2025 年 12 月 9 日 - KB5071543（操作系统内部版本 14393.8688）

Windows 安全启动证书过期

重要提示： 大多数 Windows 设备使用的安全启动证书从 2026 年 6 月开始过期。若未能及时更新，这可能会影响某些个人和企业设备安全启动的能力。为避免中断，建议查看指南并提前采取措施更新证书。有关详细信息和准备步骤，请参阅Windows 安全启动证书过期和 CA 更新

Windows 更新不会安装Microsoft应用商店应用程序更新。如果你是企业用户，请参阅 Microsoft 应用商店应用 - Configuration Manager。如果你是使用者用户，请参阅在 Microsoft Store 中获取应用和游戏的更新。

对 Windows Server 2016 的支持将于 2027 年 1 月结束

2027 年 1 月 12 日之后，Microsoft 将不再为 Windows Server 2016 提供 Windows 更新、技术协助或安全修补程序的免费软件更新。建议升级到更高版本的 Windows Server。

更改日期	更改说明
2025 年 12 月 18 日	添加了对“MSMQ) 消息队列 (”已知问题的解决方法。
2025 年 12 月 12 日	添加了“消息队列 (MSMQ) ”已知问题。

摘要

适用于： Windows Server 2016

此安全更新包括以下更新的修补程序和改进：

2025 年 11 月 11 日 - KB5068864 (作系统内部版本 14393.8594)

下面是此更新所解决的问题的摘要。括号中的粗体文本表示我们记录的更改的项目或区域。

[PowerShell 5.1] Invoke-WebRequest 命令现在包含一个确认提示，其中包含脚本执行风险的安全警告。可以选择继续或取消请求。有关其他详细信息，请参阅 CVE-2025-54100 和 KB5074596：PowerShell 5.1：阻止从 Web 内容执行脚本。

如果已安装较早的更新，那么此程序包中只有新的更新程序会下载并安装到设备上。

有关安全漏洞的详细信息，请参阅新的安全更新指南网站和 2025 年 12 月安全汇报。

有关Windows 10版本 1607 的详细信息，请参阅其更新历史记录页。

有关 Windows 更新术语的信息，请参阅有关 Windows 更新类型和每月质量更新类型的文章。

此更新中的已知问题

症状

安装此更新后，用户可能会遇到消息队列 (MSMQ) 功能的问题。此问题还会影响负载下的群集 MSMQ 环境。由于此问题，用户可能会遇到以下症状：

MSMQ 队列变为非活动状态
IIS 站点失败并出现“Insufficient resources to perform operation”错误
应用程序无法写入队列
创建消息文件时出现“The message file 'C:\Windows\System32\msmq\storage*.mq' cannot be created”等错误
误导性日志，例如“There is insufficient disk space or memory”，尽管有足够的磁盘空间和内存可用

此问题是由最近对 C：\Windows\System32\MSMQ\storage 文件夹的 MSMQ 安全模型和 NTFS 权限引入的更改引起的。 MSMQ 用户现在需要对此文件夹的写入访问权限，该文件夹通常仅限于管理员。因此，尝试通过 MSMQ API 发送消息可能会失败并出现资源错误。

在个人设备上使用 Windows 家庭版或专业版的用户很少会遇到此问题。此问题主要影响企业或托管 IT 环境。

解决方法

此问题已由 2025 年 12 月 18 日和之后发布的 Windows 带外更新解决， (例如 KB5074974) 。建议为设备安装最新更新，因为它包含重要的改进和问题解决方法，包括此更新。

如何获取此更新

安装此更新之前

若要安装 2025 年 1 月 14 日或之后发布的更新，建议首先安装最新的 Serviceing Stack Update (SSU) 。如果设备或脱机映像未安装最新的 SSU，则可能无法安装此更新。

谨慎在安装 SSU 之前，可能不会向设备提供此更新。若要降低安全风险，请尽快安装 SSU。

如果使用Windows 更新，系统会自动为你提供最新的 SSU (KB5070247) 。如果未安装最新的 SSU，则可能无法安装此更新。
如果使用 Windows 更新 for Business，系统会自动为你提供最新的 SSU (KB5070247) 。如果未安装最新的 SSU，则可能无法安装此更新。
如果使用更新目录，建议下载并安装最新的 SSU (KB5070247) 。如果未安装最新的 SSU，则可能无法安装此更新。
如果你是Windows Server Update Services (WSUS) 管理员，则必须批准 SSU KB5070247，并且此更新KB5071543。