è un problemaPubblicazione dell'aggiornamento(aggiornamenti della qualità mensili ecc.)Pilotarinvio 0–3 giorniAnticiporinvio circa 7 giorniTutta l'aziendarinvio circa 14 giorniPausa (massimo 35 giorni) perfermare l'allargamento a tutta l'aziendaTriage: correzione dell'app oesclusione lato policyRipresa dopo la risoluzione

Figura 2: Dall’anello pilota a tutta l’azienda; se c’è un problema la pausa ferma l’allargamento, e dopo la correzione si riprende.

All’ansia sulla banda risponde l’Ottimizzazione recapito

Se si abbandona WSUS, tutti i PC vanno a prendere gli aggiornamenti da Internet, e la linea della sede preoccupa. A questo risponde l’Ottimizzazione recapito (Delivery Optimization). È un meccanismo con cui i PC sulla stessa rete si scambiano in P2P i pacchetti di aggiornamento già scaricati; su Pro, Enterprise ed Education la condivisione tra peer nella rete locale è abilitata per default. La copertura è ampia: oltre agli aggiornamenti di funzionalità, qualità e driver di Windows Update, le app dello Store, gli aggiornamenti delle definizioni di Microsoft Defender, Microsoft 365 Apps, ecc.8 Nel rollout interno di Microsoft, oltre il 76% dei contenuti è stato ottenuto dai peer, non da Internet.8 Se si vuole restringere ulteriormente, c’è l’opzione Microsoft Connected Cache, con un server di cache dedicato.8

5. Windows Autopatch — Mettere fuori «l’operazione di aggiornamento in sé»

Anche configurando WUfB, la progettazione degli anelli, il monitoraggio dello stato di distribuzione e il giudizio di stop in caso di problema restano lavoro vostro. Windows Autopatch è ciò che lascia al servizio anche questa parte operativa, e automatizza approvazione, pianificazione e protezione (controllo della distribuzione al rilevamento di un problema) degli aggiornamenti recapitate da Windows Update.6 Il contenuto principale è la composizione automatica di gruppi Autopatch e anelli di aggiornamento, la gestione della distribuzione di aggiornamenti di qualità, funzionalità e driver/firmware, e i report sullo stato di distribuzione.9

I requisiti al 2026 sono i seguenti.9

  • Licenza: una qualsiasi di Microsoft 365 Business Premium, Windows 10/11 Education A3/A5, Windows 10/11 Enterprise E3/E5 (inclusa in Microsoft 365 F3/E3/E5), Enterprise E3/E5 VDA. Non è più limitato a E3 come un tempo, ma le funzioni usabili differiscono per fascia di licenza, e la funzione di richiesta di supporto a Microsoft è solo E3 o superiore e F3.
  • Piattaforma: sono obbligatori Microsoft Entra ID P1/P2 e Microsoft Intune. I dispositivi sono PC di proprietà dell’azienda registrati in Intune (è ammessa anche la co-gestione ConfigMgr) e che hanno comunicato con Intune negli ultimi 28 giorni. In un ambiente solo AD on-premises non si può usare (l’adesione ibrida Entra sì).
  • Sistema operativo di destinazione: edizioni Pro, Education, Enterprise di Windows 10/11, canale di disponibilità generale (GA). LTSC copre solo la gestione degli aggiornamenti della qualità.

La realisticità per una PMI si organizza così. Se usate già Business Premium e gestite i PC con Intune (o lo farete da ora), Autopatch è un «tetto che si carica a costo aggiuntivo zero». Al contrario, per un’azienda che gira solo con AD on-premises e GPO, introdurre Autopatch diventa un progetto di migrazione a Entra ID+Intune, e non è una scala su cui si salta solo per la gestione degli aggiornamenti. In quel caso l’ordine naturale è prima passare a WUfB con GPO, e considerare Autopatch il giorno in cui si migra alla gestione cloud.

6. Tabella di decisione — Quale azienda dovrebbe scegliere cosa

Riassumiamo fin qui in un foglio. Confermate prima la grande biforcazione nel flusso, e chiudete i dettagli con la tabella.

