win2008补丁汇总

Windows Server 2008 的丁汇补丁支持早在 2020 年 1 月就正式结束了。但直到今天，丁汇仍然有大量老旧业务系统跑在这套系统上——我上个月还碰到一个客户，丁汇他们的丁汇 ERP 跑在 2008 R2 上，理由是丁汇“迁移成本太高，先凑合用”。丁汇凑合的丁汇结果就是，每次勒索病毒爆发，丁汇他们都要断网拔线折腾好几天。丁汇

先说清楚一个事实：微软官方对 Server 2008 SP2 的丁汇扩展安全更新（ESU）也已经于 2023 年 1 月终止。这意味着，丁汇即便你愿意花钱买 ESU，丁汇现在也买不到了。丁汇剩下的丁汇补丁来源只有两个——历史累积更新包，以及第三方社区维护的丁汇补丁合集。

SP2 是底线，不是终点

很多人以为装到 SP2 就万事大吉。SP2 发布于 2009 年，它本身只是一个基础平台。SP2 之后微软又发了上百个安全补丁，光是我手头整理的一份离线补丁清单，从 2009 年到 2020 年 1 月，关键安全更新就有 300 多个。其中 MS17-010（永恒之蓝漏洞补丁）是必须打的，不打这个，445 端口开着就是在裸奔。

还有个容易忽略的点：Server 2008 和 2008 R2 是两个不同的内核版本。2008 是 Vista 内核（6.0），2008 R2 是 Win7 内核（6.1）。补丁不通用。下载前先确认自己跑的是哪个版本，winver 命令一看便知。

离线补丁包怎么选

WSUS 服务器如果还在跑，理论上可以继续下发历史补丁。但很多小型环境根本没有 WSUS，只能手动打。我一般推荐两种做法：

一是用 WSUS Offline Update 这个工具。它虽然是社区项目，但至今仍在更新，能自动抓取 Server 2008 的历史补丁并生成离线安装包。缺点是下载慢，第一次跑可能要一整天。

二是直接下载微软更新目录（Microsoft Update Catalog）里的累积汇总。2008 R2 最后一个累积更新是 KB4535102（2020 年 1 月），2008 SP2 对应的是 KB4535101。这两个包包含了之前大部分安全修复，装完能省不少事。但注意，它们不包含 .NET Framework 的补丁，也不包含 IE 的累积更新，这些得单独打。

几个我踩过的坑

补丁安装顺序有讲究。先装 servicing stack 更新（比如 KB4490628），再装最新累积汇总。顺序反了会报 0x80092004 错误，我遇到过好几次，排查半天才发现是堆栈没更新。

.NET Framework 的补丁别漏。Server 2008 R2 默认带 .NET 3.5.1，很多老程序还依赖它。最后一批 .NET 安全补丁是 2020 年 1 月的，比如 KB4535103（.NET 3.5.1）和 KB4535104（.NET 4.8）。不打的话，某些反序列化漏洞照样能被利用。

还有，装完补丁一定要重启。我见过有人装完不重启就上线，结果补丁根本没生效——Windows 的补丁机制就是这样，文件替换在重启后才完成。

现实一点的做法

如果你现在还在维护 Server 2008，补丁只能算基本防护。更实际的做法是：把 445、135、139 这些端口在防火墙上封死，只允许必要的业务 IP 访问。RDP 不要暴露在公网，实在要用就套 VPN。补丁打不全的系统，网络隔离比什么都重要。

我自己的判断是，2024 年还跑 Server 2008 的环境，要么是工控场景动不了，要么是预算卡死了。前者可以理解，后者就是在赌运气。补丁能打就打，打不了就断网，别心存侥幸。