Eater
Er heerst in moderne enterprise-IT een geruststellende illusie dat we eindelijk voorgoed af zijn van de gevreesde herstart na Patch Tuesday. Toen Microsoft de hotpatchmogelijkheden uitbreidde voor Windows 11 Enterprise en Windows Server 2025, haalden systeembeheerders overal opgelucht adem. Live code in het geheugen patchen zonder gebruikerssessies te onderbreken of virtuele machines opnieuw op te starten voelt als magie — tot er een baselinemaand aanbreekt en iedereen eraan wordt herinnerd dat de zwaartekracht nog steeds geldt.
Op 13 oktober 2026 bracht Microsoft de beveiligingsbaseline van oktober 2026 uit onder ondersteuningsadvies KB5131362. Als uw omgeving hotpatching gebruikt, beschouw dit dan als een vriendelijke maar duidelijke waarschuwing: de Windows-beveiligingsupdate van oktober 2026 wordt geleverd als een standaard cumulatieve update en niet als een hotpatch zonder herstart. Omdat verschillende beveiligingsverbeteringen in deze release kernonderdelen van het besturingssysteem wijzigen die niet terwijl het systeem draait in het geheugen kunnen worden gepatcht, moet elk apparaat dat is ingeschreven voor hotpatching volledig opnieuw worden opgestart om de installatie af te ronden.
Het verwarrende verhaal van de KB-nummers
Voordat u e-mails over onderhoudsvensters gaat opstellen voor uw change advisory board, moeten we eerst een klassiek stuk verwarring in Microsoft-documentatie ontrafelen. Als u de officiële Microsoft-ondersteuningsmelding voor de baseline van 13 oktober 2026 leest, ziet u meteen drie tegenstrijdige gegevens terugkomen:
De titel en de URL: de ondersteuningspagina heet October 13, 2026—Baseline (KB5131362) en staat onder een webpad dat begint met /hotpatch/windows-11/.
Het label “Van toepassing op”: ondanks de Windows 11-URL en een voettekst die verwijst naar release-opmerkingen voor Windows 11 Enterprise-versies 25H2 en 24H2, vermeldt de officiële metadata bij “Van toepassing op” Windows Server 2025 Datacenter: Azure Edition.
De verwijzing in de hoofdtekst: in de hoofdtekst van de melding staat dat beheerders voor meer informatie over de beveiligingsbaseline van oktober 2026 naar KB5127648 moeten kijken.
Over welk besturingssysteem en welk KB-nummer hebben we het dan precies? Een blik op de bredere documentatie van Microsoft over de release van oktober 2026 en het archief van het Microsoft 365 Message Center, met name aankondiging MC1506288, maakt duidelijk wat er aan de hand is.
In de uitrol van 13 oktober 2026 wijst Microsoft Baseline KB5131362 toe aan Windows 11 Enterprise LTSC 2024 en aan de bijbehorende hotpatch-baseline voor Windows 11 24H2 en 25H2, waarvan de onderliggende standaard cumulatieve update KB5127648 is. Windows Server 2025 kreeg ondertussen een eigen standaard LTSC-cumulatieve update onder KB5126646, waarmee de OS-build naar 26100.33650 werd gebracht, en Windows Server 2025 Datacenter: Azure Edition heeft een eigen, apart baseline-advies met nummer KB5131334.
Kort gezegd heeft Microsoft in het sjabloon van het ondersteuningsportaal het veld “Van toepassing op” bij de pagina van KB5131362 onjuist gekoppeld aan Windows Server 2025 Datacenter: Azure Edition, terwijl de URL, titel en verwijzing naar KB5127648 horen bij de hotpatch-baseline voor Windows 11. Of u nu Windows 11 Enterprise-apparaten beheert via Windows Autopatch of Windows Server 2025-systemen via Azure Update Manager, de operationele realiteit op 13 oktober 2026 is hetzelfde: oktober is een verplichte baselinemaand met herstart in zowel het client- als server-hotpatchschema.
