Windows Server 2022进扩展支持，美国服务器要不要换系统？

这篇讲一个时间更长的事：补丁以后还会不会有。

两条消息是前后脚来的。10月13日，Windows Server 2022结束主流支持，转入扩展支持；10月14日，微软发了10月的例行补丁，1413个CVE，有记录以来最多的一次。本站全球新闻栏目16日把两条都编译了，这里不重复讲数字，讲租美国服务器的人怎么对号入座。

扩展支持到底少了什么

先说没少的：安全更新。微软的说法是，扩展支持期内每月安全更新照发，不另收费，到2031年10月14日为止。也就是还有五年。

少了的是三样：新功能，非安全类的修复（比如某个驱动兼容问题、某个性能bug），还有免费的技术支持——扩展支持期内要找微软支持得另外付费。换句话说，2022从现在起只修"会被攻击的洞"，不修"用着不顺手的地方"。

有一个例外要单独说。热补丁（hotpatching，不重启装补丁）微软延长到了2027年10月，但只对Datacenter: Azure Edition这一个版本有效。租独立服务器装的是标准版或者Datacenter版，不在范围里，该重启还是得重启。这正好接上10月2日那篇的话题。

为什么这次补丁日要单拎出来

1413个CVE里，和租来的服务器关系最直接的是两组。

一组是Hyper-V。两个宿主机层面的远程代码执行（CVE-2026-102214、CVE-2026-105733），外加一个提权（CVE-2026-108399）。租一台物理机，自己用Hyper-V切成几个虚拟机跑不同业务，这种用法在美国服务器用户里很常见。宿主机的洞和虚拟机里的洞不是一个量级：虚拟机被打穿是一个业务出事，宿主机被打穿是所有业务一起出事。偏偏宿主机往往是最少人登上去、最不常更新的那台。

另一组是DHCP Server，五个严重级RCE（CVE-2026-96934、88117、88120、88119、88171）。单台租用服务器上开DHCP的不多，但如果你拿这台机器做了内网网关，给后面的虚拟机或者VPN客户端分地址，就在范围内。

另外有一个零日已经在被利用：CVE-2026-96951，Windows Shell的安全功能绕过。级别是"重要"不是"严重"，但"已在被利用"这几个字的优先级高过级别本身。

哪些机器要先动

把手上跑2022的美国服务器分三类。

第一类，Hyper-V宿主机。不管虚拟机里跑什么，宿主机这次的补丁先打，而且要重启。顺序参考9月23日那篇：先确认有一条带外管理的路能进去，再动。

第二类，对公网开着服务的。网站、游戏服、API。这类机器补丁按月跟，主流支持结束对它们没有直接影响，该来的安全更新还是会来。

第三类，内网用的、不对外的。跑数据库、跑定时任务那种。这类可以缓，但缓的意思是排一个窗口，不是不做。

要不要换成2025

分两种情况。

新开的机器，直接选Windows Server 2025。它的主流支持到2029年11月，扩展支持到2034年11月。没有理由在2026年10月之后还去装一个已经进入扩展支持的系统，哪怕手头的部署脚本是按2022写的——改脚本花的时间，比2029年再迁一次少得多。

存量机器，不用现在换。五年的安全更新是实打实的，业务跑得好好的，为了换系统去冒一次迁移风险没有必要。但要给自己定一个时间点。建议盯两件事：一是你用的面板、杀毒、数据库这些第三方软件什么时候把2022从支持列表里拿掉，这通常比微软的截止日期来得早；二是2027年底前后回头看一次，那时候离2031年还有四年，换起来比2030年再换从容得多。

SellBGP的美国服务器在洛杉矶CoreSite LA2和600 West 7th Street机房，新开机器时直接指定Windows Server 2025，存量机器也可以重装。要迁移的，建议先开一台同配置的新机把业务跑通再切，别在原机上原地升级。原地升级出了问题，9月23日那篇里"出事的时候你正在睡觉"的情况就会再来一次，而且这次没有补丁可以回滚。