2026 年 10 月 13 日 - KB5126646 (OS 内部版本 26100.33650)

应用对象
Windows Server 2025, all editions

此 Windows Server 2025 (KB5126646) 累积更新包括最新的安全修补程序和改进，以及上个月可选预览版本中的非安全更新。 请访问 Windows 版本运行状况仪表板，了解此版本的最新状态。

公告和消息

本部分提供与此版本相关的重要通知，包括公告、更改日志和终止支持通知。

Windows 安全启动证书过期

随着 Microsoft 将设备从 2026 年开始过期的证书转换为较新的证书，安全启动证书更新仍在进行中。 尚未收到较新证书的设备可以继续启动并接收标准 Windows 更新。 Microsoft 将继续通过 Windows 更新向符合条件的设备提供较新的安全启动证书。

改进

此安全更新包含 2026 年 9 月 8 日) 发布的 KB5122871 (以及 2026 年 9 月 14 日) 发布的带外更新 KB5129235 ( 修补程序和质量改进。 以下摘要概述了此更新解决的关键问题。 此外，还包括可用的新功能。 括号内的粗体文本指示更改的项或区域。 

  • [机器快速恢复]新功能！ Windows Server 2025 现在支持快速计算机恢复。 在中断期间，“快速计算机恢复”可通过使用 Windows 恢复环境 (WinRE) 查找和应用来自Windows 更新的有针对性的修正措施，从而帮助设备从严重的启动故障中恢复。 默认情况下，该功能在 Windows Server 2025 版本上处于禁用状态。 管理员可以通过组策略启用该功能，以支持在大范围中断期间简化的恢复，并减少人工干预的需要。 恢复取决于可用的适用修正。 若要了解详细信息，请参阅 快速计算机恢复。

  • [ReFS 安全性] 此更新为外部连接的存储设备上的 ReFS 卷添加了审核和可选策略控制。 默认情况下启用审核，而强制控制默认保持禁用状态，以便管理员有时间评估和准备未来的安全强化更改。 若要了解详细信息，请参阅 KB5130741。

  • [安全性] 此更新增加了对传输层安全性 (TLS) 1.3 中 ML-KEM 后量子密钥交换的支持，有助于保护加密连接免受未来的量子计算威胁。

  • [日期和时间]

  • [安全性]此更新将 Windows 附带的 cURL 版本升级到版本 8.21.0。

  • [网络] 此更新改进了 NetUseAdd 函数，帮助它在 NULL 会话尝试期间成功建立 SMB 网络连接。

  • [身份验证]此更新改进了 Netlogon 安全通道连接，帮助成员服务器成功连接到在 Windows Server 2025 之前设置的域控制器。

  • [表情符号] 此更新通过更新 EmojiSearchData 使用的库，提高了在表达式输入面板中表情符号搜索的安全性。

  • [Hyper-V]此更新提高了 Intel 受信任的域扩展 (TDX) Hyper-V 中机密虚拟机的可靠性，影响TDX运行的可靠性问题。

  • [分布式密钥管理器 (DKM) ] 默认情况下，此更新会自动修正 AD FS 中不安全的 DKM 容器 ACL 配置。 管理员可以通过将 RemediateDkmAcl 设置为 0 来选择退出自动修正。 此更改有助于解决当 DKM 容器 ACL 过度宽松时可能发生的特权提升漏洞。 有关如何管理此更改的详细信息，请参阅 CVE-2026-56155：AD FS 分布式密钥管理器容器 ACL 强化。

  • [安全启动] 此更新继续使用最新的高置信度目标数据部署更新的安全启动证书，以识别已准备好自动接收新证书的合格设备。 通过 Windows 更新进行的部署会在受支持的设备上进行。

  • [存储空间] 此更新解决了安装 Windows 更新后可能导致某些存储空间直通虚拟磁盘保持脱机状态的问题。 当有效的分层存储元数据在恢复过程中被错误地识别为无效时，就会发生此问题，从而阻止受影响的虚拟磁盘和依赖工作负载联机。

