Dieses kumulative Update für Windows Server 2025 (KB5126646) enthält die neuesten Sicherheitskorrekturen und Verbesserungen sowie nicht sicherheitsrelevante Updates aus der optionalen Vorschauversion des letzten Monats. Besuchen Sie das Windows-Versionsintegritäts-Dashboard, um den neuesten Status zu dieser Version zu erfahren.
Ankündigungen und Nachrichten
Dieser Abschnitt enthält wichtige Benachrichtigungen zu dieser Version, einschließlich Ankündigungen, Änderungsprotokollen und Hinweisen zum Ende des Supports.
Ablauf des Windows Secure Boot-Zertifikats
Die Zertifikatupdates für den sicheren Start werden weiterhin ausgeführt, während Microsoft Geräte von Zertifikaten, die seit 2026 ablaufen, auf neuere Zertifikate umstellt. Geräte, die die neueren Zertifikate noch nicht erhalten haben, können weiterhin gestartet werden und Windows-Standardupdates erhalten. Microsoft stellt berechtigten Geräten weiterhin die neueren Zertifikate für den sicheren Start über Windows Update zur Verfügung.
Verbesserungen
Dieses Sicherheitsupdate enthält Korrekturen und Qualitätsverbesserungen aus KB5122871 (veröffentlicht am 8. September 2026) und dem Out-of-Band-Update KB5129235 (veröffentlicht am 14. September 2026). In der folgenden Zusammenfassung werden die wichtigsten Probleme beschrieben, die durch dieses Update behoben werden. Außerdem sind neue Funktionen verfügbar. Der fett formatierte Text in eckigen Klammern zeigt das Element oder den Bereich der Änderung an.
[Schnelle Maschinenwiederherstellung] Neu! Die schnelle Maschinenwiederherstellung wird jetzt unter Windows Server 2025 unterstützt. Bei Ausfällen hilft die schnelle Maschinenwiederherstellung bei der Wiederherstellung von Geräten nach kritischen Startfehlern, indem die Windows-Wiederherstellungsumgebung (Windows Recovery Environment, WinRE) verwendet wird, um gezielte Korrekturmaßnahmen von Windows Update zu suchen und anzuwenden. Das Feature ist in Windows Server 2025-Editionen standardmäßig deaktiviert. Administratoren können das Feature über die Gruppenrichtlinie aktivieren, um eine optimierte Wiederherstellung bei weitreichenden Ausfällen zu unterstützen und den Bedarf an manuellen Eingriffen zu reduzieren. Die Wiederherstellung hängt davon ab, ob eine anwendbare Behebung verfügbar ist. Weitere Informationen finden Sie unter Schnelle Maschinenwiederherstellung.
[ReFS-Sicherheit] Dieses Update fügt Überwachungs- und optionale Richtlinienkontrollen für ReFS-Volumes auf extern angeschlossenen Speichergeräten hinzu. Die Überwachung ist standardmäßig aktiviert, während Erzwingungskontrollen standardmäßig deaktiviert bleiben, um Administratoren Zeit zum Auswerten und Vorbereiten künftiger Änderungen zur Sicherheitshärtung zu geben. Weitere Informationen finden Sie unter KB5130741.
[Sicherheit] Dieses Update fügt Unterstützung für den ML-KEM-Post-Quantum-Schlüsselaustausch in Transport Layer Security (TLS) 1.3 hinzu, um verschlüsselte Verbindungen vor zukünftigen Quantencomputing-Bedrohungen zu schützen.
[Uhrzeit und Datum]
Mit diesem Update werden Windows-Zeitzonendaten aktualisiert, um die permanente Sommerzeit in British Columbia und Alberta ab November 2026 zu unterstützen.
Mit diesem Update wird die neue Zeitzone Manitoba Standard Time "(UTC-5:00) Manitoba" eingeführt.
[Sicherheit] Dieses Update aktualisiert die in Windows enthaltene Version von cURL auf Version 8.21.0.
[Netzwerk] Dieses Update verbessert die NetUseAdd-Funktion und hilft beim erfolgreichen Herstellen von SMB-Netzwerkverbindungen während NULL-Sitzungsversuchen.
[Authentifizierung] Dieses Update verbessert die sicheren Netlogon-Kanalverbindungen, damit Mitgliedsserver erfolgreich eine Verbindung zu Domänencontrollern herstellen können, die vor Windows Server 2025 eingerichtet wurden.
[Emoji] Dieses Update verbessert die Sicherheit für die Emoji-Suche im Ausdruckseingabebereich, indem die von EmojiSearchData verwendeten Bibliotheken aktualisiert werden.
