Soit tu passes par WSUS, soit par un logiciel de gestion des patchs type SCCM, soit par des bricolages dégueulasses que je ne mentionnerai pas ici, soit en fournissant un nouveau master régulièrement.
Ensuite les mises à jour de fonctionnalités réinitialisent pas mal de paramètres donc il faut s'assurer que l'environnement utilisateur soit capable de supporter ce genre de changement.
Enfin, comme on parle sécurité, qu'en dit la division RSSI de votre boîte ? Ca me parait étonnant que l'équipe chargée des mises à jour ne propose pas aussi les upgrades. C'est une décision groupe ? Quelle alternative officielle ?