Поставил отметку "Решено", а зря.
Пару дней назад вышло очередное обновление:
https://support.microsoft.com/en-us/...date-kb4020102
, накатил его, версия системы стала 15063.332
Команда
WMIC Path CIM_DataFile WHERE Name='c:\\windows\\explorer.exe' Get Version | find "10" выдает 10.0.15063.332 То есть, все ок.
Но wsus упорно показывает 15063.168
Комп из WSUS удалял,
wuauclt /resetauthorization /detectnow делал - не помогает
Пока надежда на паренька с отложенным на следующую неделю баг-репортом

и на то, что WSUS исправится когда в него прилетят обновки KB4023680 и kb4020102 (для эксперимента тестовую машину апдейтил руками)