Biforcazione di scelta tra WSUS, WUfB e AutopatchSe la rete è chiusa si continua con WSUS, se è AD on-premises si configura WUfB con GPO, se si gestisce con Intune e c'è la licenza di destinazione si usa Autopatch, altrimenti gli anelli di aggiornamento Intunesìnono (AD on-premises + GPO)sìsìnoRete chiusa o offline?Continuare con WSUSeccezione gestita, con registro + scadenza di revisioneI PC sono gestiti con Intune(o è prevista la migrazione)?Configurare WUfB con GPOnessun costo aggiuntivo, massima continuitàC'è una licenza Business Premium oE3 o superiore?Windows AutopatchAnelli di aggiornamento Intune (WUfB)

Figura 3: Se la rete è chiusa si continua con WSUS; altrimenti presenza di Intune e licenza decidono tra WUfB e Autopatch.

Situazione Raccomandazione Motivo e note
Ci sono PC in rete chiusa o offline (fabbrica, apparati di ispezione ecc.) Continuare con WSUS Il recapito cloud non si regge fisicamente. Anche la sincronizzazione dei driver continua5. Con gestione a registro e a tempo
Operazione AD on-premises + GPO. Nessun piano di gestione cloud WUfB (configurato con GPO) Nessun costo aggiuntivo, si può abolire il server di distribuzione. La continuità della gestione è la più alta7
Contratto Microsoft 365 Business Premium già in essere. Migrazione a Intune in corso o già fatta Autopatch (oppure anelli di aggiornamento Intune) Incluso nella licenza, e si ottiene anche l’automazione operativa9
Contratto Enterprise E3/E5 (M365 E3/E5) già in essere Autopatch Si usano le funzioni complete, inclusa la richiesta di supporto a Microsoft9
Da pochi a una quindicina di PC, e di fatto non c’è un amministratore Non alzare WSUS a forza. Windows Update predefinito + inventario Il vuoto di gestione è il rischio più grande. Si parte dalla conversione di tutte le macchine a Pro e dall’inventario
Gestione degli aggiornamenti di Windows Server stesso Continuare con WSUS o operazione individuale WUfB non gestisce gli aggiornamenti delle funzionalità (solo policy degli aggiornamenti della qualità)7

Due note. Prima: se c’è in mezzo un’edizione Home, non si sale sul campo di WUfB.6 Nelle aziende piccole un PC «Home com’era all’acquisto» non è raro, e il primo lavoro del piano di migrazione è in realtà l’inventario delle edizioni. Seconda: il giudizio di lasciare WSUS in rete chiusa è «ragionevole a un esame equo», ma il fatto che sia deprecato non cambia. Come per l’operazione isolata di Windows 10 già fuori supporto, diventa un’eccezione gestita solo quando è a registro e ha una scadenza di revisione.

7. La pratica della migrazione — L’ossatura del passaggio da WSUS a WUfB

Il punto in cui tecnicamente si inciampa di più nel passaggio da WSUS a WUfB è la coesistenza di policy vecchie e nuove. Mostriamo prima il flusso complessivo.

Procedura per passare da WSUS a WUfBSi fa l'inventario di tutti i GPO, si esplicita la sorgente con la policy della sorgente di scansione, si decidono rinvio e versione di destinazione degli aggiornamenti delle funzionalità, si passa in ordine dal pilota e alla fine si chiude WSUS1. Inventario delle policy di tutti i GPO(indicazione WSUS, aggiornamento automatico, famiglia rinvio)2-3. Con la policy della sorgente di scansioneesplicitare la sorgente per tipo di aggiornamento4. Esplicitare rinvio e versione di destinazionedegli aggiornamenti delle funzionalità (prevenire incidenti Windows 11)5. Togliere in ordine dal pilota l'indicazione WSUS eapplicare la policy WUfB (parallelismo 1–2 mesi)6. Dopo il passaggio di tutte le macchine, osservare un ciclo echiudere il server WSUS (quello per rete chiusa va a registro)

Figura 4: Inventario delle policy → esplicitare la sorgente di scansione → controllo degli aggiornamenti delle funzionalità → parallelismo con gli anelli → chiudere il server.

I dettagli dei passi sono i seguenti.

