补丁星期二

**周二修補程式日**（英語：**Patch Tuesday**）也稱**修補程式星期二**、**星期二更新**（**Update Tuesday**）等，它是一個在行業內被廣泛使用的非正式術語，指微軟定期發佈其軟體產品的更新修補程式。微軟於 2003 年 10 月正式開始了此模式。

周二修補程式日發生在每個月第二周（有時是第四周）的周二，於 UTC 時間 18:00 或 17:00 開始，經由 Windows Update 推播給使用者。同時，修補程式會被發布至微軟網站上，微軟知識媒體櫃和 Technet 公告也會隨之更新。

微軟有一種習慣，會在偶數月份發布更多的更新，相應奇數月份的更新會更少。少數更新也會在周二修補程式日之外被發布。某些更新，例如 Microsoft Defender 的病毒媒體櫃更新則會每天發布。有時候，在一次常規的周二修補程式日之後會有一次額外的周二修補程式日。另外一些更新則可能隨時會被發布。

## 歷史

從 Windows 98 開始，微軟整合了 Windows Update，它將檢查微軟不定期發布的 Windows 的修補程式。除此之外，它還會檢查其他微軟產品的修補程式，如 Microsoft Office、Visual Studio 和 SQL Server 等。

早期版本的 Windows Update 存在兩個問題：

1. 經驗不足的使用者通常不會意識到 Windows Update 並且沒有安裝它。 微軟在 Windows ME 中使用自動更新組件解決了此問題，該組件顯示了更新的可用性，並提供了自動安裝選項。

2. 擁有多個 Windows 副本的客戶（例如企業使用者）不僅必須更新公司中的每個 Windows 部署，還要移除微軟發布的破壞現有功能的修補程式。

微軟於 2003 年 10 月推出了「修補程式星期二」，以降低分發修補程式的成本。該系統每月發布累積安全修補程式，並在每個月的第二個星期二推播所有修補程式，這是為了系統管理員準備的事件。 第二天，被非正式地稱為「漏洞星期三」，標誌著屆時漏洞將可能大量利用未安裝安全修補程式的電腦。

周二被選為分發軟體修補程式的最佳日期。 這樣做是為了最大限度地延長即將到來的周末之前的可用時間，以糾正這些修補程式可能出現的任何問題，同時騰出周一解決上周末可能出現的其他意外問題。

## 安全影響

一個明顯的安全隱患是，有一個解決方案的安全問題被公眾拒絕長達一個月。當漏洞未廣為人知或輕微時，此政策就足夠了，但情況並非總是如此。有些情況下，漏洞資訊已泄露或實際蠕蟲在下一個計劃的修補程式星期二之前流行。在關鍵情況下，微軟會在準備好時發布相應的修補程式，以便在檢查並經常安裝更新時降低風險。

在「點亮 2015」活動中，微軟公布了分發安全修補程式的變化。他們準備好後立即發布家用電腦，平板電腦和手機的安全更新，而企業客戶將保持每月更新周期，並將其更新為 Windows Update for Business。

## 周三漏洞利用事件

修補程式發布後不久就會出現許多漏洞利用事件，對修補程式的分析有助於利用開發人員立即利用之前未公開的漏洞，該漏洞將保留在未修補的系統中。因此，「利用星期三」這個詞被創造出來。

### 微軟已停止技術支援的 Windows 版本

微軟警告使用者，自 2014 年 4 月 8 日起停止對 Windows XP 的支援 - 之後執行 Windows XP 的使用者將面臨被駭客攻擊的風險。由於較新的 Windows 版本的安全修補程式可以揭示新版本和舊版本中存在的類似（或相同）漏洞，因此可以允許攻擊具有不受支援的 Windows 版本的裝置（例如「零日攻擊」）。然而，微軟已停止在不受支援的 Windows 版本中修復此類（和其他）漏洞，無論這些漏洞的廣泛傳播如何，這些漏洞都不固定，執行這些 Windows 版本的裝置容易受到攻擊。微軟在 WannaCry 勒索軟體迅速傳播期間做了唯一的一次例外，於 2017 年 5 月發布了針對當時不支援的 Windows XP，Windows 8 和 Windows Server 2003（除了當時支援的 Windows 版本）之外的修補程式。

對於 Windows Vista，「延伸支援」已於 2017 年 4 月 11 日結束，這將使之後發現的漏洞保持不固定，從而為 Vista 建立與之前相同的情況。

對於 Windows 7（帶有 Service Pack 1），支援將於 2020 年 1 月 14 日和 2023 年 1 月 10 日結束，對於 Windows 8.1， 這將導致這些作業系統的使用者出現相同的「未修復的漏洞」問題。對 Windows 8 的支援已於 2016 年 1 月 12 日結束（使用者必須安裝 Windows 8.1 或 Windows 10 以繼續獲得支援），並且對不帶 SP1 的 Windows 7 的支援已於 2013 年 4 月 9 日結束（能夠安裝 SP1 以繼續獲得支援直到 2020 年，或者必須安裝 Windows 8.1 或 Windows 10 才能在 2020 年之後獲得支援。）

### Windows 10/11

隨著 Windows 10 的推出，一個重大變化是微軟開始每年兩次發布新版本的 Windows 10（Windows 11 發佈後改為每年 1 次），並且隨著微軟的「現代系統生命周期政策」，新發布的 Windows 10 版本開始了以前版本的「寬限期」。 關於支援 - 不同於以前只通過 Service Pack 接收不頻繁更新的 Windows 產品，並且支援受「固定生命周期策略」的約束。有了這個新政策，Windows 10 的家用版和專業版將在發布後的 18 個月內提供安全更新和功能更新（所謂的「主流支援」）企業版和教育版將在發布後的 24 個月內提供安全和功能更新。

舉個例子：微軟將於 2018 年 10 月停止支援 Windows 10 家用版 / 專業版 1703（2017 年 4 月發布），對版本 1507 和 1511（2015 年發布）的支援將於 2017 年正式結束。微軟宣布，它將為至少一個「半年度頻道」（SAC）Windows 10 版本提供「延伸支援」（只提供安全更新但不提供功能更新），直到 2025 年 10 月 14 日結束。

根據微軟的說法，「裝置需要在 [目前版本] 到達服務終結之前安裝最新版本（功能更新），以說明保持您的裝置安全，並保持微軟的支援 "。與以前的 Windows 作業系統一樣，執行此類不受支援的 Windows 版本（不再接收安全修補程式）的任何裝置都可能受到「支援終止」日期開始的「未修復漏洞」問題的影響。為了解決這個問題，微軟已經為 Windows 10/11 的家用版和專業版設計了更新系統，因此在大多數情況下，如果技術上可行的話，最新的 Windows 版本會自動下載和安裝 - 但是由於強制升級等其他問題受到了批評。

## 其他公司採用的修補程式

當公司建議使用者安裝安全更新時，SAP 公司的「安全修補程式日」被選中與修補程式星期二一致。自 2012 年 11 月起，Adobe Systems 的 Flash Player 更新時間表也與修補程式星期二相吻合。 其中一個原因是 Flash Player 作為 Windows 的一部份從 Windows 8 開始，內建的 Flash Player 更新和基於外掛程式的版本都需要同時發布，以防止逆向工程威脅。

## 例外

* 每天更新：Microsoft Defender 的更新。
* 一般緊急修補程式：在定期修補程式後 14 天釋出。
* 非常緊急修補程式：不定期釋出。

## 參考資料