[Hyper-V] Dieses Update verbessert die Zuverlässigkeit von Intel Trusted Domain Extensions (TDX) Confidential Virtual Machines in Hyper-V, die sich auf den TDX-Betrieb auswirken.
[Distributed Key Manager (DKM)] Dieses Update behebt standardmäßig automatisch unsichere DKM-Container-ACL-Konfigurationen in AD FS. Administratoren können die automatische Korrektur deaktivieren, indem sie "RemediateDkmAcl " auf 0 setzen. Diese Änderung trägt dazu bei, eine Sicherheitsanfälligkeit bezüglich Rechteerweiterungen zu beheben, die auftreten kann, wenn die DKM-Container-ACL zu freizügig ist. Weitere Informationen zum Verwalten dieser Änderung finden Sie unter CVE-2026-56155: AD FS Distributed Key Manager-Container-ACL-Härtung.
[Sicherer Start] Dieses Update setzt die Bereitstellung aktualisierter sicherer Startzertifikate unter Verwendung der neuesten hochgradig vertrauenswürdigen Zieldaten fort, um berechtigte Geräte zu identifizieren, die bereit sind, automatisch neue Zertifikate zu erhalten. Die Bereitstellung über Windows Update läuft weiterhin auf allen unterstützten Geräten.
[Speicherplätze] Dieses Update behebt ein Problem, das dazu führen kann, dass einige virtuelle Datenträger mit Direkte Speicherplätze nach der Installation eines Windows-Updates offline bleiben. Dieses Problem tritt auf, wenn gültige mehrstufige Speichermetadaten während der Wiederherstellung fälschlicherweise als ungültig identifiziert werden, wodurch verhindert wird, dass betroffene virtuelle Datenträger und abhängige Workloads online gehen.
[Authentifizierung] Dieses Update stärkt die NTLMv1-Sicherheit, indem das interne Standardverhalten geändert wird, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Windows verwendet jetzt den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0) und blockiert die Generierung von NTLMv1-abgeleiteten Anmeldeinformationen für Single Sign-On (SSO). Diese Änderung gilt nur für Geräte, auf denen Credential Guard deaktiviert und der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist, und kann sich auf WLAN-, Ethernet- und VPN-Verbindungen auswirken, die die MS-CHAPv2-basierte Authentifizierung verwenden. Weitere Informationen finden Sie unter KB5066470.
Wenn Sie bereits vorherige Updates installiert haben, lädt Ihr Gerät nur die neuen Updates aus diesem Paket herunter und installiert sie.
Weitere Informationen zu Sicherheitsrisiken finden Sie im Leitfaden für Sicherheitsupdates und im Security Updates vom Oktober 2026.
Wartungsstapelupdate vom Windows Server 2025 (KB5126645) – 26100.33634
Dieses Update enthält qualitative Verbesserungen am Wartungsstapel, bei dem es sich um die Komponente handelt, die Windows-Updates installiert. SSU (Servicing Stack Updates) stellen sicher, dass Sie über einen robusten und zuverlässigen Wartungsstapel verfügen, damit Ihre Geräte Microsoft-Updates erhalten und installieren können. Weitere Informationen zu SSUs finden Sie unter Wartungsstapelupdates.
Bekannte Probleme bei diesem Update
Benutzer können sich möglicherweise nicht bei OWA anmelden oder E-Mails auf Exchange Server senden
Symptome:
Nach der Installation dieses Updates können bei einigen lokalen Exchange-Servern Probleme beim Abrufen oder Senden von E-Mails auftreten. Benutzer können sich möglicherweise nicht bei Outlook im Web (OWA) anmelden, oder von Outlook gesendete E-Mail-Nachrichten verbleiben möglicherweise im Postausgang und werden nicht zugestellt. Darüber hinaus kann es in Exchange während der Postfachreplikation zu Problemen beim Zugriff auf Postfächer kommen.
In einigen betroffenen Konfigurationen schlägt Exchange Server OWA möglicherweise mit einem Fehler MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) fehl, wobei die Ereignis-ID 1006 im Anwendungsprotokoll protokolliert wird. Ein weiteres gemeldetes Symptom ist die Zunahme von E-Mail-Warteschlangen. Die Installation der Exchange Server-Sicherheitsupdates vom Oktober 2026 ist nicht erforderlich, damit diese Probleme auftreten.
Problemumgehung
Dieses Problem kann vorübergehend behoben werden, indem der Registrierungsschlüssel geändert wird, wie unter Exchange-Server können nach der Installation von Windows-Updates vom Oktober 2026 instabil werden.
Mit dem Update vom Oktober 2026 wurde ein Standardgrenzwert für die Speichermenge eingeführt, die von Endpoint Mapper bei der Verarbeitung von Endpoint Lookup-Aufrufen verwendet wird.