  1. Fare l’inventario delle policy attuali. Dalla totalità dei GPO, elencate tre tipi: indicazione del server WSUS (posizione del servizio di aggiornamento Intranet), configurazione dell’aggiornamento automatico, policy di famiglia rinvio messe in passato.
  2. Conoscere la trappola del dual scan. Su Windows 10, se coesistono indicazione del server WSUS e policy di rinvio c’è un comportamento in cui la destinazione della scansione passa a Windows Update (il cosiddetto dual scan), e la vecchia policy che lo sopprimeva non è supportata su Windows 11.10
  3. Esplicitare con la policy della sorgente di scansione. L’approccio corretto attuale è, sotto Configurazione computer\Modelli amministrativi\Componenti di Windows\Windows Update\Manage updates offered from Windows Server Update Service, Specify source service for specific classes of Windows Updates, con cui per ciascuna delle quattro classi — aggiornamenti delle funzionalità, della qualità, driver e altri prodotti Microsoft — si specifica se la sorgente è WSUS o Windows Update (in MDM si impostano tutte e quattro le policy SetPolicyDrivenUpdateSourceFor～). Microsoft stessa, nel periodo di transizione dalla gestione on-premises al cloud, raccomanda una migrazione a tappe del tipo «prima solo i driver sul cloud».10
  4. Attenzione all’aggiornamento inatteso a Windows 11. Se in una configurazione WSUS lasciate non impostate la sorgente di scansione o la policy di offerta degli aggiornamenti delle funzionalità, quando l’utente preme «Verifica online aggiornamenti» può comparire l’aggiornamento a Windows 11.10 Proprio nel periodo di transizione esplicitate il rinvio degli aggiornamenti delle funzionalità (fino a 365 giorni) o l’indicazione della versione di destinazione.
  5. Creare gli anelli e passare. Preparate i tre anelli del capitolo 4 e, partendo dall’OU/gruppo del pilota, togliete in ordine l’indicazione WSUS e applicate la policy WUfB. Con un periodo di parallelismo di 1–2 mesi confermate l’effetto dell’Ottimizzazione recapito (tasso di ottenimento dai peer) e il carico di linea, poi allargate a tutta l’azienda.
  6. Chiudere il server WSUS. Dopo il passaggio di tutti i client, non spegnete subito il server: osservate un ciclo (un mese) e poi fermate. Se lo lasciate per la rete chiusa, limitate lì il ruolo e scrivetelo a registro.

8. Il punto di vista delle app aziendali — Perché gli aggiornamenti non fermino l’operazione

Dal punto di vista dello sviluppo su commissione, ciò che si vuole davvero proteggere con il cambio di modo della gestione degli aggiornamenti non è solo «che le patch arrivino», ma che le app aziendali continuino a funzionare anche quando le patch arrivano. Anche nelle «10 minacce maggiori alla sicurezza informatica» dell’IPA, l’applicazione dei programmi di correzione resta in testa alle contromisure di base («Come leggere le 10 minacce maggiori alla sicurezza informatica 2026»). Il meccanismo che non ferma l’applicazione e la preparazione a non rompersi con l’applicazione sono due ruote dello stesso asse.

  • Mettete sempre nell’anello pilota «le macchine rappresentative delle app aziendali». Scegliete una macchina per ciascuna configurazione diversa — versione di Office, strumenti di report, collegamento agli apparati — e confermate che dopo l’aggiornamento il lavoro fa un giro completo. Gli anelli non sono solo per i sistemi informativi: sono anche un meccanismo di verifica delle app.
  • Mettete progettazione e operazione delle app in grado di sopportare il riavvio. La chiusura di un aggiornamento è sempre un riavvio. I meccanismi di sostituzione dei file in uso e di ripresa automatica delle app sono in «Restart Manager e il problema «file in uso» negli aggiornamenti automatici»; il rapporto tra aggiornamenti notturni e app residenti o a esecuzione prolungata è in «Sospensione, ibernazione, Modern Standby e app a esecuzione prolungata».
  • Rivedete insieme anche la distribuzione degli aggiornamenti lato app. Se avvicinate gli aggiornamenti del sistema operativo al recapito cloud, è anche l’occasione di avvicinare la distribuzione delle app aziendali e degli strumenti collaterali dal lavoro a mano allo script e alla gestione pacchetti. L’automazione del setup con winget è in «Automatizzare il provisioning PC con winget e PowerShell».
  • Decidete in anticipo la procedura di triage di «dopo l’aggiornamento non funziona». Fermate l’allargamento a tutta l’azienda con una pausa (massimo 35 giorni), riproducete sulla macchina pilota e giudicate se è una correzione lato app o un’esclusione lato policy (esclusione dei driver ecc.): se il flusso è deciso in anticipo, il giorno dell’incidente non si esita.

