Office 无法更新：如何强制安全更新

Si Office 未更新，您的计算机安全开始受到威胁。你并不孤单。许多人发现，即使自动更新已启用，Word、Excel 或 Outlook 仍然运行在旧版本上。这不仅令人恼火，还会使你的系统容易受到恶意软件、病毒或勒索软件的攻击，而这些恶意软件和勒索软件在新版本中早已被修复。

在本文中您将找到指南 完整且非常详细地介绍了如何强制安全更新 Microsoft Office。这适用于家庭和企业环境（Microsoft 365 企业应用版、Office 2019、Office LTSC 2021 以及更早版本，例如 Office 2016 或 Office 2013）。我们将探讨更新失败的原因、如何检查配置、如果公司策略阻止更新该如何操作、如何使用 Intune 或 SCCM 进行更新，以及如何解决由补丁程序失败引起的常见错误。

为什么 Office 明明应该更新却没有更新？

现代版 Microsoft Office 默认设置为自动更新。 微软发布新版本和安全补丁后，自动更新功能理应立即启用。然而，实际操作中，经常会发现打开“文件”>“帐户”选项卡后，自动更新功能被禁用，或者管理自动更新的菜单呈灰色或隐藏状态。

在许多电脑上，您会在 Office 后台区域看到一条通知，指示： 更新功能由组织禁用或管理。这会造成一种虚假的安全感：用户看到“Microsoft 365 企业应用版”已安装，就认为自己是最新版本，但实际上，相对于配置的更新通道而言，该版本已经过时了。

这种行为的起因，在大多数情况下，可以归结为两个原因： 用户手动配置或通过组策略进行控制要么是有人在 Office 应用程序内部禁用了更新，要么是公司实施了集中式配置（GPO、Intune、SCCM 或其他解决方案），限制了更新的时间和方式。

也存在这样的情况： 计划更新任务已运行，但未安装任何内容。例如，“Office 自动更新 2.0”任务可能被标记为成功，但 Word 或 Excel 版本直到用户手动单击“立即更新”才会更改。这通常表明存在通道配置不正确、策略冲突或安装文件（即点即用、本地缓存等）问题等多种原因。

第三种情况，也是商业环境中相当典型的情况： 管理员在 config.office.com 维护门户网站上看到计算机状态为“未启动”。 尽管已配置强制打补丁的配置文件，但系统仍处于更新状态。也就是说，控制台显示机器已过时，但客户端上的更新命令始终无法正确执行。

Office 无法更新的常见症状

当您的 Office 更新出现真正问题时，一些关键指标往往会反复出现。 及早发现这些问题有助于防止安全漏洞和兼容性问题。 使用文档或宏。

最明显的症状之一是，当转到“文件”>“帐户”（或 Outlook 中的“Office 帐户”）时， “更新选项”选项显示为已禁用或隐藏。在某些情况下，只会显示“关于”选项，并且无法通过界面启用或禁用更新。这通常意味着您使用的是批量许可安装，或者您的组织通过组策略控制更新。

企业中另一个常见的指标是，从 Intune 或 Microsoft 365 管理门户中， 目前没有直接的方法可以查看用户是否在其会话中选择了“禁用更新”。管理员只注意到构建过程没有进展，安全评分正在下降，因为签名和补丁没有被应用。

我们必须添加与以下方面相关的症状： 安装或卸载更新时出现补丁错误 来自 Office 的一些常见错误代码包括：17031（无效基线）、17302（MSoCache 问题）、17025（补丁已安装）、17028（该补丁没有有效产品）或 17044（安装程序检测失败）。这些错误可能表明缺少 MSI 文件、清理工具删除了不应删除的内容，或者注册表中残留了旧版本 Office 的痕迹。

最后，在 Microsoft 365 企业应用版、每月企业频道中， 机器无法按预期速度自动更新的情况比较常见。尽管已配置了相应的策略。最明显的症状是：通过“立即更新”按钮进行更新有效，但自动更新过程不会触发或下载任何内容。

