Это дополнение к основной статье о миграции на 26H2. Там мы разобрали, что нового в версии, как работает пакет включения и составили пошаговый план для администраторов. Здесь два практических сюжета, которые в тот материал не вошли: как получить 26H2 прямо сейчас, не дожидаясь очереди Microsoft, и что изменилось в security baseline для IT-специалистов.
Как обойти постепенную раскатку 26H2
Microsoft распространяет 26H2 волнами, и если ваше устройство ещё не получило обновление, это не значит, что оно несовместимо. Есть два способа ускорить процесс и один важный нюанс, о котором стоит знать.
Способ 1: переключатель в Центре обновления Windows
Самый простой путь, который работает для совместимых устройств на 24H2 или 25H2.
- Откройте
Параметры→Центр обновления Windows. - Включите переключатель «Получать последние обновления, как только они станут доступны».
- Нажмите «Проверить наличие обновлений» 26H2 должен появиться в списке.
- Установите обновление и перезагрузитесь.
- После установки выключите переключатель обратно, чтобы не получать потенциально проблемные обновления автоматически.
Установка занимает несколько минут и требует одной перезагрузки это следствие того, что 26H2 доставляется как пакет включения, а не как полная замена системы.
Способ 2: ручная установка KB5121794
Если переключатель не помог, пакет включения можно скачать напрямую. Он доступен в виде .msu-файла для x64 (AMD/Intel) и ARM64.
Что нужно проверить перед установкой:
- Система работает под управлением Windows 11 24H2 или 25H2.
- Установлено предварительное обновление KB5120998 (сборки 26100.9278 или 26200.9278).
- Архитектура
.msu-файла совпадает с архитектурой устройства.
После скачивания достаточно дважды кликнуть по .msu-файлу и подтвердить установку. Для организаций пакет можно распространить через Configuration Manager, Intune или WSUS.
Почему обновление может не появляться: safeguard hold
Даже если устройство совместимо и переключатель включён, 26H2 может не отображаться. Причина safeguard hold, механизм, которым Microsoft временно блокирует обновление на устройствах с известными проблемами совместимости.
Safeguard hold срабатывает, когда Microsoft обнаруживает конфликт в одном из компонентов: драйвер, прошивка, приложение, антивирус или конфигурация Windows. Это не ошибка обновления, а осознанная задержка: Microsoft предпочитает не предлагать обновление, чем рисковать неудачной установкой или нестабильной работой.
Как проверить, есть ли у вас safeguard hold: откройте Параметры → Центр обновления Windows и нажмите «Проверить наличие обновлений». Если 26H2 не появляется, но система получает обычные ежемесячные обновления, вероятно, действует safeguard hold. В некоторых случаях Windows может показать ссылку «Подробнее» с информацией о проблеме совместимости.
Стоит ли обходить safeguard hold? Microsoft не рекомендует этого делать в обычной ситуации. Однако для контролируемой IT-валидации предусмотрен административный механизм opt-out:
-
Через групповую политику:
Конфигурация компьютера→Административные шаблоны→Компоненты Windows→Центр обновления Windows→ «Отключить меры безопасности для обновлений компонентов» (Disable safeguards for Feature Updates). -
Через Intune/MDM: политика
Update/DisableWUfBSafeguardsCSP.
Microsoft предупреждает, что отказ от safeguard hold может подвергнуть устройство именно той проблеме, от которой он защищает. Используйте этот механизм только на пилотных устройствах после тестирования.
Новые рекомендации по безопасности: security baseline 26H2
Microsoft выпустила обновлённый security baseline для Windows 11 26H2, доступный через Microsoft Security Compliance Toolkit. Для IT-администраторов там два принципиальных изменения по сравнению с baseline для 25H2.
Изменение 1: приоритет встроенных драйверов принтеров
Рекомендуется включить политику Printer\Configure Windows Ready Print driver ranking в разделе Административные шаблоны → Принтеры.
Что это даёт: Windows начнёт предпочитать встроенный IPP class driver сторонним драйверам производителей (V3 и V4). По мнению Microsoft, это сокращает поверхность атаки, связанную со сторонними OEM-драйверами принтеров.
Когда политика применяется: при установке принтера через метод подключения, поддерживающий IPP, USB или сетевое multicast-обнаружение. Если принтер поддерживает IPP, Windows установит его с использованием class driver, даже если доступен драйвер V3/V4 от производителя.
Когда поведение не меняется: если принтер не поддерживает IPP или устанавливается напрямую как TCP/IP-принтер.
Как настроить через GPO: Конфигурация компьютера → Политики → Административные шаблоны → Принтеры → «Настроить ранжирование драйверов Windows Ready Print» → Включено.
Изменение 2: TLS 1.1 исключён из поддерживаемых протоколов
Политика Turn off encryption support (расположение: Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Internet Explorer → Панель управления Internet Explorer → Страница «Дополнительно») теперь поддерживает только TLS 1.2 и TLS 1.3.
Ранее в списке был и TLS 1.1. Microsoft считает TLS 1.1 устаревшим и не рекомендует его использование в корпоративных средах. Это изменение приводит baseline в соответствие с современными криптографическими стандартами.
Что это значит на практике: если в вашей инфраструктуре остались сервисы, NAS-устройства, принтеры или встроенные системы, поддерживающие только TLS 1.1, после применения baseline они могут перестать работать. Перед внедрением baseline проверьте, не завязаны ли критичные внутренние сервисы на TLS 1.1.
Что это значит для администраторов
Эти два сюжета не просто «ещё две новости про 26H2». Они меняют две вещи в подходе к миграции.
Во-первых, скорость получения обновления. Переключатель «Получать последние обновления…» и ручная установка KB5121794 дают вам контроль над сроками. На пилотной группе можно поставить 26H2 в тот же день, когда Microsoft открыла раскатку, а не ждать, пока волна дойдёт до вашей организации. Но safeguard hold это не ошибка, а сигнал: если устройство заблокировано, вероятно, для этого есть причина.
Во-вторых, приоритеты в безопасности. Baseline 26H2 смещает фокус на два направления: сокращение зависимости от сторонних драйверов принтеров и отказ от устаревших протоколов шифрования. Первое прямая атака на одну из самых «дырявых» категорий драйверов в Windows. Второе продолжение курса на отказ от TLS 1.0 и 1.1, который Microsoft ведёт уже несколько лет.
Практический совет: не применяйте baseline «в лоб» на всю организацию. Сначала разверните его на пилотной группе вместе с 26H2, проверьте работу принтеров через IPP и убедитесь, что ни один внутренний сервис не отвалился из-за отключения TLS 1.1. Полный baseline доступен в Security Compliance Toolkit оттуда можно взять только нужные политики, не применяя весь набор целиком.
Что в итоге
Обход постепенной раскатки это не «взлом» Windows, а использование штатного механизма, который Microsoft сама предоставляет. Переключатель в Центре обновления или ручная установка KB5121794 позволяют получить 26H2 сразу. Но если устройство заблокировано safeguard hold, у этого есть причина, и обходить блокировку стоит только на контролируемых пилотных машинах.
Security baseline 26H2 продолжает линию на ужесточение безопасности: приоритет встроенных драйверов принтеров и отказ от TLS 1.1. Оба изменения затрагивают корпоративную инфраструктуру напрямую проверьте совместимость до внедрения.
Если вы ещё не читали основную статью о миграции на 26H2, начните с неё: там разобрано, что нового в версии, как работает пакет включения и какой план действий подойдёт вашей организации.
