Windows Defender更新失敗怎麼辦？手動更新做法與錯誤碼排查

防毒軟體的定義檔，就像警衛手上那份通緝名單。名單一旦過期，警衛再盡責，也認不出昨天才出現的新面孔，而 Windows Defender更新做的事，就是替這份名單換上最新版。

這件事平常都在背景自動完成，多數人幾乎不用碰它。直到某天 Windows 安全性跳出更新失敗的訊息（Microsoft 文件裡的原文是「Protection definition update failed」），或是發現上次更新的日期停在好幾週以前，才會開始想，能不能自己動手更新一次？

可以，而且路徑不只一條，從按一個按鈕到下指令、甚至離線安裝都有。只是手動更新能解決的，只有「更新沒有自動發生」這一類問題；如果真正的原因是別家防毒軟體接手了防護、Windows Update 本身壞掉，或網路擋住了更新來源，多按幾次檢查更新也不會有結果，所以動手前要先分清楚自己遇到的是哪一種。

Defender 的三層更新，定義檔變動最頻繁

Windows Defender 現在已經不是正式名稱了。Microsoft 的文件指出，Windows 10 2004 版（2020 年 5 月）之前的原則路徑可能顯示 Windows Defender Antivirus，之後則是 Microsoft Defender Antivirus；中文介面通常叫 Microsoft Defender 防毒軟體。平常打開的「Windows 安全性」只是外殼應用程式，真正負責掃描與防護的是它背後的 Microsoft Defender 防毒軟體。文中的 Windows Defender 與 Microsoft Defender，指的都是同一個防毒元件。

這個防毒元件的更新分成三層，各自的節奏不同：

上表的節奏依據 Microsoft 的更新說明文件。三層裡日常變動最頻繁的是定義檔，也就是 Windows 安全性畫面上寫的「安全性情報」。按照 Microsoft 的說明，Windows 會透過 Windows Update 自動下載它，使用者也可以自己手動檢查；手動更新處理的，主要就是這一層。

定義檔自動更新的頻率與需要手動介入的時機

定義檔一天會推送多次，所以正常情況下，你的電腦在你沒注意的時候就已經更新過好幾輪了。手動按「檢查更新」拿到的，也是同一批最新定義檔，並不會比自動更新更安全。Microsoft 的更新頁說明，手動觸發會立刻下載並套用最新安全性情報，也可能順便解決自動更新碰到的問題；換句話說，手動更新比較像備援，而不是每天該做的例行公事。

真正需要自己動手的情境，大致有這幾種：

• Windows Update 停擺：更新一直轉圈或失敗，定義檔也跟著收不到。
• 離線或網路受限的電腦：電腦無法直接連到更新來源，得用別台電腦下載再拷貝過去。
• 剛懷疑中毒：想先拿到最新定義檔，再開始掃描。
• 日期停在很久以前：Windows 安全性顯示更新失敗，或安全性情報的建立日期明顯落後。

要留意的是，手動更新只會處理定義檔，不等於整個系統更新。Windows 的功能更新、安全性修補仍然要走 Windows Update，不會因為你手動更新了定義檔就一併補好。

Windows 10 停止支援後，定義檔更新持續到 2028 年 10 月

Windows 10 已經在 2025 年 10 月 14 日結束支援。根據 Microsoft 的說明，結束支援之後，Microsoft 不再提供技術協助、軟體更新與安全性修正。不少仍在使用 Windows 10 的人因此擔心，Defender 的定義檔是不是也跟著停了。

Microsoft 在 2025 年 6 月表示，Windows 10 上 Microsoft Defender 防毒軟體的安全性情報更新會持續提供到 2028 年 10 月。也就是說，在這個期限之前，Windows 10 一樣可以照下面的做法手動更新定義檔。不過定義檔更新不等於作業系統的安全性修補，系統本身的漏洞不會因為定義檔是新的就消失，長期來看，仍建議把電腦升級到還在支援期內的 Windows 版本。

更新前後都要核對的定義檔版本與上次更新日期

動手之前，先確認定義檔是不是真的過期。這一步花不到一分鐘，卻能避免白忙一場。有些人以為更新失敗，其實日期是昨天；也有人以為更新成功，其實版本根本沒動。

更新做完之後，也回到同一個地方核對。判斷成功與否的依據，是「上次更新」的日期和版本有沒有變新，而不是只看畫面上有沒有出現「已是最新」之類的文字。圖形介面的查看方式適合多數人，指令則可以一次看到定義檔、引擎、平台三層的版本，兩種擇一即可。

