Tato kumulativní aktualizace pro Windows Server 2025 (KB5126646) obsahuje nejnovější opravy zabezpečení a vylepšení spolu s aktualizacemi nesouvisejícími se zabezpečením z volitelné verze Preview z minulého měsíce. Nejnovější stav této verze najdete na řídicím panelu s informacemi o stavu vydání Windows .
Oznámení a zprávy
Tato část obsahuje důležitá oznámení související s tímto vydáním, včetně oznámení, protokolů změn a oznámení o konci podpory.
Vypršení platnosti certifikátu zabezpečeného spouštění systému Windows
Stále probíhají aktualizace certifikátů zabezpečeného spouštění, protože Microsoft převádí zařízení z certifikátů, jejichž platnost začala vypršet v roce 2026, na novější certifikáty. Zařízení, která ještě neobdržela novější certifikáty, se můžou dál spouštět a dostávat standardní aktualizace Windows. Společnost Microsoft bude nadále dodávat novější certifikáty zabezpečeného spouštění oprávněným zařízením prostřednictvím služba služba Windows Update.
Vylepšení
Tato aktualizace zabezpečení obsahuje opravy a vylepšení kvality z KB5122871 (vydané 8. září 2026) a KB5129235 aktualizace mimo pásmo (vydané 14. září 2026). Následující souhrn popisuje klíčové problémy, které tato aktualizace řeší. Součástí jsou také nové funkce. Tučný text v hranatých závorkách označuje položku nebo oblast změny.
[Rychlé obnovení počítače] Novinka! Rychlé obnovení počítače je teď podporované v systému Windows Server 2025. Během výpadků pomáhá rychlé zotavení počítače obnovit zařízení z kritických selhání spuštění pomocí prostředí Windows Recovery Environment (WinRE) k nalezení a použití cílených náprav z služba služba Windows Update. Tato funkce je ve výchozím nastavení v edicích systému Windows Server 2025 zakázaná. Správci můžou tuto funkci povolit prostřednictvím Zásady skupiny, aby podpořili zjednodušené obnovení během rozsáhlých výpadků a snížili potřebu ručního zásahu. Obnovení závisí na tom, jestli je k dispozici příslušná náprava. Další informace najdete v tématu Rychlé obnovení počítače.
[Zabezpečení ReFS] Tato aktualizace přidává ovládací prvky auditování a volitelných zásad pro svazky ReFS na externě připojených úložných zařízeních. Auditování je ve výchozím nastavení povolené, zatímco kontrolní mechanismy vynucení zůstávají ve výchozím nastavení zakázány, aby správci měli čas vyhodnotit a připravit se na budoucí změny posílení zabezpečení. Další informace najdete v tématu KB5130741.
[Zabezpečení] Tato aktualizace přidává podporu pro ML-KEM postkvantovou výměnu klíčů v protokolu TLS (Transport Layer Security) 1.3 a pomáhá chránit šifrovaná připojení před budoucími hrozbami kvantových výpočtů.
[Datum a čas]
Tato aktualizace umožňuje trvalou podporu letního času (DST) pro Britská Kolumbie a Alberta od listopadu 2026. Informace o správě této změny v aplikaci Outlook naleznete v tématu Změny časových pásem aplikace Outlook pro Albertu a Britskou Kolumbii.
Tato aktualizace zavádí nové časové pásmo Manitoba (běžný čas), "(UTC-05:00) Manitoba".
Nejnovější informace o změně letního času a časových pásem najdete na blogu o letním čase & časovém pásmu.
[Zabezpečení] Tato aktualizace upgraduje verzi kudrlinky, která je součástí Windows, na verzi 8.21.0.
[Sítě] Tato aktualizace vylepšuje funkci NetUseAdd a pomáhá jí úspěšně navázat síťová připojení SMB při pokusech o relaci s hodnotou NULL.
[Ověřování] Tato aktualizace vylepšuje připojení k zabezpečenému kanálu Netlogon a pomáhá členským serverům úspěšně se připojit k řadičům domény, které byly nastaveny před systémem Windows Server 2025.
[Emoji] Tato aktualizace zlepšuje zabezpečení při vyhledávání emoji na panelu Expresivní vstup aktualizací knihoven používaných funkcí EmojiSearchData.
[Hyper-V] Tato aktualizace zlepšuje spolehlivost důvěrných virtuálních počítačů s rozšířeními Intel Trusted Domain Extensions (TDX) v problémech se spolehlivostí Hyper-V, které ovlivňují provoz TDX.
