Я чайник: Откуда можно закачать последние обновления для винды одним файлом?

А, вот, интересно, почему же в самом микрософте не додумались до этого?

Кстати, на работе Symantec Antivirus корпоративный ругается на то, что эти паки заражены. На самом деле конечно никаких вирусов не было. Если у вас будет работать корпоративный антивирус, то лучше от греха подальше убрать сам пак. В обновлённой системе он уже никаких вирусов не найдёт.

Конечно же не найдет — если обновления ставятся на-уровне-ядра, и успешно маскируются от излишней антивирусной активности.

Блин, грустно вообще… Почему бы микрософту не сделать что-то типа SP2 RC1, или же SP1.2.0a например

Ну сами подумайте, сколько патчей они и так делают. А если их бандлить в пакеты, им придётся отвечать за то, что все эти патчи встанут, что из-за одного неудачного патча не обвалится весь процесс установки, что входящие в бандл пакеты ставятся в правильном порядке и т.д. А это человекочасы — на разработку, на тестирование и прочее. А так — у них есть Microsoft Update — уже отлаженный механизм, который всё это (а также и обнаружение нужных патчей) делает, только в онлайне.
С точки зрения МС, скорее всего, овчинка просто не стоит выделки. Они ж не догадываются (как и многие корпорации с головой в Америке), что у нас интернеты-то ещё не везде есть. Так что умельцы стряпают такие паки, но они — не МС, им как-то фиолетово, если у них инсталлер кривой или антивирус на пакет ругается — «не нравится — не пользуйтесь» :)

Тут дело не в отсутствиях интернетов, а в том, что из Интернета комп могут могут элементарно заломать (во время попыток обновиться).
Как с помощь флешки перенести обновления с «интернецкого» компа на изолированный тоже не знаю.

Файрволл или точка доступа с NAT — и никто ничего не заломает

Файрволл… Ой, наивность! От DNS-спуффинга он не спасет.

Так не ходить никуда, кроме сайта МС. В конце концов, прописать хосты виндовсапдейта напрямую в hosts. Или использовать публичный ДНС гугла — я думаю, что его сложнее атаковать, чем ДНС местных провайдеров.
И да, апдейты установленные тоже не спасут от DNS-спуфинга :)
Так что не нужно чрезмерно параноить, и всё будет хорошо :)

Мне просто принципиально важно именно не подключать этот ноут к любым сетям. И, при таком раскладе, конечно же, нафик вообще какие-то обновления ставить. Но, в обновлениях же бывают не только решаются вопросы безопасностей. Иногда обновления расширяют функционал (например .NET фреймворки), либо свежие драйверы с исправленными ошибками, оптимизированные и увеличивающие быстродействие, да и вообще в целом система после обновлений может работать более стабильно. Но, ждать несколько лет до выхода очередного сервис-пака как-то не очень хочется.

Поднимите у себя WSUS на другой машине, за которую Вы не боитесь, и подключайте ноут к ней напрямую, хоть прям патчкордом. Или, как на 2 ответа ниже посоветовали, юзайте WSUS Offline Update

И да, а антивирус Вы тоже руками обновлять будете? Или на неподключённой к сети машине с отключённым автораном вирусов быть не может? :)

С антивирусом все гораздо проще: раз в месяц удаляю старый, ставлю новый. То есть фактически бесплатный антивирус получается (пробного периода более чем достаточно для одной итерации обновления).

Кстати, в до-интернетовскую эпоху я как раз-таки брал антивирусы из журнала CHIP-CD.
И, кстати, для виндовс-хр там даже какие-то KB-обновления всегда были.

Вы случайно не безопасником в банке работаете? :)

Не совсем в банке. Но, я проектирую защищенную систему управления финансовыми транзакциями, с возможностью формирования платежных поручений (и их подписанием с помощью ЭЦП) в режиме оффлайн, с последующей отправкой в банк на исполнение по открытому незащищенному каналу, (либо даже по-факсу).

Почти в яблочко :)
Тогда Ваша здоровая паранойя мне понятна, больше подначивать не буду :)