Windows 安全性畫面上的安全性情報版本

從圖形介面查看的步驟如下：

1. 在開始功能表搜尋「Windows 安全性」，開啟應用程式。
2. 點選「病毒與威脅防護」。
3. 往下找到「病毒與威脅防護更新」區塊，點進去（多數版本的連結叫「保護更新」，部分 Windows 10 版本的畫面標籤略有不同，以畫面上帶有「更新」字樣的連結為準）。
4. 頁面上會列出安全性情報版本、版本建立日期與上次更新時間，這三個資訊就是之後核對用的基準。

Microsoft 的支援頁把這條路徑寫成「Windows 安全性 > 病毒與威脅防護 > 保護更新 > 檢查更新」，用途是確保裝置持有最新的安全性情報。繁體中文介面的名稱各版本略有出入，名稱對不上時，可以對照英文介面的 Virus & threat protection、Protection updates。

進階一點的比對方式，是把畫面上的版本，拿去和 Microsoft 更新頁列出的最新安全性情報版本對照。那個版本號每天都會變動，以更新頁當下列出的版本為準就好。

Get-MpComputerStatus 一次列出三層版本和更新日期

習慣用指令的話，可以在 PowerShell 執行下面這行，只挑出和更新有關的欄位：

Get-MpComputerStatus | Select-Object AntivirusSignatureVersion, AntivirusSignatureLastUpdated, AntivirusSignatureAge, AMEngineVersion, AMProductVersionCode language: PowerShell (powershell)

這幾個欄位各自的意思如下：

這樣一次就能看到三層各自停在哪個版本。另外還有 AMServiceEnabled、AntivirusEnabled、RealTimeProtectionEnabled 這幾個欄位，用來顯示防毒服務與即時保護是否啟用。如果這些欄位顯示 False，代表 Defender 的防毒功能目前沒有運作，常見原因是別家防毒軟體接手了防護；這時直接看後面「第三方防毒軟體接手後」那一節，會比反覆更新有用。

從 Windows 安全性與 Windows Update 手動更新

手動更新最直接、風險也最低的做法，是從 Windows 安全性或 Windows Update 按下檢查更新，多數人做到這裡問題就解決了。兩者的本質相同，都是請 Windows 立刻去抓一次最新的定義檔，差別只在入口，一個在 Windows 安全性裡，另一個在系統設定的 Windows Update。

不管走哪一條，做完都回到上一節的檢查點，確認安全性情報的版本與日期真的變新了。如果按下去沒有任何變化，或是出現失敗訊息，就直接看後面排查的部分，不需要重複按好幾次。

Windows 安全性的病毒與威脅防護更新頁

這是最常用的路徑，步驟如下：

1. 開啟「Windows 安全性」，進入「病毒與威脅防護」。
2. 找到「病毒與威脅防護更新」區塊，先點「保護更新」，進入頁面後再按「檢查更新」；部分 Windows 10 版本則是在這個區塊底下直接放「檢查更新」的連結。
3. 等待下載並安裝完成。
4. 完成後回到更新頁，看版本與上次更新時間是否變新。

Microsoft 的更新頁寫明，在 Windows 10 中，要在 Windows 安全性的病毒與威脅防護畫面選擇檢查更新。不管入口是直接的「檢查更新」還是先經過「保護更新」，走到的都是檢查安全性情報更新的頁面。

按下「檢查更新」後若出現錯誤碼，先把它記下來，後面「Windows Defender更新失敗的錯誤碼與排查順序」那一節會逐一對照。

Windows Update 一併帶入定義檔

定義檔本來就是走 Windows Update 發送的，所以在系統設定裡按「檢查更新」，同樣會補上定義檔。路徑如下：

• Windows 10：設定 → 更新與安全性 → Windows Update → 檢查更新。
• Windows 11：設定 → Windows Update → 檢查更新。