9. Conclusione

  • La deprecazione di WSUS (annunciata il 20 settembre 2024) è «fine dello sviluppo di nuove funzioni», e sincronizzazione e distribuzione funzionano ancora ad agosto 2026. Anche la sincronizzazione dei driver, dopo il ritiro, continua. Non c’è bisogno di precipitarsi, ma è il momento di smettere i nuovi investimenti in WSUS.
  • Il successore principale è WUfB (Windows Update client policies) senza costi aggiuntivi. Si configurano con GPO o Intune rinvii di 30 giorni per la qualità e 365 per le funzionalità e pause di 35 giorni, e si distribuisce a ondate con gli anelli. L’edizione Home è esclusa.
  • Al problema di banda risponde l’Ottimizzazione recapito (condivisione P2P abilitata per default). Anche senza il server di distribuzione WSUS, la linea si protegge più di quanto si pensi.
  • Autopatch è l’automazione operativa di WUfB. È diventato usabile anche con Business Premium, ma presuppone Entra ID+Intune ed è un’opzione lontana per un’azienda solo AD on-premises. WUfB con GPO è il primo passo in continuità.
  • Il colle tecnico della migrazione è mettere in ordine la coesistenza delle policy. Esplicitate la sorgente per tipo di aggiornamento con la policy della sorgente di scansione, e passate a tappe.
  • Nelle reti chiuse WSUS è ancora la soluzione realistica. Lasciatelo però come «eccezione gestita», in coppia con registro e scadenza di revisione.
  • Lo scopo della gestione degli aggiornamenti non è il tasso di applicazione, è la continuità dell’attività. È completo solo quando nell’anello pilota ci sono le macchine rappresentative delle app aziendali, e si includono progettazione e operazione che sopportano il riavvio.

Articoli correlati

Aree di consulenza correlate

KomuraSoft LLC si occupa di indagini sugli incidenti delle app aziendali legati all’applicazione di Windows Update, di progettazione di app che sopportano aggiornamento e riavvio (supporto a Restart Manager, ripresa automatica), e di allestimento di script di automazione dell’operazione dei PC interni: consulenza tecnica sul «lato app» della gestione degli aggiornamenti. Si può partire da uno stadio del tipo «a ogni aggiornamento quell’app ci inquieta».

Riferimenti

  1. Microsoft Windows IT Pro Blog, Windows Server Update Services (WSUS) deprecation. Sul fatto che il 20 settembre 2024 è stata annunciata la deprecazione di WSUS; sul fatto che si fermano lo sviluppo di nuove funzioni e l’accettazione di nuove richieste di funzioni, mentre le funzioni esistenti sono mantenute e continuano la pubblicazione degli aggiornamenti tramite il canale WSUS e il supporto dei contenuti già pubblicati. ↩ ↩2

  2. Microsoft Learn, Windows Server Update Services (WSUS) Overview. Sul fatto che WSUS è deprecato e non riceve nuove funzioni, ma il supporto in ambienti di produzione continua e, secondo il ciclo di vita del prodotto, riceve aggiornamenti di sicurezza e qualità. ↩ ↩2 ↩3 ↩4

  3. Microsoft Learn, Features Removed or No Longer Developed in Windows Server. Sul fatto che WSUS figura nell’elenco delle funzioni deprecate di Windows Server 2025 e che «le funzioni e i contenuti esistenti restano utilizzabili»; sul fatto che i componenti deprecati restano inclusi in Windows Server, sono supportati in produzione e ricevono aggiornamenti di sicurezza e qualità secondo il ciclo di vita del prodotto; sul fatto che anche Windows Internal Database (WID), usato da WSUS, è deprecato e previsto per una futura rimozione. ↩ ↩2 ↩3

  4. Microsoft Windows IT Pro Blog, Deprecation of WSUS driver synchronization. Sul fatto che a giugno 2024 era stato preannunciato che la sincronizzazione dei driver WSUS sarebbe terminata il 18 aprile 2025. ↩ ↩2

  5. Microsoft Windows IT Pro Blog, Continuing WSUS support for driver synchronization. Sul fatto che il 4 aprile 2025, ricevuti i feedback delle organizzazioni che operano in ambienti disconnessi (reti chiuse), il preannuncio di fine di cui sopra è stato ritirato e si è annunciata la prosecuzione della sincronizzazione degli aggiornamenti dei driver verso WSUS. ↩ ↩2 ↩3 ↩4

