ve w7 mám službu wuauserv na manual, ať jdou instalovat ručně, jen pro tu instalaci ji nastartuju.

1) buď se mi chce instalovat jen hyperkritickou rychlou verzi: kb4012212 (smbv1) a kb4499175 (rdp).

2) nebo mám víc času a má to být i pro další image, tak ať je tam "všechno":
+ 6 předzáplat pro ie11 + ie11 + náhodnou kumulativní aktualizaci
KB2533623, KB2670838, KB2729094-v2, KB2731771, KB2786081, KB2834140
po restartu IE11-Windows6.1 (jediný jazykově závislý update) + kb4483187 (jsou i novější, nezájem, je to jen downloader firefoxu)

+ rollupdate "sp2" (je mi fuk co obsahuje a co kam hlásí, nikdy jsem to neřešil. kdo chce, doplní si hosts jako kdysi u w10)
kb3020369, po restartu KB3125574-v4

+ naházené v adresáři měsíční security only balíky asi 06/16...12/17 + z novějších ten rdp.
seznam nevedu, instaluje to cyklus podle čísla kb. ale chce to tak v půlce udělat restart, je to na ty wirdows moc.

pozn.:
od ledna '18 to ms vadnými záplatami spectre&spol zmrvil, takže na ně kašlu, novější nesbírám a mrchosoftu už nevěřím ani název firmy.

když na tom pc už je, před nějaký restart případně nacpu novější javu, jinak ji neinstaluju.
stejně se mi hnusí nekonečně děravý stokrát záplatovaný dotnet, nedávám ho do automatické instalace, chce to tuším nějaký sp3.5 a asi 4.71

celou dobu musí být pc odpojený od sítě (stačí skriptem), jinak během aktualizací začne wuauserv čuchat ven a stahovat vlastní idiotské nápady.
taky je dobré mít pomocný admošský účet, kterému se vyresetuje heslo a nastaví se pro automatické přihlášení. po skončení se nastaví heslo nebo účet zamkne.
instalační batka má kontrolovat v logu nebo wmic dotazem co už je hotovo. odkaz na ni do startup nebo hklm\run větve registrů, po skončení smazat.