更新完成後，到更新記錄裡會看到一筆 Microsoft Defender 防毒軟體的安全性情報更新，編號是 KB2267602。實際顯示的名稱與版本號以你的更新記錄為準，看到這個 KB 編號不必當成不明更新而擔心。

有時會遇到 Windows 安全性能順利更新，Windows Update 卻一直在轉圈，或者情況反過來。原因在於兩邊的入口不同。Defender 在 Microsoft Update 抓不到更新時，還可以依備援順序改找 Microsoft 的安全性情報下載站，所以 Windows Update 出狀況時，從 Windows 安全性觸發仍有機會成功。不過定義檔平常就是透過 Windows Update 發送，Windows Update 一旦出問題，自動更新也常會連帶失敗，這時單靠 Defender 本身的按鈕不一定解決得了，還是要回頭把 Windows Update 修好，做法在後面排查的部分。

用 PowerShell 與命令提示字元強制更新

圖形介面按了沒反應，或是想看到更明確的執行結果、想把更新寫進維護腳本時，改用指令會更合適。常用的工具有兩種，Update-MpSignature 是 PowerShell 的 cmdlet，MpCmdRun.exe 則是 Defender 內建的命令列工具。

執行這兩種指令，都建議以系統管理員身分開啟視窗。做法是在開始功能表搜尋 PowerShell（或命令提示字元），對搜尋結果按右鍵，選「以系統管理員身分執行」；MpCmdRun 的 Microsoft 文件也明寫要在提升權限的命令提示字元底下執行。指令跑完一樣回到前面的版本檢查點核對，而不是只看畫面有沒有出現紅字。

Update-MpSignature 與更新來源參數

最簡單的做法就是一行指令：

Update-MpSignatureCode language: PowerShell (powershell)

沒有指定來源時，它會依照 SignatureFallbackOrder 設定的順序去抓；如果沒有設定過，就先找 Microsoft Update Server，再找 Microsoft 惡意程式防護中心（Malware Protection Center，簡稱 MMPC）。想指定來源時，加上 -UpdateSource 參數：

Update-MpSignature -UpdateSource MicrosoftUpdateServerCode language: PowerShell (powershell)

-UpdateSource 可以接四個值。InternalDefinitionUpdateServer 是到企業內部的 WSUS 檢查更新，MicrosoftUpdateServer 是 Microsoft Update 伺服器，MMPC 是 Microsoft 的安全性情報下載站，FileShares 則是檔案共用資料夾。個人電腦通常只會用到 MicrosoftUpdateServer 或 MMPC，另外兩個屬於企業環境，不必理會。

如果更新要跑比較久，又不想讓視窗一直被占著，可以加上 -AsJob，讓指令改在背景執行。對一般使用者來說，這個參數通常用不到。

MpCmdRun.exe 更新定義檔並清除動態簽章

Microsoft 的更新頁提供了一組「清除快取再觸發更新」的做法，適合圖形介面失靈時使用。先用系統管理員身分開啟命令提示字元，切換到 Defender 的目錄。MpCmdRun 的說明文件寫明，最新版的 MpCmdRun 一律放在下面這個平台版本資料夾裡，其中 <版本> 要換成實際的資料夾名稱；找不到這個路徑時，才改用 %ProgramFiles%\Windows Defender。

cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\<版本>"Code language: plaintext (plaintext)

切到目錄之後，依序執行下面兩行：

MpCmdRun.exe -removedefinitions -dynamicsignatures
MpCmdRun.exe -SignatureUpdateCode language: plaintext (plaintext)

第一行只清除動態下載的安全性情報，也就是 Defender 透過雲端補充抓取的那一部分。這一步不是必要的，作用只是排除快取殘留的可能；第二行才是真正觸發更新的指令。如果更新仍然失敗，又懷疑問題出在 Windows Update 這條管道，可以改試 MpCmdRun.exe -SignatureUpdate -MMPC，讓它直接從 Microsoft 的安全性情報下載站取得更新，當作備援路徑。

另外還有一個 -UNC 參數，是讓企業從內部檔案共用取得更新，個人電腦不會用到，知道有這個選項即可。

從 Microsoft 更新頁面下載定義檔離線安裝

Windows Update 與 Microsoft 更新伺服器都走不通，或是電腦根本不能上網時，最後的手段是從 Microsoft 更新頁下載定義檔，自己離線安裝。做法是用另一台能上網的電腦下載檔案，再用隨身碟拷貝到這台電腦執行。

