Patch-Check-Referenz

Plattformübergreifender Patch-Check (Windows, Linux, macOS). Konfigurationsfelder, MSRC-Schweregrade, Ausgabeschema und plattformspezifische Erkennungsdetails.

Patch-Check-Referenz

Im Check-Katalog erscheint dieser Check als Systemupdates (EN: System Updates).

Plattformübergreifend: Der Patch-Check läuft unter Windows, Linux und macOS (jeweils x64 und ARM64). Unter Windows nutzt er die Windows Update API; unter Linux fragt er den nativen Paketmanager ab (apt, dnf, yum, zypper oder pacman); unter macOS nutzt er softwareupdate. Der Agent erkennt das Betriebssystem automatisch.

Konfigurationsfelder

Beide Schwellenwerte vergleichen die Anzahl der passenden Updates, nicht die reine Anzahl ausstehender Updates. Unter Windows passt ein Update, wenn es den Schweregradfilter und das Mindestalter der Updates passiert. Unter Linux und macOS passt jedes ausstehende Update — außer Nur Sicherheitsupdates zählen ist aktiviert, dann nur die sicherheitsrelevanten.

Feld	Typ	Erforderlich	Standard	Beschreibung
Warnschwelle	integer	Nein	1	Warnung, wenn mindestens so viele passende Updates ausstehen
Kritische Schwelle	integer	Nein	10	Kritischer Alarm, wenn mindestens so viele passende Updates ausstehen
Nur Sicherheitsupdates zählen (Linux/macOS)	boolean	Nein	false	Unter Linux/macOS nur sicherheitsrelevante Updates zählen (das Security-Repository unter Linux, empfohlene Updates unter macOS). Keine Auswirkung unter Windows, das stattdessen den Schweregradfilter nutzt.
Schweregradfilter (Windows)	array (Mehrfachauswahl: Critical, Important, Moderate, Low)	Nein	["Critical", "Important"]	Nur Windows: MSRC-Schweregrade, die beim Zählen ausstehender Updates berücksichtigt werden. Updates, deren Schweregrad nicht in dieser Liste steht, werden ignoriert — es sei denn, Optionale / Vorschau-Updates einbeziehen ist aktiviert: Optionale Updates tragen keinen Schweregrad und werden unabhängig von diesem Filter gezählt. Leer lassen, um alle zu zählen. Unter Linux/macOS ignoriert. Nur sichtbar unter Erweiterte Optionen anzeigen.
Mindestalter der Updates (Tage, Windows)	integer	Nein	3	Nur Windows: Updates, die jünger als diese Anzahl Tage sind, werden ignoriert, damit neu veröffentlichte Patches reifen können, bevor sie auf die Schwellenwerte angerechnet werden. Linux/macOS-Updates tragen kein zuverlässiges Veröffentlichungsdatum pro Update, daher hat dies dort keine Auswirkung. Nur sichtbar unter Erweiterte Optionen anzeigen.
Optionale / Vorschau-Updates einbeziehen (Windows)	boolean	Nein	false	Nur Windows: auch optionale Nicht-Sicherheitsupdates wie monatliche Vorschau-Kumulativupdates zählen. Diese tragen keinen MSRC-Schweregrad und werden daher unabhängig vom Schweregradfilter gezählt. Optionale Treiberupdates bleiben ausgeschlossen. Keine Auswirkung unter Linux/macOS. Nur sichtbar unter Erweiterte Optionen anzeigen.

MSRC-Schweregrade (Windows)

Unter Windows werden ausstehende Updates anhand ihres Schweregrads vom Microsoft Security Response Center (MSRC) klassifiziert, und das Feld Schweregradfilter steuert, welche Schweregrade auf die Schwellenwerte angerechnet werden. Linux und macOS kennen keine MSRC-Schweregrade — dort bestimmt stattdessen die Option Nur Sicherheitsupdates zählen, welche Updates gezählt werden.

Schweregrad	Bedeutung
Critical	Eine Ausnutzung könnte Codeausführung ohne Benutzerinteraktion ermöglichen
Important	Eine Ausnutzung könnte Vertraulichkeit, Integrität oder Verfügbarkeit von Daten beeinträchtigen
Moderate	Auswirkungen werden durch Standardkonfiguration, Auditierung oder die Schwierigkeit der Ausnutzung gemindert
Low	Auswirkungen werden durch Eigenschaften der betroffenen Komponente umfassend gemindert

Ausgabe

Jeder Lauf liefert:

Feld	Beschreibung
`platform`	Erkannte Agent-Plattform: `windows`, `linux` oder `macos`
`pendingCount`	Gesamtzahl ausstehender Updates, die die Update-Quelle der Plattform meldet (vor Schweregrad- und Altersfilter)
`criticalUpdateCount`	Windows: Anzahl ausstehender Updates mit MSRC-Schweregrad `Critical` nach dem Mindestalter-Filter
`importantUpdateCount`	Windows: Anzahl ausstehender Updates mit MSRC-Schweregrad `Important` nach dem Mindestalter-Filter
`securityUpdateCount`	Linux/macOS: Anzahl sicherheitsrelevanter ausstehender Updates. Unter Windows entspricht dies Critical + Important
`updates[]`	Details je Update, gekürzt auf die ersten 20 Einträge. Unter Windows enthält die Liste die Updates, die den Schweregrad- und Mindestalter-Filter passieren, zuzüglich der optionalen/Vorschau-Updates, wenn Optionale / Vorschau-Updates einbeziehen aktiviert ist. Unter Linux und macOS enthält sie jedes ausstehende Update, unabhängig davon, ob Nur Sicherheitsupdates zählen aktiviert ist. Jeder Eintrag enthält `title`, `severity` und `kbId` (nur Windows — Linux- und macOS-Einträge tragen keine KB-Nummer). `severity` enthält unter Windows den MSRC-Schweregrad, unter Linux `Security` oder `Update` und unter macOS `Recommended` oder `Optional`.

