Esta atualização cumulativa para o Windows Server 2025 (KB5126646) inclui as melhorias e correções de segurança mais recentes, juntamente com atualizações não relacionadas à segurança da versão prévia opcional do mês passado. Visite o painel de integridade da versão do Windows para obter o status mais recente sobre esta versão.
Comunicados e mensagens
Esta seção fornece as principais notificações relacionadas a este lançamento, incluindo comunicados, logs de alterações e avisos de fim de suporte.
Expiração do certificado de Inicialização Segura do Windows
As atualizações de certificado de Inicialização Segura continuam em andamento à medida que a Microsoft faz a transição de dispositivos de certificados que começaram a expirar em 2026 para certificados mais recentes. Os dispositivos que ainda não receberam os certificados mais recentes podem continuar a iniciar e receber atualizações padrão do Windows. A Microsoft continuará fornecendo os certificados de Inicialização Segura mais recentes para dispositivos qualificados por meio do Windows Update.
Melhorias
Essa atualização de segurança contém correções e melhorias de qualidade do KB5122871 (lançada em 8 de setembro de 2026) e do KB5129235 de atualização fora de banda (lançada em 14 de setembro de 2026). O resumo a seguir descreve os principais problemas abordados por esta atualização. Além disso, estão incluídos novos recursos disponíveis. O texto em negrito entre colchetes indica o item ou a área da alteração.
[Recuperação rápida da máquina] Novo! A recuperação rápida do computador agora tem suporte no Windows Server 2025. Durante interrupções, a recuperação rápida do computador ajuda a recuperar dispositivos de falhas críticas de inicialização usando o Ambiente de Recuperação do Windows (WinRE) para localizar e aplicar correções direcionadas do Windows Update. O recurso está desabilitado por padrão nas edições do Windows Server 2025. Os administradores podem habilitar o recurso por meio da Política de Grupo para dar suporte à recuperação simplificada durante interrupções generalizadas e reduzir a necessidade de intervenção manual. A recuperação depende da disponibilidade de uma correção aplicável. Para saber mais, consulte Recuperação rápida da maquina.
[Segurança do ReFS] Essa atualização adiciona auditoria e controles de política opcionais para volumes ReFS em dispositivos de armazenamento conectados externamente. A auditoria é habilitada por padrão, enquanto os controles de imposição permanecem desabilitados por padrão para dar aos administradores tempo para avaliar e se preparar para futuras alterações na proteção de segurança. Para saber mais, consulte KB5130741.
[Segurança] Essa atualização adiciona suporte para troca de chaves pós-quânticas ML-KEM no Transport Layer Security (TLS) 1.3, ajudando a proteger conexões criptografadas contra futuras ameaças de computação quântica.
[Hora e Data]
Esta atualização atualiza os dados de fuso horário do Windows para oferecer suporte ao horário de verão permanente (DST) na Colúmbia Britânica e em Alberta a partir de novembro de 2026.
Esta atualização introduz o novo fuso horário, Hora Padrão de Manitoba, "(UTC-5:00) Manitoba".
[Segurança] Esta atualização atualiza a versão do cURL incluída com o Windows para a versão 8.21.0.
[Rede] Essa atualização melhora a função NetUseAdd , ajudando-a a estabelecer conexões de rede SMB com êxito durante tentativas de sessão NULL.
[Autenticação] Essa atualização melhora as conexões de canal seguro do Netlogon, ajudando os servidores membros a se conectarem com sucesso a controladores de domínio que foram configurados antes do Windows Server 2025.
[Emoji] Essa atualização melhora a segurança da pesquisa de emoji no Painel de Entrada Expressiva atualizando as bibliotecas usadas por EmojiSearchData.
[Hyper-V] Essa atualização melhora a confiabilidade das máquinas virtuais confidenciais Intel Trusted Domain Extensions (TDX) em problemas de confiabilidade do Hyper-V que afetam a operação TDX.