手动安全地更新 Windows 版 Office。

在深入探讨高级设置之前，了解如何操作至关重要。 从应用程序内部强制手动更新 Windows 版 Office此流程适用于大多数用户，也是您应该执行的第一个测试。

要在 Windows 系统上手动更新 Office，请按照以下基本步骤操作： 打开任意 Office 应用程序，转到“帐户”，然后运行“立即更新”。如果一切配置正确，并且您的安装没有受到策略阻止，系统将在 Microsoft 服务器上搜索更新，下载必要的软件包，并在必要时关闭应用程序以应用更改。

在此过程中，您将看到以下几个阶段：首先， 检查更新接下来，文件将开始下载；之后，系统会提示您关闭文档并保存工作；最后，补丁程序将应用到您的系统中。完成后，您的频道（每月、每半年等）将安装最新版本。

如果没有显示更新，或者看到类似“已是最新版本”的消息，则需要检查以下两件事： 该设备具有稳定的互联网连接 而且您使用的不是通过 GPO 控制的批量许可版本（在这种情况下，界面中可能没有升级选项）。

如果 Office 无法打开或启动后立即崩溃，您也可以尝试以下方法。 从控制面板或 Windows 设置中修复安装 修复完成后，请重复更新过程。此修复可以解决因文件损坏而导致的更新程序无法正常运行的问题。

重新启用 Office 的自动更新

如果手动禁用了自动更新，并且没有组策略对象 (GPO) 控制计算机，则很容易重新启用它们。关键在于…… 找到“更新选项”菜单，然后选择“启用更新”。这样一来，Office 将再次负责在无需用户干预的情况下搜索和安装新版本。

一般步骤非常简单：启动任何 Office 应用程序（例如 Word）， 转到“文件”>“帐户” （或者在 Outlook 中使用您的 Office 帐户），找到“产品信息”部分，然后单击“更新选项”。如果看到“启用更新”选项，请选择它。如果 Windows 请求 Office 对您的计算机进行更改的权限，请接受。

从那一刻起， 自动更新已恢复。系统应根据其分配的更新通道接收安全补丁和功能更新。但是，如果您发现“更新选项”菜单被禁用或完全缺失，则很可能是由于贵组织的策略所致。

在这种情况下，即使用户想要重新激活更新，也无法通过图形界面完成。解决方案将涉及审查…… 组策略、Intune 设置、SCCM 或 ADMX 管理模板 适用于该特定设备。

组策略控制的更新 (GPO)

在企业环境中，Office 更新通常通过组策略对象 (GPO) 进行管理。在这种情况下， “启用更新”选项可能被隐藏或阻止。用户手动进行的任何更改都将被忽略。Office 的行为将由注册表中通过管理模板定义的设置来控制。

要验证 GPO 施加的设置，您需要查看相关的注册表项。在 Microsoft 365 企业应用版、Office LTSC 2021、Office 2019 和 Office 2016 等版本中，主路径为： HKEY_LOCAL_MACHINE\software\policies\microsoft\office\16.0\common\OfficeUpdate但在 Office 2013 中，使用的是 HKEY_LOCAL_MACHINE\software\Wow6432Node\microsoft\office\15.0\common\OfficeUpdate。

在该键中，两个最相关的值是： 启用自动更新 y 隐藏启用禁用更新第一种情况下，值为 1 表示启用自动更新，值为 0 表示禁用自动更新。第二种情况下，值为 1 会隐藏界面中用于启用或禁用更新的菜单选项；值为 0 则会显示该选项。

如果这些密钥不存在，通常需要…… 安装相应的管理模板（ADMX/ADML） 对于 Office，组策略管理控制台会在“Microsoft Office 2016（计算机）”（或相应版本）下显示“更新”设置。显示后，您可以配置更新通道、启用自动更新或应用程序菜单可见性等策略。

在 GPO 控制台中，您可以在“计算机配置”>“策略”>“管理模板”>“Microsoft Office 2016（计算机）”>“更新”下找到这些选项。您可以在那里进行以下操作： 选择更新渠道（当前渠道、半年渠道、企业渠道等）激活组织控制并将策略应用于所需的组织单元（OU）。