Samenvatting: baseline-identificatie voor 13 oktober 2026
| Platform / editie | Type update oktober 2026 | Primair KB- of baseline-nummer | OS-build waar vermeld |
|---|---|---|---|
| Windows 11 Enterprise (24H2 / 25H2 / LTSC 2024) | Baseline met herstart | Baseline-melding KB5131362 (standaard update KB5127648) | Zie release-opmerkingen voor Windows 11 |
| Windows Server 2025 (LTSC / hotpatchschema) | Baseline met herstart | KB5126646 (baseline-melding Azure Edition KB5131334) | 26100.33650 |
| Windows Server 2022 (LTSC / hotpatchschema) | Baseline met herstart | KB5126655 | 20348.5761 |
Waarom hotpatching toch nog kwartaalreboots nodig heeft
Waarom kan Microsoft niet simpelweg elke maand van het jaar hotpatching gebruiken? Om te begrijpen waarom baselinemaanden bestaan, helpt het om te kijken naar de werking van Windows hotpatching onder de motorkap.
Tijdens een standaard hotpatchmaand levert Windows Update een uitgekleed, beveiligingsgericht pakket dat functies in het geheugen aanpast zonder de onderliggende bestanden op schijf te wijzigen. Omdat dit pakket geen niet-beveiligingsgerelateerde kwaliteitscorrecties en geen functie-uitbreidingen bevat, is het aanzienlijk kleiner, wordt het sneller gedownload en treedt het direct in werking zonder actieve gebruikerssessies of serverprocessen te onderbreken.
Toch dwingen uiteindelijk twee zaken tot een herstart:
- Bepaalde diep verankerde kernelstructuren, onderdelen van het opstartpad en fundamentele systeemcomponenten kunnen niet veilig in het geheugen worden vervangen terwijl het besturingssysteem draait. Zoals Microsoft in KB5131362 expliciet aangeeft, wijzigen sommige beveiligingsverbeteringen in de release van oktober 2026 onderdelen die niet zonder herstart kunnen worden bijgewerkt.
- Omdat hotpatches alleen beveiligingsupdates bevatten, hebben apparaten periodiek een Latest Cumulative Update nodig om achterstallige niet-beveiligingsbugfixes, verbeteringen aan de servicing stack en nieuwe functies in te halen.
Volgens het ontwerp van Microsoft is de hotpatchkalender opgebouwd rond vier geplande baselinemaanden aan het begin van elk kwartaal: januari, april, juli en oktober. In die vier maanden ontvangen apparaten een volledige cumulatieve baseline-update en is een herstart verplicht. In de overige acht maanden, dus februari en maart, mei en juni, augustus en september, en november en december, ontvangen apparaten op de actuele baseline rebootloze hotpatches.
De realiteit van 2026: wanneer “elk kwartaal” zes keer per jaar betekent
Als u uw CIO hotpatching hebt verkocht met de belofte dat servers en zakelijke pc’s maar vier keer per jaar opnieuw hoeven op te starten, heeft de releasekalender van 2026 waarschijnlijk al voor wat grijze haren gezorgd. In de documentatie van Microsoft staat altijd stilletjes een sterretje bij het woord “kwartaallijks”: om kritieke beveiligingsredenen kan Microsoft een geplande hotpatchmaand omzetten in een ongeplande baselinemaand waarvoor een herstart nodig is. Belangrijk is dat zo’n tussentijdse baseline niet de volgende geplande kwartaalbaseline annuleert.
Kijk naar hoe de hotpatchkalender van 2026 er voor Windows Server 2025 daadwerkelijk uitzag, op basis van de release-informatie van Windows Server in Microsoft Learn:
13 januari 2026: geplande baseline met herstart — build 26100.32230 (KB5073379)
10 februari 2026: hotpatch — build 26100.32313 (KB5075942)
10 maart 2026: hotpatch — build 26100.32463 (KB5078736)
14 april 2026: geplande baseline met herstart — build 26100.32690 (KB5082063)
12 mei 2026: hotpatch — build 26100.32772 (KB5087423)
9 juni 2026: ongeplande baseline met herstart — build 26100.32995 (KB5094125)
14 juli 2026: geplande baseline met herstart — build 26100.33158 (KB5099536)
11 augustus 2026: hotpatch — build 26100.33222 (KB5120228)
8 september 2026: ongeplande baseline met herstart — build 26100.33438 (KB5122871)
13 oktober 2026: geplande baseline met herstart — build 26100.33650 (KB5126646)
Omdat zowel juni als september 2026 een baseline-herstart vereisten, is oktober de vierde baselineherstart in de afgelopen vijf maanden en de zesde baselinemaand van 2026 in totaal. Het goede nieuws? Zowel november als december 2026 blijven volgens de Microsoft-kalender geplande maanden voor rebootloze hotpatches — mits uw apparaten eerst de baseline van 13 oktober succesvol installeren en opnieuw opstarten.