[DKM (Gerenciador de Chaves Distribuídas)] Essa atualização corrige automaticamente as configurações inseguras de ACL do contêiner DKM no AD FS por padrão. Os administradores podem recusar a correção automática definindo RemediateDkmAcl como 0. Essa alteração ajuda a resolver uma vulnerabilidade de elevação de privilégio que pode ocorrer quando a ACL do contêiner DKM é excessivamente permissiva. Para obter mais informações sobre como gerenciar essa alteração, consulte CVE-2026-56155: Proteção de ACL de contêiner do Gerenciador de Chaves Distribuídas do AD FS.
[Inicialização Segura] Essa atualização continua a implantação de certificados de Inicialização Segura atualizados usando os dados de segmentação de alta confiança mais recentes para identificar dispositivos qualificados que estão prontos para receber automaticamente os novos certificados. A implantação por meio do Windows Update continua em todos os dispositivos com suporte.
[Espaços de Armazenamento] Essa atualização resolve um problema que pode fazer com que alguns discos virtuais de Espaços de Armazenamento Diretos permaneçam offline após a instalação de uma atualização do Windows. Esse problema ocorre quando metadados de armazenamento em camadas válidos são identificados incorretamente como inválidos durante a recuperação, impedindo que discos virtuais afetados e cargas de trabalho dependentes fiquem online.
[Autenticação] Essa atualização fortalece a segurança NTLMv1 alterando o comportamento padrão interno quando o valor do Registro BlockNtlmv1SSO não está definido. O Windows agora usa o modo Impor (1) em vez do modo de auditoria (0), bloqueando a geração de credenciais derivadas de NTLMv1 para SSO (Sign-On Único). Essa alteração se aplica somente a dispositivos em que o Credential Guard está desabilitado e o valor do Registro BlockNtlmv1SSO não está definido e pode afetar as conexões Wi-Fi, Ethernet e VPN que usam autenticação baseada em MS-CHAPv2. Para obter mais informações, consulte KB5066470.
Se você já instalou atualizações anteriores, seu dispositivo baixará e instalará apenas as novas atualizações incluídas neste pacote.
Para obter mais informações sobre vulnerabilidades de segurança, consulte o Guia de Atualização de Segurança e as Atualizações de Segurança de outubro de 2026.
Atualização da pilha de serviços do Windows Server 2025 (KB5126645) - 26100.33634
Esta atualização faz melhorias de qualidade na pilha de serviços, o componente que instala atualizações do Windows. As SSU (atualizações da pilha de manutenção) garantem que você tenha uma pilha de manutenção robusta e confiável, para que seus dispositivos possam receber e instalar atualizações da Microsoft. Para saber mais sobre SSUs, consulte Atualizações da pilha de manutenção.
Problemas conhecidos nesta atualização
Os usuários podem não conseguir entrar no OWA ou enviar emails no Exchange Server
Sintomas:
Após a instalação desta atualização, alguns servidores Exchange locais podem enfrentar problemas para acessar ou enviar emails. Os usuários podem não conseguir entrar no Outlook na Web (OWA) ou as mensagens de email enviadas do Outlook podem permanecer na Caixa de Saída e não ser entregues. Além disso, o Exchange pode ter problemas para acessar caixas de correio durante a replicação da caixa de correio.
Em algumas configurações afetadas, o OWA do Exchange Server pode falhar com um erro MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) com a ID de Evento 1006 registrada no log do aplicativo. Outro sintoma relatado é o aumento das filas de e-mail. A instalação das atualizações de segurança do Exchange Server de outubro de 2026 não é necessária para que esses problemas ocorram.
Solução alternativa
Esse problema pode ser temporariamente atenuado modificando a chave do Registro, conforme descrito em Os servidores Exchange podem se tornar instáveis após a instalação das atualizações do Windows de outubro de 2026.
A atualização de outubro de 2026 introduziu um limite padrão na quantidade de memória usada pelo mapeador de ponto de extremidade ao lidar com chamadas de pesquisa de ponto de extremidade.
