Fehler in WSUS-Update: Windows-Clients booten nicht mehr
Fehlerhafte Update-Pakete für Windows 10 und Windows Server 2016, die Microsoft am jüngsten Patchday veröffentlicht hat, legten in den vergangenen Tagen Rechner in Unternehmensnetzwerken lahm. Betroffen waren nur Umgebungen mit WSUS und SCCM.
Microsoft hat mit der Veröffentlichung fehlerhafter Updates für Probleme in Unternehmensnetzwerken gesorgt. Die Updates KB4041676 und KB4041691 enthielten einen Fehler, der dafür sorgte, dass Rechner nach der Installation nicht mehr starteten. Die Pakete wurden ausschließlich über Windows Server Update Services (WSUS) und SCCM ausgeliefert -- Privatkunden, die Updates über Windows Update beziehen, waren nicht betroffen.
Bei den Paketen handelt es sich um sogenannte Delta-Updates. Diese enthalten jeweils nur die Veränderungen zum letzten Monat. Eingeführt wurden sie von Microsoft explizit für Umgebungen, in denen kein WSUS eingesetzt wird, als Alternative zu den großen Cumulative Updates.
Korrigiertes Update, Handarbeit für Betroffene
Nach Microsofts eigenen Angaben wurde der Fehler am Dienstag um 13:00 deutscher Zeit korrigiert, löst das Problem damit aber nicht für betroffene Rechner, die nicht mehr starten. WSUS-Administratoren, die Delta-Updates einsetzen, sollten sicherstellen, dass ihr Server nach Dienstag synchronisiert wurde.
Für betroffene Clients gibt es keine zentrale Reparatur -- der betroffene Computer verweigert den Boot mit dem Fehler "Inaccessible Boot Device" und kann daher nicht per GPO oder WSUS-Update repariert werden. In einem Support-Dokument beschreibt Microsoft den mühsamen Weg über die Kommandozeile in der Windows-Systemwiederherstellung. Wurde der betroffene Rechner noch nicht neu gestartet, kann er im laufenden Betrieb gerettet werden. Für den Prozess sollten Administratoren mindestens 10 Minuten pro Gerät einplanen.
Anschließend sollten die Updates wieder installiert werden, da sie Sicherheitslücken schließen – in der korrigierten Version.
Erst im August hatte Microsoft einen Fehler in ein Paket eingebaut, der auf den Clients die Datenbank der bereits installierten Updates löschte und für Verbindungsprobleme zum WSUS sorgte. (jam)
