Bản cập nhật tích lũy này cho Windows Server 2025 (KB5126646), bao gồm các bản sửa lỗi và cải tiến bảo mật mới nhất, cùng với các bản cập nhật không liên quan đến bảo mật từ bản phát hành xem trước tùy chọn của tháng trước. Truy cập bảng điều khiển tình trạng bản phát hành Windows để biết trạng thái mới nhất về bản phát hành này.
Thông báo và tin nhắn
Phần này cung cấp các thông báo chính liên quan đến bản phát hành này, bao gồm các thông báo, nhật ký thay đổi và thông báo kết thúc hỗ trợ.
Hết hạn chứng chỉ Khởi động an toàn Windows
Cập nhật chứng chỉ Khởi động an toàn vẫn đang được tiến hành khi Microsoft chuyển đổi thiết bị từ chứng chỉ bắt đầu hết hạn vào năm 2026 sang các chứng chỉ mới hơn. Các thiết bị chưa nhận được chứng chỉ mới hơn có thể tiếp tục khởi động và nhận các bản cập nhật Windows tiêu chuẩn. Microsoft sẽ tiếp tục cung cấp chứng chỉ Khởi động an toàn mới hơn cho các thiết bị đủ điều kiện thông qua Windows Update.
Các cải tiến
Bản cập nhật bảo mật này chứa các bản sửa lỗi và cải thiện chất lượng từ KB5122871 (phát hành ngày 8 tháng 9 năm 2026) và bản cập nhật ngoài băng tần KB5129235 (phát hành ngày 14 tháng 9 năm 2026). Bản tóm tắt sau đây trình bày các sự cố chính được giải quyết trong bản cập nhật này. Ngoài ra, còn có các tính năng mới sẵn dùng. Văn bản in đậm bên trong dấu ngoặc vuông cho biết mục hoặc khu vực của thay đổi.
[Phục hồi máy nhanh] Tin mới! Phục hồi máy nhanh hiện được hỗ trợ trên Windows Server 2025. Trong thời gian ngừng hoạt động, Phục hồi máy nhanh giúp khôi phục thiết bị khỏi các lỗi khởi động nghiêm trọng bằng cách sử dụng Môi trường Phục hồi Windows (WinRE) để tìm và áp dụng các biện pháp khắc phục được nhắm mục tiêu từ Windows Update. Tính năng này bị tắt theo mặc định trên các phiên bản Windows Server 2025. Người quản trị có thể bật tính năng này thông qua Chính sách Nhóm để hỗ trợ phục hồi hợp lý khi xảy ra sự cố trên diện rộng và giảm nhu cầu can thiệp thủ công. Việc phục hồi phụ thuộc vào cách khắc phục áp dụng đang sẵn dùng. Để tìm hiểu thêm, hãy xem Phục hồi máy nhanh.
[Bảo mật ReFS] Bản cập nhật này bổ sung kiểm tra và điều khiển chính sách tùy chọn cho các ổ đĩa ReFS trên các thiết bị lưu trữ được gắn bên ngoài. Tính năng kiểm tra được bật theo mặc định, trong khi các biện pháp kiểm soát thực thi vẫn bị vô hiệu hóa theo mặc định để cho người quản trị có thời gian đánh giá và chuẩn bị cho các thay đổi tăng cường bảo mật trong tương lai. Để tìm hiểu thêm, hãy xem KB5130741.
[Bảo mật] Bản cập nhật này bổ sung hỗ trợ cho trao đổi khóa hậu lượng tử ML-KEM trong Transport Layer Security (TLS) 1.3, giúp bảo vệ các kết nối được mã hóa chống lại các mối đe dọa điện toán lượng tử trong tương lai.
[Ngày và giờ]
Bản cập nhật này cập nhật dữ liệu múi giờ Windows để hỗ trợ thời gian tiết kiệm ánh sáng ban ngày vĩnh viễn (DST) ở British Columbia và Alberta bắt đầu từ tháng 11 năm 2026.
Bản cập nhật này giới thiệu múi giờ mới Giờ chuẩn Manitoba "(UTC-5:00) Manitoba".
[Bảo mật] Bản cập nhật này nâng cấp phiên bản cURL đi kèm với Windows lên phiên bản 8.21.0.
[Kết nối mạng] Bản cập nhật này cải thiện chức năng NetUseAdd , giúp thiết lập thành công các kết nối mạng SMB trong các lần thử làm việc NULL.
[Xác thực] Bản cập nhật này cải thiện kết nối kênh bảo mật Netlogin, giúp các máy chủ thành viên kết nối thành công với bộ điều khiển miền đã được thiết lập trước Windows Server 2025.
[Biểu tượng cảm xúc] Bản cập nhật này cải thiện bảo mật cho tìm kiếm biểu tượng cảm xúc trong Bảng Nhập biểu cảm bằng cách cập nhật các thư viện được sử dụng bởi EmojiSearchData.
[Hyper-V] Bản cập nhật này cải thiện độ tin cậy của các máy ảo bí mật Intel Trusted Domain Extensions (TDX) trong các sự cố về độ tin cậy Hyper-V ảnh hưởng đến hoạt động TDX.