這個方法有兩個原則要守住。第一，下載來源只認 Microsoft 的定義檔更新頁，也就是 www.microsoft.com/wdsi/defenderupdates。搜尋結果裡常出現各種標榜「防毒定義檔下載」的第三方網站，一律不要碰，因為防毒軟體靠定義檔判斷什麼是威脅，來源不明的檔案等於讓別人決定它要相信什麼。第二，這只是權宜之計。Microsoft 的事件說明提到，從該網站下載的定義檔可能超過 60 MB，不應該當成長期更新的做法。

下載前先確認系統是 32 位元、64 位元或 ARM

選錯版本是這個方法常見的失誤，所以下載前先看一下系統類型。路徑是設定 → 系統 → 關於，在「裝置規格」可以看到「系統類型」這一欄。

對應方式很單純：

• 顯示「64 位元作業系統，x64 架構處理器」，就下載 64 位元版本。
• 處理器是 ARM 架構，就下載 ARM 版本。
• 32 位元版本現在已經很少見，Windows 11 本身只有 64 位元版本，只有部分舊的 Windows 10 電腦才會遇到。

Microsoft 的更新頁把 Windows 11、10、8.1 與 Windows Server 放在同一組下載裡，不必另外挑 Windows 版本，只要依系統類型選對架構。檔名也會依系統架構而異，所以別憑記憶找檔名，直接用更新頁上對應架構的連結下載。

執行 mpam-fe.exe 後回頭核對版本

Microsoft 的更新頁說明，下載連結指向的是 mpam-fe.exe、mpam-feX64.exe 這類執行檔，直接啟動該檔案就能手動安裝最新的安全性情報。

執行完之後，回到前面的版本檢查點，確認安全性情報的版本與上次更新日期變新了。如果還是沒有更新，就進入後面的排查流程，同時留意系統本身是否太舊。Microsoft 說明，從 2019 年 10 月 21 日起，安全性情報更新套件一律以 SHA-2 簽署，過舊的系統需要先安裝支援 SHA-2 的更新，否則收不到新的定義檔。使用 Windows 10 或 11 的電腦，不需要為此擔心。

Windows Defender更新失敗的錯誤碼與排查順序

走到這一步，多半已經看到「更新失敗」，而且手動按過幾次都沒用。更新失敗的原因大致有四種：別的防毒軟體讓 Defender 退位、Windows Update 與相關服務出問題、網路擋住更新來源，以及公司電腦的更新來源被原則指定。處理時由輕到重，最容易確認的先排除，個人電腦能做的排查裡，事件檢視器留到最後；公司或學校管理的電腦另外看最後一節。

Microsoft 自己的排查邏輯也是類似的，先確認網路能不能連到更新來源，再確認 Defender 是不是主要防毒，接著測試手動更新是否可行，最後才輪到 MMPC 與組織設定。排查過程中不需要、也不應該把防毒或防火牆暫時關掉來「試試看」，那只會讓電腦在沒有防護的狀態下暴露風險。

更新失敗訊息與 Microsoft 列出的九組錯誤碼

更新失敗時，畫面上可能出現「Protection definition update failed」的訊息，同時帶一組錯誤碼。Microsoft 列出了九組可能出現的錯誤碼，但並沒有逐一說明每一組的原因。下表的分類，是依照每個代碼在 Windows 系統裡本來的定義整理而成：

連線類的四組，處理方向一致，到後面「網路、VPN 與 Proxy 擋住更新來源」那一節找答案。0x80070422 對應的是服務被停用，先看 Windows Update 與 Defender 服務有沒有在運作。0x80070005 是權限不足，可以改用系統管理員身分重試，再檢查服務與原則設定。

0x80240022 比較特殊，它只是「所有更新都失敗」的結果訊息，本身不指向單一原因，要從其他線索判斷問題在哪裡。至於 0x80004002 和 0x8007001B，它們在系統裡的定義是通用的程式或磁碟錯誤，跟更新流程沒有直接對應，Microsoft 也沒有說明它們在定義檔更新失敗時代表什麼；遇到這兩組時，照整體的排查順序往下走即可。