如何使用 ADMX 模板添加 OfficeUpdate 密钥

要使 Office 更新策略显示在组策略编辑器中，必须拥有更新的 ADMX/ADML 模板。 如果没有这些文件，GPMC 将不会显示 Office 特定选项。 您将无法配置频道或更新行为。

对于 Microsoft 365 企业应用版、Office LTSC 2021、Office 2019 和 Office 2016，该过程包括 务必下载最新版本的管理员模板。 从微软官方网站下载。下载软件包后，选择相应的版本（x64 或 x86），运行安装程序，然后解压文件。

然后，您需要将扩展​​名为 .admx 的文件复制到该文件夹​​中。 C:\Windows\PolicyDefinitions\以及同一路径下相应语言子目录（例如 en-US 或 es-ES）中的 .adml 文件。从那时起，任何使用该策略存储的服务器或计算机都将看到已加载的新模板。

对于 Office 2013，流程类似，但需要使用特定的“Office 2013 管理模板 (ADMX/ADML) 和 Office 自定义工具”软件包。同样， 您可以根据安装情况选择 x64 或 x86。执行、提取并将 .admx 和 .adml 文件复制到 PolicyDefinitions。

将模板集成到 Active Directory 域服务 (AD DS) 后，您可以在组策略管理控制台中相应 Office 分支的“更新”部分找到更新设置。在那里，您会找到…… 每个场景的详细描述包括每个频道的功能、用户是否被允许查看更新菜单，以及如何强制使用特定的 CDN。

办公室更新渠道：它们是什么以及它们的用途

最容易引起混淆的一点是…… 更新频道微软为 Office 365 提供多个渠道，每个渠道的发布频率和用途各不相同。选择合适的渠道对于平衡稳定性、新功能和安全性至关重要。

半年频道（有时也称为“扩展频道”或“延时频道”）旨在 倾向于减少变更频率的组织它提供每月安全更新和每年两次功能更新（1月和7月）。通过此渠道发布的功能已通过其他更快的渠道发布，因此被认为更加成熟。

半年一次的（定向）频道是一种 正常学期开始前的测试频道新功能通常会提前四个月发布（分别在三月和九月），安全补丁和非安全更新则每月发布一次。这有助于在将变更部署到整个组织之前进行验证。

月度频道（也称为“当前频道”）接收 新功能一准备就绪就会推出微软每月都会发布改进和修复程序，对于那些希望快速获得新功能但同时也愿意每天接受更多更改的用户来说，微软是最佳渠道。

此外，还有“定向”或“预览”版本（例如当前渠道预览版、月度企业版等）。 面向早期测试的 Beta 频道这些渠道对于需要在向公司所有团队推出变更之前，先在一小部分用户中进行测试的 IT 部门非常有用。

检查已安装版本和 Office 频道

在切换频道或强制更新之前，务必了解以下信息： 您安装的 Office 版本和内部版本号是多少？以及团队订阅的频道。这样，您可以将版本与微软的发行说明进行比对，并确认您的版本是否确实已过时。

要查看它，请打开任何 Office 365 应用程序（例如 Word），然后转到： 文件 > 帐户在“关于 Word”（或“关于 Excel”等）部分，您将找到版本（例如 2108）、内部版本号（例如 14326.20404）以及正在使用的更新通道的名称。

掌握这些信息后，您可以查阅微软文档以了解更多信息。 每个版本都包含哪些安全补丁和功能？如果您的版本比配置的通道落后几个版本，则更新机制可能存在某种阻塞。

直接从注册表检查通道或使用 OfficeC2RClient 工具也很有用，尤其是在您想要……的时候。 通过命令行强制更改频道 无需依赖图形界面或 GPO。

使用 OfficeC2RClient（命令行）更改更新通道

在已安装 Office 365 的系统上，您可以通过命令提示符修改更新通道。当您想要……时，此方法非常有用。 将设备从“当前”通道切换到“延迟”通道，反之亦然无需重新安装整个软件包。

第一步是以管理员身份打开命令提示符。然后，您需要导航到“即点即用”文件夹，通常位于[此处应填写文件夹路径]。 C:\Program Files\Common Files\Microsoft Shared\ClickToRun进入系统后，您可以使用不同的参数运行 OfficeC2RClient.exe。