Wie Updates erkannt werden

Plattform	Verwendetes Tool	Was geprüft wird
Windows	PowerShell-Skript (`powershell.exe`), das die Windows Update COM API über `New-Object -ComObject Microsoft.Update.Session` instanziiert	Fragt den Windows Update Agent ab. Berücksichtigt die WSUS-Maschinenrichtlinie — wenn das Gerät an einen WSUS-Server meldet, werden nur WSUS-freigegebene Updates angezeigt
Linux	Der erste verfügbare native Paketmanager: `apt`, `dnf`, `yum`, `zypper` oder `pacman`	Listet aktualisierbare Pakete aus den konfigurierten Repositories. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur sicherheitsrelevante Updates gezählt (Security-Repository bei apt, Security-Advisories bei dnf/yum, Security-Patches bei zypper). pacman (Arch) kennt keine Sicherheitsklassifizierung — dort zählt diese Option keine Updates
macOS	`softwareupdate -l`	Listet verfügbare macOS-Softwareupdates. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur empfohlene Updates gezählt

Der octoja Agent erkennt das Betriebssystem automatisch. Es ist keine manuelle Konfiguration erforderlich.

Update-Verwaltung

Unabhängig vom gerätebezogenen Patch-Check stellt octoja unter Patch-Verwaltung → Update-Katalog eine umgebungsweite Übersicht über jedes Update bereit. Der Katalog umfasst Windows- und macOS-Updates. Beim Öffnen eines Updates siehst du seine Hinweise, seinen Blockierungsstatus und den Status des Updates auf jedem betroffenen Gerät.

Ein Update blockieren

Auf der Detailseite eines Updates sperrst du es über Update blockieren — mit optionalem Grund und optionalem Ablaufdatum. Eine Blockierung gilt global: Sie greift überall in der Umgebung, nicht pro Patch-Richtlinie, und das Update wird keinem Gerät zugewiesen, solange die Blockierung gilt. Blockierungen werden über die KB-Nummer geführt, daher erscheint die Schaltfläche bei Updates, die eine solche tragen. Blockieren und Freigeben erfordern die Berechtigung Patch-Richtlinien verwalten.

Feld	Beschreibung
Update blockieren / Update freigeben	Fügt eine globale Blockierung hinzu oder entfernt sie, anhand der KB-Nummer des Updates
Grund (optional)	Freitext-Notiz, die mit der Blockierung gespeichert und überall dort angezeigt wird, wo die Blockierung erscheint — auch auf dem Tab Updates des Geräts
Blockiert bis (optional)	Datum, an dem die Blockierung von selbst endet. Lässt du das Feld leer, bleibt das Update blockiert, bis es jemand freigibt; mit Datum endet die Blockierung am Ende des gewählten Tages
Blockiert-Abzeichen	Wird im Katalog und auf der Detailseite angezeigt, solange die Blockierung gilt; das Update wird keinem Gerät zugewiesen, bis die Blockierung aufgehoben wird oder abläuft

Hinweise zu Updates

octoja führt für jedes Update Hinweisinformationen zusammen, sodass ein problematisches Update vor dem Ausrollen erkannt werden kann.

Hinweis	Quelle
Bekannte Probleme	Von Microsoft zum Update veröffentlichte Probleme, jeweils mit einem Status wie Bestätigt, Entschärft, Wird untersucht, Workaround verfügbar oder Behoben
Community-Meldungen	Aus der breiteren Community gesammelte Problemmeldungen
Von anderen octoja-Nutzern gemeldet	Ein mandantenübergreifendes Signal, das zeigt, wie viele andere octoja-Nutzer das Update markiert oder bereits blockiert haben

Zurückgezogene Updates

Die Detailseite eines Updates listet jedes betroffene Gerät zusammen mit dem Status des Updates auf diesem Gerät. Ein macOS-Gerät zeigt Zurückgezogen, wenn softwareupdate das Update zum Installationszeitpunkt nicht mehr anbietet — Apple hat es zurückgezogen oder ein neueres Update hat es ersetzt. Derselbe Status erscheint in den Ergebnissen des Patch-Zyklus und zählt dort nicht als Fehlschlag, sodass ein Zyklus trotzdem sauber abschließt.

Hinweise

Unter Windows nutzt der Check denselben Update-Mechanismus wie die Windows Update-Einstellungen.
Wenn deine Organisation Updates über WSUS (Windows Server Update Services) verwaltet, meldet der Check nur Updates, die von deinem WSUS-Administrator freigegeben wurden.
Der Check meldet ausstehende Updates. Das Installieren übernimmt eine Patch-Richtlinie — den Rollout konfigurierst du unter Patch-Verwaltung → Richtlinien. Der Tab Updates eines Geräts listet dessen ausstehende Updates und zeigt je Update, wann eine Richtlinie es eingeplant hat.
Wenn die Warnschwelle höher konfiguriert ist als die kritische Schwelle, tauscht der Check die beiden Werte zur Laufzeit, sodass die kritische Schwelle die Obergrenze bleibt.
Standardmäßig läuft der Check alle 6 Stunden.
Wenn der Check gar nicht laufen kann — kein unterstützter Paketmanager unter Linux, softwareupdate unter macOS nicht verfügbar, eine nicht unterstützte Plattform oder nicht auswertbare Tool-Ausgabe — meldet er statt einer Update-Anzahl ein Fehler-Ergebnis mit passender Meldung.

Siehe auch: Einen Patch-Check konfigurieren