Проверьте флаг, который остается, если при установке винды пропускался OOBE (с 23H2 такое встречается)
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\OOBE\SystemProtected" /v DisableCAD /t REG_DWORD /d 0 /f
Перезагрузить
Почему доменные машины вообще тянут обновления напрямую, а не с WSUS?