[Trình quản lý Khóa Phân phối ()] Theo mặc định, bản cập nhật này sẽ tự động khắc phục cấu hình ACL bộ chứa không an toàn trong AD FS. Người quản trị có thể chọn không tham gia tự động khắc phục bằng cách đặt RemediateDkmAcl về 0. Thay đổi này giúp giải quyết lỗ hổng nâng cao đặc quyền có thể xảy ra khi ACL của bộ chứa quá cho phép. Để biết thêm thông tin về cách quản lý thay đổi này, hãy xem CVE-2026-56155: Củng cố ACL bộ chứa Trình quản lý khóa được phân phối AD FS.
[Khởi động an toàn] Bản cập nhật này tiếp tục triển khai chứng chỉ Khởi động an toàn đã cập nhật bằng cách sử dụng dữ liệu nhắm mục tiêu có độ tin cậy cao mới nhất để xác định các thiết bị đủ điều kiện sẵn sàng tự động nhận chứng chỉ mới. Việc triển khai thông qua Windows Update vẫn đang diễn ra trên các thiết bị được hỗ trợ.
[Không gian Lưu trữ] Bản cập nhật này khắc phục sự cố có thể khiến một số ổ đĩa ảo Storage Spaces Direct vẫn ngoại tuyến sau khi cài đặt bản cập nhật Windows. Sự cố này xảy ra khi siêu dữ liệu lưu trữ theo cấp hợp lệ được xác định không chính xác là không hợp lệ trong quá trình phục hồi, khiến các ổ đĩa ảo bị ảnh hưởng và khối lượng công việc phụ thuộc không thể trực tuyến.
[Xác thực] Bản cập nhật này tăng cường bảo mật NTLMv1 bằng cách thay đổi hành vi mặc định nội bộ khi giá trị sổ đăng ký BlockNtlmv1SSO không được đặt. Windows hiện sử dụng chế độ Cưỡng bức (1) thay vì chế độ Kiểm tra (0), chặn việc tạo thông tin xác thực có nguồn gốc từ NTLMv1 cho Sign-On đơn (SSO). Thay đổi này chỉ áp dụng cho các thiết bị đã tắt Credential Guard và giá trị sổ đăng ký BlockNtlmv1SSO không được đặt và có thể ảnh hưởng đến các kết nối Wi-Fi, Ethernet và VPN sử dụng xác thực dựa trên MS-CHAPv2. Để biết thêm thông tin, hãy xem KB5066470.
Nếu bạn đã cài đặt các bản cập nhật trước đó, thiết bị của bạn sẽ chỉ tải xuống và cài đặt các bản cập nhật mới có trong gói này.
Để biết thêm thông tin về các lỗ hổng bảo mật, hãy xem Hướng dẫn cập nhật bảo mật và các bản cập nhật bảo mật tháng 10 năm 2026.
Bản cập nhật ngăn xếp dịch vụ Windows Server 2025 (KB5126645) - 26100.33634
Bản cập nhật này cải tiến chất lượng cho ngăn xếp cung cấp dịch vụ, là cấu phần cài đặt các bản cập nhật Windows. Bản cập nhật xếp chồng dịch vụ (SSU) đảm bảo rằng bạn có một ngăn xếp dịch vụ mạnh mẽ và đáng tin cậy để thiết bị của bạn có thể nhận và cài đặt các bản cập nhật Microsoft. Để tìm hiểu thêm về SSU, hãy xem Bản cập nhật sắp xếp cung cấp dịch vụ.
Những sự cố đã biết trong bản cập nhật này
Người dùng có thể không đăng nhập được vào OWA hoặc gửi email trên Exchange Server
Triệu chứng:
Sau khi cài đặt bản cập nhật này, một số máy chủ Exchange tại chỗ có thể gặp sự cố khi truy nhập hoặc gửi email. Người dùng có thể không đăng nhập được vào Outlook trên web (OWA) hoặc email được gửi từ Outlook có thể vẫn còn trong Hộp thư đi và không được gửi. Ngoài ra, Exchange có thể gặp sự cố khi truy nhập hộp thư trong khi sao chép hộp thư.
Trong một số cấu hình bị ảnh hưởng, OWA Exchange Server có thể gặp lỗi với ID MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) Sự kiện 1006 được đăng nhập trong nhật ký ứng dụng. Một triệu chứng khác được báo cáo là hàng đợi email tăng lên. Không cần cài đặt các bản cập nhật bảo mật máy chủ Exchange tháng 10 năm 2026 để các sự cố này xảy ra.
Giải pháp
Có thể tạm thời giảm thiểu sự cố này bằng cách sửa đổi khóa đăng ký, như được mô tả trong Máy chủ Exchange có thể không ổn định sau khi cài đặt bản cập nhật Windows tháng 10 năm 2026.
Bản cập nhật tháng 10 năm 2026 đã đưa ra giới hạn mặc định về dung lượng bộ nhớ được sử dụng bởi Ánh xạ điểm cuối khi xử lý các cuộc gọi Tra cứu điểm cuối.
