装不上就是火绒装不上，双击安装包，高危功进度条卡在三分之一，漏洞然后弹窗消失，安装像什么都没发生过。不成这是火绒上周三下午我在一台Windows Server 2019上遇到的事。火绒推送了一个高危漏洞补丁，高危功编号KB5034441，漏洞系统提示重启后安装失败，安装回滚完成。不成反复三次，火绒一模一样。高危功

这台机器跑着一套内部OA，漏洞平时不连外网，安装补丁是不成通过火绒控制台统一推的。控制台显示"下发成功"，终端显示"安装失败"，两边打架。我先查了火绒的日志，C:\Program Files\Huorong\Sysdiag\Update\ 下面有个log文件夹，打开最新的那个，最后几行写着"InstallWorker return code: 0x80070643"。这个错误码不陌生，Windows更新里常见，通常跟恢复分区空间不足有关。

但火绒的漏洞修复跟Windows Update走的不是同一条路。它自己下载补丁包，自己调用DISM或者wusa去装。问题就出在这儿——火绒的安装器没有正确处理恢复分区过小的场景。微软官方对KB5034441有过说明，要求恢复分区至少250MB可用空间，很多机器默认的恢复分区只有50MB左右。火绒的检测逻辑跳过了这一步，直接硬装，结果就是回滚。

我手动试了一下。把补丁包从火绒缓存目录里提出来，是个.cab文件，用DISM离线安装，同样报错。查恢复分区，果然，500MB的分区，可用空间只剩不到30MB。用REAgentC调整分区大小？风险太高，生产环境不敢动。最后是临时禁用恢复分区，装完补丁再重新启用，绕过去了。

但这不是个例。我在几个运维群里问了一圈，至少七八个人遇到同样的问题。有人是Windows 10 22H2，有人是Server 2022，错误码都是0x80070643。火绒官方论坛上也有帖子，官方回复是"建议检查系统恢复分区空间"，但没有在安装器里做前置检测。这就很别扭——用户装个安全补丁，还得先自己去查分区表。

火绒的漏洞修复模块一直有个特点：轻量，不依赖Windows Update服务。好处是干净，不会像系统更新那样拖家带口。坏处是它得自己处理所有边界情况，而恢复分区空间这个坑，显然没填上。对比一下，360的漏洞修复会先跑一遍环境检测，空间不够会提示"跳过此补丁"；腾讯电脑管家的做法更直接，自动调用REAgentC扩容。火绒在这块的处理显得粗糙。

还有个细节。安装失败后，火绒的界面只显示"安装失败"，不显示具体原因。用户得自己去翻日志。对于普通用户，这等于没有信息。对于运维，多了一步排查。我后来在火绒的配置文件里找到一行 SkipRecoveryPartitionCheck=1，手动改成0，重新下发，这次安装器弹了个提示："恢复分区空间不足，建议手动处理"。算是半自动。

所以如果你也卡在这个补丁上，先别急着重装系统。打开磁盘管理，看一眼恢复分区的大小和可用空间。如果低于250MB，要么用第三方工具扩容，要么临时禁用恢复分区装完再启用。火绒那边，估计下一个版本会修，但在那之前，只能自己动手。

补丁本身是修一个远程代码执行漏洞，CVSS评分8.8，不装肯定不行。但装个补丁搞得像拆弹，体验确实差。火绒的产品逻辑一向是"不打扰用户"，可这种时候，不打扰反而成了不负责。该弹的窗，还是得弹。