同一組代碼也可能對應不同的原因，所以不要把它讀成「看到某個碼就一定是某件事」，把它當作縮小範圍的線索就好。

第三方防毒軟體接手後，Defender 會自動停用

很多「Defender 更新不了」的案例，原因是 Defender 已經讓位給另一套防毒軟體，自己進入了停用狀態。這時更新根本不會發生，要確認的是目前誰在負責防護，而不是反覆更新。

Microsoft 的排查頁說明，如果有非 Microsoft 的防毒方案透過 Windows 安全中心（Windows Security Center，簡稱 WSC）的 API 登記為主要防毒，Microsoft Defender 防毒軟體就會被停用，而停用時無法更新。在 Windows 10 或 11 上，這個切換是自動發生的；Windows 11 若啟用智慧型應用程式控制（Smart App Control），Defender 也可能改進入被動模式，而不是完全停用。

判斷方式有兩種。第一種是在 Windows 安全性選「設定」，再點「安全性提供者」底下的「管理提供者」；依 Microsoft 支援頁的說明，這一頁會列出目前負責保護裝置的防毒、防火牆等安全性提供者。第二種是在 PowerShell 執行 Get-MpComputerStatus | Select-Object AMRunningMode。Microsoft 的文件說明，Defender 在運作時，這個欄位會顯示 Normal、Passive 或 EDR Block Mode；Normal 表示 Defender 是主要防護，Passive 則代表它退居次要。

如果畫面顯示負責防護的是別家軟體，那它的定義檔更新應該由那個軟體自己處理，在 Defender 上手動更新沒有意義。若是那套軟體早已移除或到期，Microsoft 的文件說明 Defender 可以自動重新啟用；這時回到 Windows 安全性確認 Microsoft Defender 防毒軟體已經恢復運作，再重新走一次前面的更新步驟。

Windows Update 或 Defender 服務沒有正常運作

定義檔是透過 Windows Update 發送的，一旦 Windows Update 壞了或相關服務被停用，Defender 就更新不了。處理順序由輕到重，前面的步驟做完再往後走：

1. 執行 Windows Update 疑難排解。Windows 10 的路徑是設定 → 更新與安全性 → 疑難排解 → 其他疑難排解員 → Windows Update → 執行疑難排解員；Windows 11 是設定 → 系統 → 疑難排解 → 其他疑難排解員 → Windows Update → 執行。跑完先重新啟動，再按一次檢查更新。
2. 確認相關服務正在執行。按 Win+R，輸入 services.msc，找到 Windows Update 與 Microsoft Defender 防毒軟體這兩項服務（顯示名稱以你的電腦為準），看狀態是不是「正在執行」。0x80070422 就是服務被停用時會出現的代碼。
3. 確認系統日期與時間正確，並開啟自動設定時間。系統時間不準，常會讓連線驗證出問題。
4. 確認磁碟空間足夠。空間不足也會讓更新失敗。
5. 前面都無效，才清除 Windows Update 快取。

Microsoft 提醒不要自行停用、停止或修改 Defender 相關的服務，包括 wscsvc、SecurityHealthService 與 WinDefend，隨意改動可能造成裝置嚴重不穩定。所以服務這一步以「確認狀態」為主，看到 Windows Update 服務被停用，才把啟動類型改回「手動」或「自動」；Defender 本身的服務如果沒有在運作，回到第 1 步的疑難排解，或前面第三方防毒那一節處理，不要自己硬改。

清除 Windows Update 快取是 Microsoft 排查頁列出的進階步驟，做法是先停止 Windows Update 服務，再刪除 C:\Windows\SoftwareDistribution 資料夾裡的內容，最後重新啟動服務。這個動作會讓 Windows 重新建立更新資料，建議先備份重要檔案，而且只在前面步驟都沒用時才做。

網路、VPN 與 Proxy 擋住更新來源

連線類的錯誤碼，通常指向電腦與 Microsoft 更新伺服器之間的路徑出了問題。Microsoft 的排查第一步，是確認防火牆或 Proxy 沒有擋掉安全性情報更新所需要的網址；對個人電腦來說，實際做法不需要去動防火牆規則，用下面幾個方式就能把問題範圍縮小：