Para cargas de trabalho como o Exchange Server, o limite padrão de 512 chamadas simultâneas de Pesquisa de Ponto de Extremidade pode não ser suficiente sob carga pesada. Os administradores podem usar essa configuração do Registro para aumentar o número máximo de chamadas simultâneas de Pesquisa de Ponto de Extremidade, o que aumenta a quantidade de memória que o Mapeador de Ponto de Extremidade pode usar.
Suporte da Microsoft: Uma mitigação adicional está disponível para dispositivos afetados por meio do Suporte da Microsoft. Para aplicar essa mitigação em sua organização, entre em contato com o Suporte da Microsoft para empresas.
Próximas etapas: A Microsoft está investigando esse problema e fornecerá mais informações assim que estiverem disponíveis.
O Windows Server Update Services (WSUS) não exibe detalhes do erro
Depois de instalar KB5070881 ou atualizações posteriores, o Windows Server Update Services (WSUS) não exibe detalhes do erro de sincronização em seu relatório de erro. Esta funcionalidade foi removida temporariamente para resolver a Vulnerabilidade de Execução Remota de Código, CVE-2025-59287.
Como obter esta atualização
Antes de instalar essa atualização
Implantação
Se você implantar atualizações dinâmicas como esta atualização em uma imagem existente do Windows, verifique se o arquivo boot.stl está incluído como parte da mídia de instalação. A falha ao incluir o arquivo pode impedir que os dispositivos sejam iniciados com êxito a partir da mídia de instalação e pode resultar em código 0xc0430001de erro .
Observação
O arquivo boot.stl é usado durante a validação de Inicialização Segura e deve corresponder à versão do Windows e à arquitetura da imagem que você está atualizando.
Para garantir que o arquivo boot.stl seja incluído como parte da mídia de instalação, siga um destes procedimentos:
- Use o script Update WinPE para atualizar uma imagem existente do Windows. (Recomendado)
- Copie manualmente o arquivo boot.stl da pasta Windows\Boot\EFI do dispositivo para a pasta correspondente na mídia de instalação antes de implantar a atualização.
Para obter informações sobre como aplicar pacotes de Atualização Dinâmica a imagens existentes do Windows, consulte Atualizar a mídia de instalação do Windows com a Atualização Dinâmica.
Instalar esta atualização
Para instalar essa atualização, use um dos seguintes canais de lançamento da Microsoft e do Windows.
| Disponível | Próxima Etapa |
|---|---|
|
Esta atualização baixa e instala automaticamente do Windows Update e do Microsoft Update. |
Informações de arquivo
Para obter uma lista dos arquivos fornecidos nesta atualização, baixe as informações de arquivo da atualização cumulativa KB5126646.
Para obter uma lista dos arquivos fornecidos na atualização da pilha de manutenção, baixe as informações de arquivo para SSU KB5126645 versão 26100.33634.
Log de mudanças
| Data da alteração | Alterar descrição |
|---|---|
| 14 de outubro de 2026 | Adicionada uma nota de versão: "[Espaços de Armazenamento] Esta atualização resolve um problema que pode fazer com que alguns discos virtuais de Espaços de Armazenamento Diretos permaneçam offline após a instalação de uma atualização do Windows. Esse problema ocorre quando metadados de armazenamento em camadas válidos são identificados incorretamente como inválidos durante a recuperação, impedindo que discos virtuais afetados e cargas de trabalho dependentes fiquem online." |
| 15 de outubro de 2026 | Adicionada uma nota de versão: "[Autenticação] Esta atualização fortalece a segurança NTLMv1 alterando o comportamento padrão interno quando o valor do registro BlockNtlmv1SSO não está definido. O Windows agora usa o modo Impor (1) em vez do modo de auditoria (0), bloqueando a geração de credenciais derivadas de NTLMv1 para SSO (Sign-On Único). Essa alteração se aplica somente a dispositivos em que o Credential Guard está desabilitado e o valor do Registro BlockNtlmv1SSO não está definido e pode afetar as conexões Wi-Fi, Ethernet e VPN que usam autenticação baseada em MS-CHAPv2. Para obter mais informações, consulte KB5066470." |