Mise à jour via WSUS

Question

Mise à jour via WSUS

Christelle Beunel 0

bonjour,

Sur certains serveurs windows 2025 la configuration de WSUS bien que correcte ne fonctionne pas. Les serveurs font leur mises à jour directement sur internet sans passer par le serveur WSUS.

cordialement

0 comments

4 answers

Your answer

Answer 1

Adam J. Marshall 10,786 MVP

From your screenshot in that comment, it sounds like you have dual scan going on.

https://www.ajtek.ca/wsus/dual-scan-making-sense-of-why-so-many-admins-have-issues/

Ensure you're setting the proper scan source in your GPOs which is in part 4 of my 8 part blog series on How to Setup, Manage, and Maintain WSUS.

https://www.ajtek.ca/wsus/how-to-setup-manage-and-maintain-wsus-part-4-creating-your-gpos-for-an-inheritance-setup/

I recommend you read the whole series and other guides on my site.

Christelle Beunel 0

Hello,

Thank you for your reply.

For your information, the WSUS configuration is correct because some computers are working properly with this same GPO.

The ones that aren't working are the ones we temporarily excluded from WSUS following the September 2025 update, which was causing us problems. We also blocked updates from being applied via the internet. Then, once the KIR was installed to fix our September issue, we re-enabled our computers in WSUS. This is where the problem arises: the computers are working correctly in WSUS but are still updating via the internet.

Adam J. Marshall 10,786 Reputation points MVP

2026-06-08T12:42:51.6566667+00:00

So if you're controlling updates with WSUS, why did you exclude systems from WSUS management forcing them into either Intune management, WUfB, or just plain WU management and then block the internet access to them?

https://learn.microsoft.com/en-us/troubleshoot/windows-server/installing-updates-features-roles/known-issue-rollback#kir-lifecycle-management-what-to-do-once-kir-is-activated

Unless the KIR did this automatically (but that doesn't make sense as GPOs for configuring WSUS would overwrite the change). Why would you need to disable internet access to them?

What does a gpresult /h gpo.htm say on those computers? Does it show that it's supposed to use WSUS?

You can reset the settings on those computers and see what pulls through fresh from GPOs

https://www.ajtek.ca/wsus/how-to-reset-windows-update-gpo-settings/

Christelle Beunel 0

I removed my servers from WSUS and disabled all updates from the internet until my problem was resolved.
Once the KIR was installed, I re-added my servers to WSUS, and they now appear correctly in my console.

The gpresult result is OK.

I also reset the settings, but nothing changed.

Adam J. Marshall 10,786 Reputation points MVP

2026-06-08T15:28:24.39+00:00

Try removing the KIR package that you installed.

Christelle Beunel 0

I can't because if I uninstall it I'll have the same problem as in September again.

The problem is not related to this KIR because on some servers that are not affected by this WSUS issue, and which have this KIR installed, they function correctly.

Adam J. Marshall 10,786 Reputation points MVP

2026-06-08T17:07:37.4766667+00:00

What does a gpresult /h gpo.htm look like? Pastebin.com it or share with your favourite system and link to it here.
Christelle Beunel 0 Reputation points

2026-06-11T16:11:34.89+00:00

it look like that but i think you don't see the GPO details !

Christelle Beunel 0

If I compare it with another server that applies the same GPOs and functions correctly, there is no difference.
but this command line returns a correct value

Adam J. Marshall 10,786 Reputation points MVP

2026-06-11T23:59:33.85+00:00

Your screenshot is of the 'applying' the policy, not the policy itself. I would need to see the policy details.

Something like this (https://i.sstatic.net/9ML1H.png) screenshot.
Christelle Beunel 0 Reputation points

2026-06-12T06:51:25.2266667+00:00

Sorry ! Here is a new screenshot !
Adam J. Marshall 10,786 Reputation points MVP

2026-06-12T14:08:02.3666667+00:00

You have not updated the ADMX files for the latest Windows 11

https://www.ajtek.ca/wsus/how-to-setup-manage-and-maintain-wsus-part-3-windows-as-a-service-waas-and-group-policy-administrative-templates/

You are not specifying the scanning source, (Specify source service for specific classes of Windows Updates)

https://www.ajtek.ca/wsus/how-to-setup-manage-and-maintain-wsus-part-4-creating-your-gpos-for-an-inheritance-setup/

You also have policies that are legacy and don't do anything for any Win10/Win11/Server 2016+ system.

I'd recommend reading through my entire 8 part blog series linked above, and other blog articles and guides on my site.

Christelle Beunel 0

I only manage updates for my Windows servers, not for the PCs win10 and win11.


I am indeed using the ADMX files linked to my Windows Server 2022 Active Directory server. Most of my Windows Server 2025 servers are working, so the GPO is still correct. The ones that aren't working are the ones that were removed and then re-added to WSUS.
I tried adding the new ADMX files, but the result of `gpresult /h` is the same.

