Полностью запретить обновления можно, но я бы не стала: VPS без обновлений, торчащий в интернет, это тоже риск. Лучше взять их под свой контроль.
На серверной Windows в групповой политике, в разделе Центра обновления, есть режим «загружать и уведомлять об установке»: обновления скачиваются, а ставятся, когда вы сами нажмёте. Там же есть «не выполнять автоматическую перезагрузку, если в системе работают пользователи». Это срабатывает, когда пользовательская сессия висит открытой, а она обычно висит, раз терминал запущен в ней. На серверных редакциях ручной режим обновлений можно выставить и через sconfig.
Дальше раз в неделю, в выходные, когда рынок закрыт, сами ставите обновления, перезагружаете и смотрите, что терминал поднялся. И автозапуск терминала обязателен в любом случае: перезагрузка бывает не только из-за обновлений, хостинг тоже иногда перезапускает виртуалки на своём обслуживании.