  6. Microsoft Learn, Windows Update client policies. Sul fatto che Windows Update client policies (già Windows Update for Business) è una funzione gratuita utilizzabile su Windows 10/11 Pro (incluso Pro for Workstations), Education ed Enterprise (inclusi LTSC e IoT Enterprise); sul fatto che si possono rinviare gli aggiornamenti delle funzionalità fino a 365 giorni e quelli della qualità fino a 30 giorni, e metterli in pausa per 35 giorni; sul fatto che gli aggiornamenti dei driver sono abilitati per default e quelli di altri prodotti Microsoft sono disabilitati per default; sulla policy di scadenza di conformità e periodo di grazia; sul fatto che Windows Autopatch è posizionato come servizio cloud che aggiunge controllo su approvazione, pianificazione e protezione degli aggiornamenti recapitate da Windows Update. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9

  7. Microsoft Learn, Configure Windows Update client policies. Sulla corrispondenza tra Criteri di gruppo di rinvio e pausa (sotto Windows Update, «Select when Quality Updates are received», «Select when Preview Builds and feature updates are received» ecc.) e Policy CSP (DeferQualityUpdatesPeriodInDays, DeferFeatureUpdatesPeriodInDays, ExcludeWUDriversInQualityUpdate, AllowMUUpdateService ecc.); sul fatto che la pausa scade automaticamente a 35 giorni dalla data di inizio; sull’uso di creare gruppi con periodi di rinvio diversi e distribuire a tappe da un piccolo collettivo di verifica; sul fatto che Windows Server non riceve aggiornamenti delle funzionalità da Windows Update e si applicano solo le policy degli aggiornamenti della qualità. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9

  8. Microsoft Learn, What is Delivery Optimization?. Sul fatto che l’Ottimizzazione recapito è un meccanismo che combina al downloader HTTP peer-to-peer e Microsoft Connected Cache per ridurre il consumo di banda; sul fatto che su Enterprise, Pro ed Education la condivisione tra peer nella stessa rete locale (sotto lo stesso NAT) è abilitata per default; sulla copertura di aggiornamenti di funzionalità, qualità e driver di Windows Update, app dello Store, aggiornamenti delle definizioni di Defender, Microsoft 365 Apps ecc.; sul fatto che si può usare insieme a Windows Update, WSUS, Intune e Configuration Manager; sul fatto che nel rollout interno Microsoft oltre il 76% dei contenuti è stato ottenuto dai peer. ↩ ↩2 ↩3 ↩4

  9. Microsoft Learn, Windows Autopatch Prerequisites. Sul fatto che Windows Autopatch è utilizzabile con Microsoft 365 Business Premium, Windows 10/11 Education A3/A5, Windows 10/11 Enterprise E3/E5 (inclusa in Microsoft 365 F3/E3/E5), Enterprise E3/E5 VDA; sul fatto che la funzione di richiesta di supporto è solo E3 o superiore e F3; sul fatto che sono obbligatori Microsoft Entra ID P1/P2 e Microsoft Intune, e i dispositivi devono essere di proprietà dell’azienda, registrati in Intune (co-gestione ammessa) e aver comunicato con Intune negli ultimi 28 giorni; sul fatto che la destinazione è il canale di disponibilità generale delle edizioni Pro, Education, Enterprise, e LTSC copre solo la gestione degli aggiornamenti della qualità. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7

  10. Microsoft Learn, Use Windows Update client policies and Windows Server Update Services (WSUS) together. Sul fatto che con la policy della sorgente di scansione «Specify source service for specific classes of Windows Updates» (in CSP, le varie SetPolicyDrivenUpdateSourceFor) si può specificare per classe se la sorgente di aggiornamenti delle funzionalità, della qualità, dei driver e di altri prodotti Microsoft è WSUS o Windows Update; sul fatto che la vecchia policy di soppressione del dual scan non è supportata su Windows 11; sul fatto che su Windows 10, se coesistono indicazione WSUS e policy di rinvio, la scansione va verso Windows Update; sulla raccomandazione di una migrazione a tappe dall’on-premises al cloud; sul fatto che in una configurazione WSUS, se si lasciano non impostate sorgente di scansione ecc., con «Verifica online aggiornamenti» può comparire l’aggiornamento a Windows 11. ↩ ↩2 ↩3