[Správce distribuovaných klíčů (DKM)] Tato aktualizace ve výchozím nastavení automaticky opravuje nezabezpečené konfigurace seznamů ACL kontejneru DKM ve službě AD FS. Správci můžou automatickou nápravu odhlásit nastavením RemediteDkmAcl na hodnotu 0. Tato změna pomáhá řešit chybu zabezpečení zvýšení oprávnění, ke které může dojít, když je seznam ACL kontejneru DKM příliš tolerantní. Další informace o tom, jak tuto změnu spravovat, najdete v tématu CVE-2026-56155: Posílení zabezpečení seznamů ACL kontejneru Správce distribuovaných klíčů služby AD FS.
[Zabezpečené spouštění] Tato aktualizace pokračuje v nasazování aktualizovaných certifikátů zabezpečeného spouštění s využitím nejnovějších vysoce spolehlivých dat cílení k identifikaci způsobilých zařízení, která jsou připravená automaticky přijímat nové certifikáty. Nasazení prostřednictvím služby služba Windows Update nadále probíhá na podporovaných zařízeních.
[Prostory úložiště] Tato aktualizace řeší problém, který může způsobit, že některé virtuální disky Prostory úložiště s přímým přístupem zůstanou po instalaci aktualizace systému Windows offline. K tomuto problému dochází, když jsou platná metadata vrstveného úložiště během obnovy nesprávně identifikována jako neplatná, což brání ovlivněným virtuálním diskům a závislým úlohám v přechodu do režimu online.
[Ověřování] Tato aktualizace posiluje zabezpečení protokolu NTLMv1 změnou interního výchozího chování v případě, že není nastavená hodnota registru BlockNtlmv1SSO. Systém Windows teď používá režim vynucení (1) místo režimu auditování (0) a blokuje generování přihlašovacích údajů odvozených od protokolu NTLMv1 pro jednotné Sign-On (SSO). Tato změna se týká pouze zařízení, na kterých je zakázaná ochrana Credential Guard a není nastavená hodnota registru BlockNtlmv1SSO, a může mít vliv na připojení k sítím Wi-Fi, Ethernet a VPN, která používají ověřování založené na protokolu MS-CHAPv2. Další informace najdete v tématu KB5066470.
Pokud jste už nainstalovali předchozí aktualizace, vaše zařízení stáhne a nainstaluje jenom nové aktualizace, které jsou součástí tohoto balíčku.
Další informace o chybách zabezpečení najdete v Průvodci aktualizacemi zabezpečení a v Aktualizacích zabezpečení z října 2026.
Aktualizace obslužného zásobníku Windows Server 2025 (KB5126645) – 26100.33634
Tato aktualizace obsahuje vylepšení kvality pro servisní balík Servicing Stack, což je součást, která instaluje aktualizace systému Windows. Servisní aktualizace SSU (Servicing Stack Updates) zajišťují, že máte robustní a spolehlivý servisní balík Servicing Stack, aby vaše zařízení mohla přijímat a instalovat aktualizace od Microsoftu. Další informace o aktualizacích SSU najdete v tématu Servisní aktualizace SSU.
Známé problémy v této aktualizaci
Uživatelé se nemusí být schopni přihlásit do OWA nebo posílat e-maily na serveru Exchange Server
Příznaky:
Po instalaci této aktualizace můžou mít některé místní servery Exchange problémy s přístupem k e-mailu nebo s jeho odesíláním. Uživatelé se nemusí přihlásit k aplikaci Outlook na webu (OWA) nebo e-mailové zprávy odeslané z Outlooku můžou zůstat ve složce Pošta k odeslání a nedojde k jejich doručení. Exchange také může mít během replikace poštovní schránky problémy s přístupem k poštovním schránkám.
V některých ovlivněných konfiguracích může aplikace OWA systému Exchange Server selhat s chybou MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) s ID události 1006 zaznamenanou v protokolu aplikace. Dalším hlášeným příznakem je rostoucí počet e-mailových front. Instalace aktualizací zabezpečení Exchange Serveru z října 2026 není k tomu, aby k těmto problémům došlo.
Alternativní řešení
Tento problém je možné dočasně zmírnit úpravou klíče registru, jak je popsáno v článku Po instalaci aktualizací Windows z října 2026 můžou být servery Exchange nestabilní.
Aktualizace z října 2026 zavedla výchozí omezení velikosti paměti používané mapovačem koncových bodů při zpracování volání vyhledávání koncových bodů.