• 換個網路測試：切到手機熱點，再按一次檢查更新。如果換網路就能更新，問題多半出在原本的網路環境，而不是這台電腦。
• 暫時中斷 VPN：Microsoft 在 Windows Update 失敗的排查頁建議，有使用 VPN 的話，先停用再試。
• 檢查 Proxy 設定：開啟設定 → 網路和網際網路 → Proxy，看看有沒有誤設成不存在的伺服器，這種設定常在安裝某些軟體後被悄悄改掉。

如果你用的是公司或學校的網路，更新來源被擋屬於 IT 的管理範圍，個人通常解不了，也不建議自己繞過；把錯誤碼和發生時間整理好回報給 IT，會比自己嘗試各種設定更快解決。

事件檢視器的事件 2001 記錄失敗的更新階段

試過前面的做法仍然失敗時，事件檢視器能告訴你更新停在哪一步。開啟方式是按 Win+R，輸入 eventvwr.msc，再依序展開「應用程式及服務記錄檔」→「Microsoft」→「Windows」→「Windows Defender」，點選 Operational 記錄檔。

Defender 在這裡留下的更新相關事件，意義如下：

事件 2001 是最值得看的一筆。它會記錄更新來源（Update Source，例如 Microsoft Update Server、MMPC、內部 WSUS 或檔案共用）、更新階段（Update Stage，例如 Search 搜尋、Download 下載、Install 安裝）、錯誤碼（Error Code）與錯誤說明（Error Description）。從更新階段就能分辨問題是「找不到更新」、「下載不下來」還是「下載了卻裝不上」，這也是向 IT 或客服求助時最有力的證據。

Microsoft 對事件 2001 的建議，是直接在電腦上更新定義檔並重新掃描，檢查 WindowsUpdate.log，仍然失敗再聯絡 Microsoft 技術支援。從 Windows 10 開始，Windows Update 不再直接產生 WindowsUpdate.log，而是寫成無法直接閱讀的 .etl 記錄檔，需要用下面這個 cmdlet 把記錄合併轉成可讀的檔案：

Get-WindowsUpdateLogCode language: PowerShell (powershell)

執行完成後，預設會在目前使用者的桌面產生一個 WindowsUpdate.log。

事件 2004 則代表新的定義檔載入出了問題。Microsoft 的建議是先重新開機再試，不行再到 Microsoft 的安全性情報網站下載最新定義檔手動安裝，做法就是前面離線安裝那一節。

公司或學校管理的電腦，更新來源由原則決定

在公司或學校電腦上遇到更新失敗，原因未必是電腦壞了。企業可以用群組原則、Configuration Manager、PowerShell、WMI 或 MDM 等方式，指定 Defender 的更新來源與順序，例如內部的 WSUS、Microsoft Update、檔案共用或 Microsoft 的下載站。這組順序稱為備援順序（fallback order）。所以在 Windows 安全性按下檢查更新沒反應，或每次都失敗時，常見的情況是 IT 把更新來源指向了內部伺服器，而內部伺服器沒有放行最新的安全性情報。

Microsoft 說明，MMPC 只作為最後的備援來源，要等到一直無法從 WSUS 或 Microsoft Update 取得更新、定義檔被判定為過期，Defender 才會改用它；而判定過期的天數，預設是 7 天。在 MMPC 接手之前，自動更新都是照組織設定的來源去抓，因此出現「手動更新可以、自動更新卻失敗」的現象時，問題多半出在來源設定，而不是電腦本身。

對 IT 人員來說，排查方向有三個，分別是確認 WSUS 已經核准 KB2267602 的安全性情報更新、檢查檔案共用是否過期，以及確認 Windows Update 服務本身正常。對一般使用者來說，這一類電腦最合適的做法是停手，把症狀和事件 2001 的內容回報給 IT，而不是自己去改組態或登錄檔。

Windows Defender更新多數時候不需要你操心，所以真的遇到失敗時，最有效的第一步反而是停下來看一眼上次更新的日期與版本，是不是真的落後了。如果日期是新的，就不必急著把每一種手動做法都試一輪。

如果各種做法都試過仍然失敗，錯誤碼、事件 2001 裡的更新來源與更新階段，就是向 IT 或 Microsoft 求助時最有用的線索。帶著這些資料去問，通常比多按十次「檢查更新」更快找到原因。