例如，要从当前频道切换到半年频道，可以使用类似于以下命令： OfficeC2RClient.exe /changesetting Channel=Deferred然后，为了使调整生效，运行“OfficeC2RClient.exe /update user”，这将强制 Office 重新配置安装并下载与新通道对应的更新。

在此过程中，您将会看到 一个与标准 Office 更新窗口非常相似的窗口最后，版本号和内部版本号可能会发生显著变化，尤其是在从高级频道降级到低级频道时。需要注意的是，降级频道时（例如，从“当前”降级到“半年”），通常会下载更多数据，因为新版本特有的功能会被还原。

总之，更改之后，最好重新打开 Word 或 Excel，转到“文件”>“帐户”，然后进行验证。 新频道已列在“关于”页面中。 版本号与预期相符。

通过 Windows 注册表调整频道

控制 Office 365 更新方式的另一种高级方法是： 直接编辑Windows注册表 在“即点即用”配置项中。此选项需要谨慎操作，但可以非常精细地控制更新来源。

为此，您需要打开注册表编辑器 (regedit) 并导航到以下路径。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\Configuration在这个键中，最重要的值之一是“CDNBaseUrl”，它指示 Office 从中下载更新的频道的 URL。

根据配置的渠道，您会看到不同的预定义 URL。例如，半年报渠道使用类似这样的地址： http://officecdn.microsoft.com/pr/7ffbc6bf-bc32-4f92-8982-f9dd17fd3114而每月频道（当前）则使用 http://officecdn.microsoft.com/pr/492350f6-3a01-4f97-b9c0-c7c6ddf67d60此外，还有针对当前频道预览、企业半年频道（预览）和 Beta 频道的特定 URL。

如果您右键单击 CDNBaseUrl 并选择“修改”，则可以 粘贴与您要使用的新频道对应的 URL例如，要将订阅频率从半年一次更改为每月一次，您只需将 URL 替换为当前频道的 URL。保存更改后，只需在 Word 中强制更新 Office（文件 > 帐户 > 更新选项 > 立即更新），即可使 Office 安装适应新配置的频道。

切记不要将此配置与冲突的 GPO 混用：如果您有一个用于修复通道的组策略， 注册表的值可能会被覆盖。 在下次策略更新中。因此，建议在手动修改 CDNBaseUrl 之前，先检查该频道是否通过 GPO 进行管理。

使用 GPO 和管理模板配置频道和更新

管理大量计算机时，使用组策略控制 Office 是理想的选择。将 Office ADMX 和 ADML 模板复制到 PolicyDefinitions 后，下一步是…… 在组策略编辑器中配置更新通道和行为.

在管理策略的计算机或服务器上，运行 gpedit.msc（如果您在域中工作，则打开组策略管理控制台），然后导航到 计算机配置 > 管理模板 > Microsoft Office 2016（计算机） > 更新在那里您会看到“更新频道”、“启用更新”等设置以及其他相关设置。

在“更新频道”中，选中“启用”选项，然后从下拉菜单中选择所需的频道，例如： 当前频道、半年频道或月度公司频道更改保存后，您可以使用“gpupdate”命令强制客户端计算机更新策略，尽管默认情况下 GPO 每 90 分钟自动更新一次。

确保该任务在 Windows 任务计划程序中处于活动状态非常重要。 “Office 自动更新 2.0”此任务位于“任务计划程序库”>“Microsoft”>“Office”中，负责根据定义的策略检查和安装更新。如果此任务缺失或被禁用，即使组策略对象 (GPO) 配置正确，也不会进行自动更新。

一旦政策到位且计划任务开始运行，团队就应该 切换频道，接收与该频道相符的更新内容。 无需最终用户干预，从而提高了业务环境的一致性。

使用带有自定义设置的 Office 安装工具

如果您要在多台计算机上从头开始部署 Office，最简洁的选择是使用…… 带有 XML 配置文件的 Office 安装工具 可自定义。您可以在该文件中指定要安装的应用程序、架构和初始更新通道等参数。

在 XML 更新部分，使用类似于以下的结构： 通过将“MonthlyEnterprise”替换为“Current”、“Deferred”或其他有效值，您可以定义 Office 将通过哪个渠道安装到每台计算机上。