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste pagine collocano l’argomento in un contesto più ampio di servizi e decisioni.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Fino a quando si può continuare a usare WSUS?
Non è stata annunciata una data di fine. L'annuncio di deprecazione del 20 settembre 2024 significa «si ferma lo sviluppo di nuove funzioni e l'accettazione di nuove richieste di funzioni»: le funzioni esistenti sono mantenute e gli aggiornamenti continuano a essere pubblicati tramite il canale WSUS. Windows Server 2025 include ancora un ruolo WSUS, e il supporto in ambienti di produzione, insieme agli aggiornamenti di sicurezza e qualità, continua secondo il ciclo di vita del prodotto. Ad agosto 2026 sia la sincronizzazione sia la distribuzione funzionano come al solito. Detto questo, da qui in poi non verranno aggiunte nuove funzioni, quindi la linea realistica è: «si può continuare a usarlo, ma non farne un obiettivo di nuovi investimenti».
Windows Update for Business (WUfB) ha un costo aggiuntivo?
No. WUfB (ora con il nome formale Windows Update client policies) è una funzione utilizzabile senza costi aggiuntivi su Windows 10/11 Pro (incluso Pro for Workstations), Education ed Enterprise (inclusi LTSC e IoT Enterprise). L'edizione Home è esclusa. Si configura sia dai Criteri di gruppo sia da MDM (Intune e simili), e si possono impostare rinvii fino a 30 giorni per gli aggiornamenti della qualità e fino a 365 giorni per gli aggiornamenti delle funzionalità, più pause fino a 35 giorni. Non serve un server di distribuzione come WSUS: gli aggiornamenti stessi vengono recapitate direttamente da Windows Update.
Quale licenza richiede Windows Autopatch?
Secondo i requisiti del 2026, si può usare con una qualsiasi di: Microsoft 365 Business Premium, Windows 10/11 Education A3/A5 (inclusa in Microsoft 365 A3/A5), Windows 10/11 Enterprise E3/E5 (inclusa in Microsoft 365 F3/E3/E5), Enterprise E3/E5 VDA. Un tempo presupponeva Enterprise E3 o superiore, ma ora anche con Business Premium si usano le funzioni centrali come gli anelli di aggiornamento e la gestione degli aggiornamenti di qualità, funzionalità e driver (la funzione di richiesta di supporto a Microsoft è solo E3 o superiore e F3). Inoltre sono obbligatori Microsoft Entra ID P1/P2 e Microsoft Intune, e i dispositivi di destinazione devono essere PC di proprietà dell'azienda già registrati in Intune.
Cosa succede se si mescola la policy di rinvio WUfB a PC gestiti da WSUS?
Su Windows 10, se coesistono l'indicazione del server WSUS e una policy di rinvio, la destinazione della scansione passa a Windows Update — il cosiddetto dual scan — e può entrare un aggiornamento che ha saltato l'approvazione WSUS. La vecchia policy che lo controllava (Do not allow update deferral policies to cause scans against Windows Update) non è supportata su Windows 11; l'approccio corretto attuale è la policy della sorgente di scansione (Specify source service for specific classes of Windows Updates), con cui si esplicita per ciascuna delle quattro classi — aggiornamenti delle funzionalità, della qualità, driver e altri prodotti — se la sorgente è WSUS o Windows Update. Nel periodo di transizione diventa più facile una migrazione a tappe del tipo «solo i driver sul cloud».
Cosa fare per i PC in una rete chiusa che non può uscire su Internet?
In un ambiente chiuso o offline, WSUS resta la soluzione realistica, inclusa la sincronizzazione offline via esportazione/importazione. WUfB e Autopatch presuppongono il cloud sia per la recapito sia per la gestione (servizio Windows Update e Intune), quindi non si reggono in piedi. Microsoft stessa, il 4 aprile 2025, ha ritirato la fine della sincronizzazione driver WSUS un tempo preannunciata (prevista per il 18 aprile 2025), proprio per i feedback delle organizzazioni in ambienti disconnessi, e ha annunciato la prosecuzione. Il WSUS di una rete chiusa è un «WSUS che si può lasciare», ma il fatto che sia deprecato non cambia: conviene metterlo a registro e prepararsi a un futuro cambio di configurazione.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Specializzato nello sviluppo di software Windows, nella consulenza tecnica e nell’analisi dei malfunzionamenti, soprattutto nei progetti con sistemi esistenti e guasti difficili da riprodurre.

Contattaci
Torna al blog