U úloh, jako je třeba Exchange Server, nemusí být výchozí limit 512 souběžných volání vyhledávání koncových bodů při velkém zatížení dostačující. Správci můžou pomocí tohoto nastavení registru zvýšit maximální počet souběžných volání vyhledávání koncových bodů, což zvyšuje množství paměti, kterou může Mapovač koncových bodů používat.
podpora Microsoftu: Další zmírnění rizik je k dispozici pro ovlivněná zařízení prostřednictvím podpory Microsoftu. Pokud chcete toto zmírnění rizik ve vaší organizaci použít, obraťte se na podporu Microsoftu pro firmy.
Další kroky: Společnost Microsoft tento problém prošetřuje a poskytne další informace, jakmile budou k dispozici.
Služba Windows Server Update Services (WSUS) nezobrazuje podrobnosti o chybě
Služby Windows Server Update Services (WSUS) po instalaci aktualizace KB5070881 nebo novějších aktualizací nezobrazují podrobnosti o chybách synchronizace v rámci zasílání zpráv o chybách. Tato funkce je dočasně odebrána, aby se vyřešilo ohrožení zabezpečení proti vzdálenému spuštění kódu, CVE-2025-59287.
Jak získat tuto aktualizaci
Před instalací této aktualizace
Nasazení
Pokud dynamické aktualizace, jako je tato, nasazujete do existující bitové kopie systému Windows, ujistěte se, že je soubor boot.stl součástí instalačního média. Pokud tento soubor nezahrnete, může to zařízením zabránit v úspěšném spuštění z instalačního média a může dojít k chybovému kódu 0xc0430001.
Poznámka
Soubor boot.stl se používá během ověřování zabezpečeného spouštění a musí odpovídat verzi a architektuře systému Windows bitové kopie, kterou aktualizujete.
Chcete-li zajistit, aby byl soubor boot.stl součástí instalačního média, proveďte jednu z následujících akcí:
- Pomocí skriptu Update WinPE aktualizujte existující image Windows. (Doporučeno)
- Před nasazením aktualizace ručně zkopírujte soubor boot.stl ze složky Windows\Boot\EFI na zařízení.
Informace o tom, jak použít balíčky dynamických aktualizací na existující bitové kopie systému Windows, naleznete v tématu Aktualizace instalačních médií systému Windows pomocí dynamické aktualizace.
Instalace této aktualizace
K instalaci této aktualizace použijte jeden z následujících kanálů pro Windows a Microsoft.
| K dispozici | Další krok |
|---|---|
|
Tato aktualizace se stahuje a instaluje automaticky z služba služba Windows Update a Microsoft Update. |
Informace o souborech
Pokud chcete získat seznam souborů poskytovaných v rámci této aktualizace, stáhněte si informace o souborech pro kumulativní aktualizaci KB5126646.
Pokud chcete získat seznam souborů poskytovaných v servisní aktualizaci SSU, stáhněte si informace o souborech pro KB5126645 SSU – verze 26100.33634.
Změnový protokol
| Změnit datum | Popis změny |
|---|---|
| 19 října, 2026 | Byla aktualizována poznámka k verzi letního času o poskytnutí dalších informací a pokynů. |
| 14 října, 2026 | Byla přidána poznámka k verzi: "[Prostory úložiště] Tato aktualizace řeší problém, který může způsobit, že některé virtuální disky Prostory úložiště s přímým přístupem zůstanou po instalaci aktualizace systému Windows offline. K tomuto problému dochází, když jsou platná metadata vrstveného úložiště během obnovení nesprávně identifikována jako neplatná, což brání ovlivněným virtuálním diskům a závislým úlohám v přechodu do režimu online." |
| 15 října, 2026 | Byla přidána poznámka k verzi: "[Ověřování] Tato aktualizace posiluje zabezpečení protokolu NTLMv1 změnou interního výchozího chování, když není nastavená hodnota registru BlockNtlmv1SSO. Systém Windows teď používá režim vynucení (1) místo režimu auditování (0) a blokuje generování přihlašovacích údajů odvozených od protokolu NTLMv1 pro jednotné Sign-On (SSO). Tato změna se týká pouze zařízení, na kterých je zakázaná ochrana Credential Guard a není nastavená hodnota registru BlockNtlmv1SSO, a může mít vliv na připojení k sítím Wi-Fi, Ethernet a VPN, která používají ověřování založené na protokolu MS-CHAPv2. Další informace najdete v tématu KB5066470". |