如何通过组策略禁止 Windows 10 自动下载高危漏洞补丁？

通过本地组策略无法直接按“高危漏洞”标签筛选并禁止下载，但可以通过配置延缓质量更新或暂停更新来阻止自动下载行为。适用场景为需要人工审核补丁的测试环境或特定生产机，风险边界是延缓期间系统可能暴露在已知安全漏洞下。

先说结论：组策略主要用于控制 Windows 更新的时机和行为，无法精确识别补丁的风险等级，建议通过延缓更新争取测试时间。

命令速用版

打开组策略编辑器的快速命令如下，执行后进入配置界面：

gpedit.msc

如果系统提示找不到文件，说明当前版本不支持本地组策略，需使用注册表或升级系统版本。

Windows 更新服务默认优先下载并安装标记为重要的安全补丁，本地组策略没有直接拦截特定 CVE 风险等级补丁的开关。管理员通常通过延缓质量更新（Quality Updates）来间接控制安全补丁的安装时间，以便先在测试机验证兼容性。

以下操作基于 Windows 10 专业版及以上版本，每一步完成后需确认配置状态。

步骤 1：打开组策略编辑器
按 Win + R 键，输入 gpedit.msc 并回车。如果无法打开，说明当前系统版本不支持，需跳过此方法。

步骤 2：定位 Windows 更新配置项
依次展开计算机配置 > 管理模板 > Windows 组件 > Windows 更新。在右侧找到“配置自动更新”或“延缓质量更新”相关策略。

步骤 3：配置延缓更新策略
双击“选择质量更新被延缓的时间”，设置为“已启用”，并将暂停天数调整为最大值（通常为 30 天）。此操作不会永久禁止，但能阻止自动立即下载。

步骤 4：配置自动更新行为
双击“配置自动更新”，设置为“已启用”，并选择选项 2“通知下载并通知安装”。这能确保补丁不会在后台静默下载。

操作完成后，打开设置 > 更新和安全 > Windows 更新页面。如果配置生效，页面应显示“某些设置由你的组织来管理”字样，且更新状态显示为暂停或等待管理员操作。

也可运行结果集策略命令查看策略应用情况：

rsop.msc

在打开的窗口中导航至计算机配置 > 管理模板 > Windows 组件 > Windows 更新，确认对应策略状态为“已启用”。

Windows 10 家庭版默认不包含组策略编辑器，强行导入脚本可能存在稳定性风险。延缓更新有期限限制，到期后系统会强制下载累积更新。完全禁止安全更新会导致系统不符合合规要求，仅建议在隔离测试环境使用。

本地组策略不支持按风险等级筛选补丁，只能统一延缓质量更新。

部分系统版本会忽略本地策略，需检查是否被域控策略覆盖或系统版本过低。

家庭版无法使用组策略，建议通过设置网络为按流量计费来限制后台下载。