Adam J. Marshall 10,786 Reputation points MVP

2026-06-12T18:06:59.94+00:00

yes, the result is the same because all you did was load the new admx files. You have to go look at the policies and change them. Load the latest ADMX Files for Windows 11 25H2 from part 3 of my guide linked above. Then go look in the Windows Update category - you'll now see new locations

Similar to this screenshot:

If you use the guide I linked above, part 4 gives you the options and policies you need.

Windows Server 2025 = Windows 11 (same codebase)

Windows Server 2022 = Windows 10 (same codebase)

You need to do some reading and policy changing (specifically the scan source, but others apply too).

Just because "others are working" doesn't mean you have it correct. Your interpretation of "Correct policies" are the reason why you're in this predicament. They are not "fully correct".

Answer 2

Bonjour Christelle Beunel,

Merci pour votre retour. Le fait que la commande indique clairement que la source de mise à jour est « Internet » confirme que le client Windows Update ne bascule pas vers WSUS malgré la configuration. Sur Windows Server 2025, Microsoft a introduit des changements dans le moteur de Windows Update : si Windows Update for Business ou les stratégies de canal de maintenance sont activées, elles prennent la priorité sur WSUS et forcent le client à contacter directement Microsoft. Même si les clés de registre et la GPO semblent correctes, il est essentiel de vérifier dans gpedit.msc sous Configuration ordinateur → Modèles d’administration → Composants Windows → Windows Update → Windows Update for Business que toutes les options sont désactivées.

Je vous conseille également de contrôler le paramètre UpdateSource via PowerShell avec Get-WindowsUpdateLog et Get-WUServiceManager pour confirmer la source active. Si WSUS n’apparaît pas comme service, cela signifie que le client est verrouillé sur Microsoft Update. Dans ce cas, il faut supprimer toute configuration Windows Update for Business et forcer la redétection avec usoclient startscan. Enfin, assurez-vous que votre serveur WSUS est bien déclaré dans Active Directory et que la connectivité HTTPS est valide, car une erreur de validation SSL entraîne automatiquement un basculement vers Internet.

Si ma réponse vous a été utile, veuillez cliquer sur « Accepter la réponse » pour me soutenir.

Merci,

QQ.

Christelle Beunel 0 Reputation points

2026-06-08T09:43:02.24+00:00

Bonjour,

Merci pour votre réponse

Pour information , la configuration WSUS est correcte car certains ordinateurs fonctionnent correctement avec cette même GPO.

Ceux qui ne fonctionnent pas sont ceux que nous avons exclu de WSUS momentanément, suite à la mise de septembre 2025 qui nous posait des problèmes. Nous avions également bloqué les MAJ pour qu'elles ne s'appliquent pas non plus depuis internet. Ensuite, une fois le KIR installé pour corriger notre problème de septembre, nous avons remis nos ordinateurs dans WSUS. C'est là que le problème se pose: les ordinateurs sont corrects dans WSUS mais vont faire leur mise à jour sur internet.

Answer 3

Christelle Beunel 0

Bonjour,

J'ai vérifié toutes ces informations et tout semble correct !

La seule chose que je peux constater c 'est via cette commande où je constate bien que la source de MAJ est bien "internet" et non WSUS

User's image

0 comments

Answer 4

Bonjour Christelle Beunel,

Le fait que vos serveurs Windows Server 2025 téléchargent les mises à jour directement depuis Internet malgré une configuration WSUS correcte indique que la stratégie de groupe ou le registre n'applique pas correctement les paramètres de redirection. Les clés critiques sont HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\WUServer et WUStatusServer, qui doivent pointer vers votre serveur WSUS. La valeur UseWUServer sous HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU doit être définie sur 1. Si ces clés existent mais que le service Windows Update continue de contacter Microsoft, cela est souvent lié au service Windows Update Medic ou à Windows Update Orchestrator qui réinitialise la configuration, ou à une stratégie de groupe mal appliquée.

Je recommande de vérifier avec gpresult /h report.html que la stratégie de groupe WSUS est correctement appliquée à ces serveurs, puis d'exécuter wuauclt /detectnow ou usoclient startscan pour forcer la détection. Si les serveurs sont en mode Canal semi-annuel ou configurés pour recevoir les mises à jour de sécurité via Windows Update pour Entreprises, ils ignoreront WSUS. Dans ce cas, vous devez désactiver Windows Update pour Entreprises dans la stratégie et vous assurer que la source de mise à jour est exclusivement WSUS. Enfin, vérifiez la validité du certificat SSL du serveur WSUS si vous utilisez HTTPS, car une erreur de validation force le client à basculer vers Microsoft Update.

Si ma réponse vous a été utile, veuillez cliquer sur « Accepter la réponse » pour me soutenir.

Merci,

QQ.

Share via

Mise à jour via WSUS

4 answers

Your answer