当您使用该配置启动安装程序时， 这些设备将直接与选定的通道对齐。无需稍后通过注册表或组策略对象 (GPO) 进行更改。但是，请注意，如果您稍后配置了指定不同通道的组策略，则 GPO 将优先于 XML 中定义的设置。

这种方法在远程桌面或虚拟桌面基础架构 (VDI) 环境中尤其有用，因为在这些环境中，您希望 所有机器都使用相同的版本和通道启动 从一开始就减少了用户之间意料之外的差异。

Office补丁错误及其修复方法

当您尝试安装或卸载 Office 更新并遇到诸如 17031、17302、17025、17028 或 17044 之类的错误代码时，通常意味着您遇到了以下问题： 安装基线存在问题，或者 MSI 文件损坏或缺失。这些错误表明安装程序找不到它期望的内容，或者检测到版本不一致。

最常见的原因之一是删除 MSI 文件以节省空间。 第三方清理工具删除了关键组件防病毒程序错误地删除了已不再安装的旧版 Office 中的文件或残留注册表项。

如果所有补丁在机器上都开始失效，最明智的做法是首先检查它们是否真的存在问题。 目前仍在使用与这些更新关联的 Office 版本。通过浏览注册表（HKEY_LOCAL_MACHINE\SOFTWARE，按 F3 键搜索），您可以找到指示旧版本安装的键值。如果您找到来自已停用版本的过时键值，请小心删除它们，然后使用补丁管理工具重新扫描计算机，并检查问题是否仍然存在。

使用受影响版本的 Office 时，很可能存在文件损坏或丢失的情况。在这种情况下，请尝试以下操作： 手动安装其中一个有问题的更新如果手动安装程序也失败，请检查 %temp% 目录下的 Microsoft 日志，运行 Office 修复程序，如果问题仍然存在，请卸载并重新安装整个 Office 套件。为了进行更深入的分析，您可能需要联系供应商支持部门并提供计算机的代理日志。

如果问题仅限于某个特定补丁，则方法类似：检查注册表中是否存在旧版本的残留文件，如果相关版本仍在被使用，则编译该补丁。 代理日志和安装日志 将他们转介给相应的技术支持部门，以便他们能够确定错误的确切原因。

强制从 Intune、M365 门户和 SCCM 进行更新

在使用 Intune 或 Microsoft 365 管理门户管理的环境中，常见的挑战之一是： 检查用户是否已禁用更新 或者，为什么某些系统尽管有相关策略却仍然过时。虽然没有一个神奇的按钮会直接显示“此用户已点击禁用更新”，但您可以从构建状态和合规性报告中推断出来。

当计算机长时间在 config.office.com 维护门户中显示为“未启动”状态，即使已被列为过时版本，也可能存在以下几种情况： 策略冲突、通道配置错误或计划任务执行不正确检查有效渠道、关联的 GPO 和“Office 自动更新 2.0”任务通常是第一步。

如果您有 SCCM 可用，您可以选择 以有针对性的方式推送 Office 更新即使用户没有手动启动安装过程，这也会强制团队运行安装程序。SCCM 允许您创建程序包、任务序列和部署规则，以便在特定的维护窗口期间强制执行补丁应用程序。

在管理层要求机器更新速度“比自动更新更快”的组织中，一种合理的策略是将以下方法结合起来： 合适的渠道（例如，月度企业频道），强制执行配置的 GPO使用 Intune 或 SCCM 监控版本，并在必要时强制部署关键补丁。

值得注意的是，如果公司使用 Office 365 的网页版，这些版本会在云端无缝更新。主要问题在于桌面应用程序，在这些应用程序上…… 渠道管理、策略和计划任务 它决定了修正和新功能应用的速度。

制定清晰的 Office 更新策略是保持稳定性、功能性和安全性之间平衡的关键。正确定义交付渠道、定期审查组策略对象 (GPO) 和 Intune、监控补丁错误以及制定包含 Office 365 数据的备份计划，能够帮助家庭用户和企业用户…… 在需要时强制执行 Office 安全更新，同时确保系统完整性或关键数据安全。.