Für Workloads wie Exchange Server ist der Standardgrenzwert von 512 gleichzeitigen Endpunktsucheaufrufen bei hoher Auslastung möglicherweise nicht ausreichend. Administratoren können diese Registrierungseinstellung verwenden, um die maximale Anzahl gleichzeitiger Endpunktsuche-Aufrufe zu erhöhen, wodurch sich der Arbeitsspeicher erhöht, den die Endpunktzuordnung verwenden kann.
Microsoft-Support: Für betroffene Geräte ist eine zusätzliche Abhilfemaßnahme über den Microsoft-Support verfügbar. Wenden Sie sich an den Microsoft-Support für Unternehmen, um diese Minderung in Ihrer Organization anzuwenden.
Nächste Schritte: Microsoft untersucht dieses Problem und stellt weitere Informationen bereit, sobald sie verfügbar sind.
Windows Server Update Services (WSUS) zeigt keine Fehlerdetails an
Nach der Installation von KB5070881 oder späterer Updates zeigt Windows Server Update Services (WSUS) keine Details zu Synchronisierungsfehlern in der Fehlerberichterstattung an. Diese Funktion wurde vorübergehend entfernt, um die Sicherheitslücke für Remotecodeausführung CVE-2025-59287 zu beheben.
So erhalten Sie dieses Update
Vor der Installation dieses Updates
Bereitstellung
Wenn Sie dynamische Updates wie dieses Update für ein vorhandenes Windows-Image bereitstellen, stellen Sie sicher, dass die Datei boot.stl Teil des Installationsmediums ist. Wenn die Datei nicht eingeschlossen wird, können Geräte möglicherweise nicht erfolgreich vom Installationsmedium gestartet werden, und dies kann zu einem Fehlercode 0xc0430001führen.
Hinweis
Die Datei boot.stl wird während der Überprüfung des sicheren Starts verwendet und muss mit der Windows-Version und Architektur des zu aktualisierenden Images übereinstimmen.
Führen Sie einen der folgenden Schritte aus, um sicherzustellen, dass die Datei boot.stl Teil des Installationsmediums ist:
- Verwenden Sie das Skript "WinPE aktualisieren ", um ein vorhandenes Windows-Image zu aktualisieren. (Empfohlen)
- Kopieren Sie die Datei boot.stl manuell aus dem Geräteordner Windows\Boot\EFI in den entsprechenden Ordner auf dem Installationsmedium, bevor Sie das Update bereitstellen.
Informationen zum Anwenden dynamischer Updatepakete auf vorhandene Windows-Images finden Sie unter Aktualisieren von Windows-Installationsmedien mit dynamischem Update.
Installieren dieses Updates
Verwenden Sie zum Installieren dieses Updates einen der folgenden Releasekanäle von Windows und Microsoft.
| Verfügbar | Nächster Schritt |
|---|---|
|
Dieses Update wird von Windows Update und Microsoft Update automatisch heruntergeladen und installiert. |
Dateiinformationen
Eine Liste der in diesem Update bereitgestellten Dateien finden Sie in den Dateiinformationen für das kumulative Update KB5126646.
Eine Liste der Dateien, die im Servicing Stack Update bereitgestellt werden, finden Sie in den Dateiinformationen für SSU KB5126645 Version 26100.33634.
Änderungsprotokoll
| Datum ändern | Beschreibung ändern |
|---|---|
| Dienstag, 14. Oktober 2026 | Ein Versionshinweis wurde hinzugefügt: "[Speicherplätze] Dieses Update behebt ein Problem, das dazu führen kann, dass einige virtuelle Datenträger mit Direkte Speicherplätze nach der Installation eines Windows-Updates offline bleiben. Dieses Problem tritt auf, wenn gültige mehrstufige Speichermetadaten während der Wiederherstellung fälschlicherweise als ungültig identifiziert werden, wodurch verhindert wird, dass betroffene virtuelle Datenträger und abhängige Workloads online gehen." |
| Dienstag, 15. Oktober 2026 | Es wurde ein Versionshinweis hinzugefügt: "[Authentifizierung] Dieses Update stärkt die NTLMv1-Sicherheit, indem das interne Standardverhalten geändert wird, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Windows verwendet jetzt den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0) und blockiert die Generierung von NTLMv1-abgeleiteten Anmeldeinformationen für Single Sign-On (SSO). Diese Änderung gilt nur für Geräte, auf denen Credential Guard deaktiviert und der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist, und kann sich auf WLAN-, Ethernet- und VPN-Verbindungen auswirken, die die MS-CHAPv2-basierte Authentifizierung verwenden. Weitere Informationen finden Sie unter KB5066470". |