Operationele richtlijnen voor de oktober-baseline
Om in aanmerking te blijven komen voor de hotpatches van november en december, moeten uw ingeschreven apparaten draaien op de baseline van oktober 2026. Hieronder staat wat beheerders direct moeten controleren binnen hun Windows 11- en Windows Server 2025-omgeving.
1. Communiceer het herstartvenster duidelijk
Laat gebruikers en applicatie-eigenaren niet denken dat “Hotpatch ingeschakeld” betekent: “geen herstart in oktober”. Uw bestaande update-ringen, uitstelinstellingen, actieve uren en deadlinegestuurde installaties in Microsoft Intune via Windows Autopatch of in Azure Update Manager blijven tijdens baselinemaanden volledig van kracht. Zorg ervoor dat uw onderhoudsplanning uitgaat van een volledige herstartcyclus vanaf 13 oktober 2026.
2. Stem functie-upgrades af op de baselinemaand
Als u hotpatch-apparaten wilt upgraden van Windows 11 versie 24H2 naar versie 25H2, zeker nu Windows 11 24H2 Home- en Pro-versies op 13 oktober 2026 het einde van hun updateperiode bereiken, dan is oktober de ideale maand voor die upgrade. Volgens de documentatie van Microsoft over hotpatch-implementatie blijft een apparaat na een versie-upgrade in een baselinemaand netjes binnen de hotpatchcyclus. Wacht u tot een hotpatchmaand zoals november, dan valt het apparaat terug op standaardupdates, is een herstart nodig en wordt hotpatching pas weer hervat bij de volgende baseline in januari.
3. Controleer de vereisten voor november
Zodra de herstart na de oktober-baseline is voltooid, moet u opnieuw controleren of uw omgeving nog steeds in aanmerking komt voor de rebootloze updates van de volgende maand. Apparaten die niet voldoen, vallen stilzwijgend terug op standaard Latest Cumulative Updates.
Virtualization-Based Security moet actief zijn om de hotpatchinstaller te laten werken. U kunt dit lokaal controleren via Systeeminformatie met msinfo32, door te bevestigen dat Virtualization-based security de status Running heeft, of door de waarschuwingen van Windows Autopatch in Intune te controleren.
Op Windows 11-apparaten met Arm64 moet het gebruik van Compiled Hybrid Portable Executable, kortweg CHPE, zijn uitgeschakeld voordat hotpatching werkt. Dit kan via de policy CSP DisableCHPE of door HotPatchRestrictions=1 als DWORD in te stellen onder HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management. Houd er rekening mee dat beveiligingsupdates voor 32-bits Microsoft 365 Apps op Windows Arm-apparaten overigens in december 2026 eindigen.
Op clientapparaten kunt u de actieve hotpatchregistratie bevestigen via Event Viewer door te filteren op AllowRebootlessUpdates. Een ingeschreven apparaat meldt dan "Update/AllowRebootlessUpdates":true en "isEnrolled": 1.
Hotpatching blijft een van de beste verbeteringen die Microsoft aan Windows-servicing heeft toegevoegd, zelfs in een jaar waarin beveiligingsbehoeften buiten de normale cyclus extra baseline-herstarts afdwongen. Zorg dat de baseline van 13 oktober 2026 is geïnstalleerd, doorsta de verplichte herstart en uw omgeving is klaar voor een rustige, herstartvrije november en december.
