内容摘要：Windows Server 2012 的补丁，现在找起来比三年前费劲多了。微软官方在 2023 年 10 月彻底停止了 2012 和 2012 R2 的扩展安全更新，普通补丁页面直接跳转到"该产品已

Windows Server 2012 的丁下补丁，现在找起来比三年前费劲多了。丁下微软官方在 2023 年 10 月彻底停止了 2012 和 2012 R2 的丁下扩展安全更新，普通补丁页面直接跳转到"该产品已终止支持"的丁下提示。但现实是丁下，不少工厂的丁下工控机、医院的丁下旧 HIS 系统、甚至某些政府内网还在跑这玩意儿——不是丁下不想升，是丁下上面的软件根本动不了。

我上个月帮一个做模具的丁下朋友处理过这事。他那台戴尔 R720 装的丁下 2012 R2，勒索病毒把数据库锁了，丁下重装后需要打齐补丁再恢复数据。丁下结果去微软官网翻了一圈，丁下连 2023 年 10 月之前的丁下月度汇总都藏得很深。后来发现，补丁其实还在，只是入口变了。

官方渠道：还在，但得绕路

微软的 Microsoft Update Catalog（catalog.update.microsoft.com）是唯一还提供 2012 补丁直接下载的地方。搜索时别输 "Windows Server 2012"，用 KB 编号更准。比如最后一个官方月度汇总包是 KB5031419（2023 年 10 月），安全更新是 KB5031407。这些包在 Catalog 里仍然能搜到，下载链接也没失效。

有个细节：2012 和 2012 R2 的补丁是分开的，别下错。2012 的内核版本是 6.2，2012 R2 是 6.3，装错了直接报错。我习惯先看文件名的 "2012" 后面有没有 "R2"，没有就是 2012 本尊。

另一个坑是 .NET Framework 的补丁。很多老系统跑的是 .NET 4.5 或 4.8，这些补丁不在月度汇总里，得单独搜 "Windows Server 2012 .NET Framework"。KB 编号通常是 5 开头的六位数，比如 KB5029920 这类。

第三方归档站：能用，但得留个心眼

如果 Catalog 里搜不到某个特定补丁，可以试试 catalog.update.microsoft.com 的镜像站，比如 windowsupdate.com 的存档页面。不过这些站点广告多，下载按钮有时候是假的，得看清文件大小——2012 的累积更新通常在 300MB 到 700MB 之间，几十 KB 的肯定是垃圾。

更稳的办法是去 WSUS Offline 这个开源项目。它把微软的补丁做成了离线包，支持 2012 R2。下载完整包大概 10GB 左右，解压后运行 UpdateInstaller.exe，它会自动按顺序装。我试过，比手动一个个下省事，但首次同步慢，得挂一晚上。

装补丁的顺序有讲究

2012 的补丁不能乱装。先装 Servicing Stack Update（服务堆栈更新），再装月度汇总，最后装 .NET 和其他组件。服务堆栈的 KB 编号是 5 开头的，比如 KB5023780。跳过这步直接装累积更新，大概率卡在 "正在安装更新 0%"。

还有，2012 的补丁装完后重启特别慢，尤其是机械硬盘的机器。我见过一台老 IBM 服务器重启了 47 分钟。别以为死机了，等就行。

没有官方支持之后怎么办

如果只是内部测试机，装到 2023 年 10 月的补丁基本够用。但要是暴露在公网的环境，光靠补丁已经不够了——微软不再修新漏洞，2024 年之后爆的 CVE 都没对应补丁。我的建议是：能升 2016 就升，升不了就加防火墙规则，只放行必要端口，RDP 千万别直接映射到外网。

实在动不了的，可以试试 0patch 这类第三方微补丁平台，他们给 2012 提供部分漏洞的热修复，一年几百美元。贵，但比中勒索病毒便宜。

补丁下载本身不难，难的是搞清楚哪台机器到底缺哪个。我习惯用 PowerShell 跑 Get-HotFix 导出已装列表，再跟 WSUS Offline 的清单对比。这法子笨，但不会漏。