Đối với các khối lượng công việc như Exchange Server, giới hạn mặc định là 512 cuộc gọi Tra cứu Điểm cuối đồng thời có thể không đủ khi tải nặng. Người quản trị có thể sử dụng thiết đặt đăng ký này để tăng số lượng tối đa các cuộc gọi Tra cứu Điểm cuối đồng thời, điều này làm tăng dung lượng bộ nhớ mà Ánh xạ Điểm cuối có thể sử dụng.
Hỗ trợ của Microsoft: Một biện pháp giảm nhẹ bổ sung có sẵn cho các thiết bị bị ảnh hưởng thông qua Bộ phận Hỗ trợ của Microsoft. Để áp dụng biện pháp giảm nhẹ này cho tổ chức của bạn, vui lòng liên hệ với bộ phận Hỗ trợ của Microsoft dành cho doanh nghiệp.
Các bước tiếp theo: Microsoft đang điều tra sự cố này và sẽ cung cấp thêm thông tin khi có sẵn.
Windows Server Update Services (WSUS) không hiển thị chi tiết lỗi
Sau khi cài đặt KB5070881 hoặc các bản cập nhật mới hơn, Windows Server Update Services (WSUS) không hiển thị chi tiết lỗi đồng bộ trong báo cáo lỗi. Chức năng này tạm thời bị loại bỏ để khắc phục Lỗ hổng thực thi mã từ xa, CVE-2025-59287.
Cách tải bản cập nhật này
Trước khi bạn cài đặt bản cập nhật này
Triển khai
Nếu bạn triển khai các bản cập nhật động như bản cập nhật này cho một hình ảnh Windows hiện có, hãy đảm bảo tệp boot.stl được bao gồm như một phần của phương tiện cài đặt. Việc không đưa vào tệp có thể ngăn các thiết bị khởi động thành công từ phương tiện cài đặt và có thể dẫn đến mã 0xc0430001lỗi.
Lưu ý
Tệp boot.stl được sử dụng trong khi xác thực Khởi động an toàn và phải khớp với phiên bản Windows cũng như cấu trúc của hình ảnh mà bạn đang cập nhật.
Để đảm bảo tệp boot.stl được bao gồm như một phần của phương tiện cài đặt, hãy thực hiện một trong các thao tác sau:
- Sử dụng tập lệnh Cập nhật WinPE để cập nhật hình ảnh Windows hiện có. (Đề xuất)
- Sao chép thủ công tệp boot.stl từ thư mục thiết bị Windows\Boot\EFI vào thư mục tương ứng trên phương tiện cài đặt của bạn trước khi triển khai bản cập nhật.
Để biết thông tin về cách áp dụng gói Cập nhật Động cho hình ảnh Windows hiện có, hãy xem Cập nhật phương tiện cài đặt Windows bằng Cập nhật Động.
Cài đặt bản cập nhật này
Để cài đặt bản cập nhật này, hãy sử dụng một trong các kênh phát hành sau của Windows và Microsoft.
| Sẵn dùng | Bước tiếp theo |
|---|---|
|
Bản cập nhật này tự động tải xuống và cài đặt từ Windows Update và Microsoft Update. |
Thông tin tệp
Để tìm hiểu danh sách các tệp được cung cấp trong bản cập nhật này, hãy tải xuống thông tin tệp cho KB5126646 cập nhật tích lũy.
Để biết danh sách các tệp được cung cấp trong bản cập nhật ngăn xếp dịch vụ, hãy tải xuống thông tin tệp cho SSU KB5126645 - phiên bản 26100.33634.
Nhật ký thay đổi
| Thay đổi ngày | Thay đổi mô tả |
|---|---|
| Ngày 14 tháng 10 năm 2026 | Đã thêm ghi chú phát hành: "[Dung lượng Lưu trữ] Bản cập nhật này khắc phục sự cố có thể khiến một số ổ đĩa ảo Storage Spaces Direct vẫn ngoại tuyến sau khi cài đặt bản cập nhật Windows. Sự cố này xảy ra khi siêu dữ liệu lưu trữ theo tầng hợp lệ được xác định không chính xác là không hợp lệ trong quá trình phục hồi, khiến các đĩa ảo bị ảnh hưởng và khối lượng công việc phụ thuộc không thể trực tuyến." |
| Ngày 15 tháng 10 năm 2026 | Đã thêm ghi chú phát hành: "[Xác thực] Bản cập nhật này tăng cường bảo mật NTLMv1 bằng cách thay đổi hành vi mặc định nội bộ khi giá trị sổ đăng ký BlockNtlmv1SSO không được đặt. Windows hiện sử dụng chế độ Cưỡng bức (1) thay vì chế độ Kiểm tra (0), chặn việc tạo thông tin xác thực có nguồn gốc từ NTLMv1 cho Sign-On đơn (SSO). Thay đổi này chỉ áp dụng cho các thiết bị đã tắt Credential Guard và giá trị sổ đăng ký BlockNtlmv1SSO không được đặt và có thể ảnh hưởng đến các kết nối Wi-Fi, Ethernet và VPN sử dụng xác thực dựa trên MS-CHAPv2. Để biết thêm thông tin, hãy xem KB5066470." |