あらためて、Windows Server ホットパッチとは（2）

みなさん、こんにちは。ネットワールドでSA（ソリューションアーキテクト）として活動している後藤です。

前回記事で、「Azure Arcで接続されたWindows Server 2025に対するホットパッチが追加料金不要になりました」と紹介させていただきました。

前回記事はこちらです。

blogs.networld.co.jp

かなり時間が空いてしまいましたが、Windows Server 2025でホットパッチを有効化する手順を追いかけたいと思います。

時間が空いてしまった理由は、前回記事にも書きましたが、2026/06のホットパッチがキャンセルされ通常の累積アップデートになってしまったためで、6月、7月と累積アップデートが続き、ホットパッチ対応の更新プログラムがリリースされたのが2026/08になってしまったためです。

ようやくホットパッチ対応更新プログラムがリリースされましたので、まっさらのWindows Server 2025でホットパッチを有効化し、実際にホットパッチでアップデートを行うステップを追いかけていきます。

1：最初に注意事項とお願い
2：ホットパッチを有効化するWindows Server 2025の準備
3：ホットパッチの有効化
4：VBS（VSM）の有効化
5：（改めて）ホットパッチの有効化
6：AUMによるホットパッチ適用
7：本当に再起動していないのか？
8：まとめ

1：最初に注意事項とお願い

本記事は、筆者の知りうる公開情報と実機検証をもとに記述しています。

内容については、正確を期することを心がけていますが、万が一誤った記述があればご指摘いただけると幸いです。

また、Microsoftの公式見解が必要な場合は、Microsoftサポートまでお問い合わせいただけますよう、よろしくお願いします。

なお、執筆時点（2026年8月下旬）で、AzureポータルのAzure Arcのページの一部が、なぜか日本語ではなく英語で表示されてしまっています。

スクリーンショットはそういった環境で取得していますので、英語表示になってしまっている点をご了解いただければ幸いです。

2：ホットパッチを有効化するWindows Server 2025の準備

今回、ホットパッチを有効化するWindows Server 2025として、以下のような環境を準備しました。

Hyper-V上で稼働する第二世代仮想マシンに、Windows Server 2025 Datacenterをインストール
インストールは、MSDNからダウンロードした2026/07の累積アップデートが適用されたメディアを使用して実施。言語は日本語版。
Azure Arc対応サーバーとして、Azureに接続済み
Windows Serverのライセンスは、Azure Arcによる従量課金ライセンス

従量課金ライセンスは、Azure Arc接続の際に有効化しています（画面1）。

Azure Arcに接続する以外は、全くいじっていないまっさらなWindows Server 2025です。

このWindows Server 2025に対して、ホットパッチを有効化していきます。

3：ホットパッチの有効化

ホットパッチの前提条件や有効化の手順は、前回記事でも紹介しました。

概略は前回記事で把握いただいていると思いますので、ちょっと細かく見ていきたいと思います。

Azure Arcに接続したWindows Server 2025でホットパッチを有効化するには、Azure Arcに接続されたWindows Server 2025をAzureポータルで表示し、Overviewのページにて「Hotpatch」のアイコンをクリックすることで、有効化を行うウィンドウが表示されます（画面2）。

何もなければ、この画面で「Receive monthly Hotpatch updates」にチェックを入れて「confirm」をクリックすれば完了なのですが、画面2ではホットパッチを有効化するための前提条件である「仮想化ベースのセキュリティ（Virtualization-Based Security：VBS）」が有効ではないと表示されています。

前提条件をクリアしないとホットパッチが有効化できないのは道理なので、VBSを有効化しましょう。

4：VBS（VSM）の有効化

VBSというか仮想化セキュアモード（VSM）の有効化はWindows Server 2025での作業になります。

最初に、VSMが有効化されているかを確認するために、以下のPowerShellを実行します。


Get-CimInstance -Namespace 'root/Microsoft/Windows/DeviceGuard' -ClassName 'win32_deviceGuard' | Select-Object -ExpandProperty 'VirtualizationBasedSecurityStatus'

今回準備した環境でのコマンドレット実行結果が画面3になります。

戻り値が「2」以外の場合はVSMが有効化されていませんので、VSMを有効化します。これもPowerShellで実施します。


New-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType 'Dword' -Value 1 -Force

PowerShell的にはレジストリキー「EnableVirtualizationBasedSecurity」を追加して値を「1」に設定、って感じですね。

実行結果は画面4になります。