  • [身份验证] 此更新通过更改未设置 BlockNtlmv1SSO 注册表值时的内部默认行为来增强 NTLMv1 安全性。 Windows 现在使用强制模式 (1) 而不是审核模式 (0) ，阻止为单 Sign-On (SSO) 生成 NTLMv1 派生的凭据。 此更改仅适用于已禁用 Credential Guard 且未设置 BlockNtlmv1SSO 注册表值的设备，并且可能会影响使用基于 MS-CHAPv2 的身份验证的 Wi-Fi、以太网和 VPN 连接。 有关详细信息，请参阅 KB5066470。

如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。

有关安全漏洞的详细信息，请参阅安全更新指南和 2026 年 10 月安全汇报。

Windows Server 2025 服务堆栈更新 (KB5126645) - 26100.33634

此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。 服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。

此更新中的已知问题

用户可能无法登录到 OWA 或在 Exchange Server 上发送电子邮件

症状：

安装此更新后，某些本地 Exchange 服务器可能会在访问或发送电子邮件时遇到问题。 用户可能无法登录到 Outlook 网页版 (OWA) ，或者从 Outlook 发送的电子邮件可能保留在发件箱中，无法送达。 此外，Exchange 在邮箱复制期间访问邮箱可能会遇到问题。

在某些受影响的配置中，Exchange Server OWA 可能会失败，并出现错误MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142)，应用程序日志中记录了事件 ID 1006。 另一个报告的症状是电子邮件队列增加。 发生这些问题不需要安装 2026 年 10 月 Exchange Server 安全更新 。

解决方法

可以通过修改注册表项暂时缓解此问题，如“安装 2026 年 10 月 Windows 更新后 Exchange 服务器可能变得不稳定”中所述。

2026 年 10 月更新在处理终结点查找调用时对终结点映射器使用的内存量引入了默认限制。

对于 Exchange Server 等工作负载，默认情况下 512 个同时终结点查找调用的限制在重负载下可能不够。 管理员可以使用此注册表设置来增加同时终结点查找调用的最大数量，这会增加终结点映射器可以使用的内存量。

Microsoft 支持部门：通过 Microsoft 支持部门，受影响的设备可以使用额外的缓解措施。 若要在组织中应用此缓解措施，请联系 Microsoft 支持部门业务。

后续步骤： Microsoft 正在调查此问题，并在可用时提供详细信息。

Windows Server Update Services (WSUS) 不显示错误详细信息

安装 KB5070881 或更高版本更新后，Windows Server Update Services (WSUS) 不会在其错误报告中显示同步错误详细信息。 为解决远程代码执行漏洞 CVE-2025-59287，暂时删除了此功能。

如何获取此更新

安装此更新之前

部署

如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。

注意

boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。

若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：

  • 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
  • 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。

有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。

安装此更新

要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。

可用 下一步
可用 此更新通过 Windows 更新和 Microsoft 更新自动下载并安装。

文件信息

有关此更新中提供的文件列表，请下载累积更新 KB5126646的文件信息。

有关服务堆栈更新中提供的文件列表，请下载 SSU KB5126645 版本 26100.33634 的文件信息。

更改日志
更改日期 更改说明
2026 年 10 月 19 日 更新了夏令时 (DST) 发行说明，以提供其他信息和指导。
2026 年 10 月 14 日 添加了发行说明：“[存储空间] 此更新解决了安装 Windows 更新后可能导致某些存储空间直通虚拟磁盘保持脱机状态的问题。 当有效的分层存储元数据在恢复过程中被错误地识别为无效时，就会出现此问题，从而阻止受影响的虚拟磁盘和依赖工作负载联机。”
2026 年 10 月 15 日 添加了发行说明：“[身份验证] 此更新通过更改未设置 BlockNtlmv1SSO 注册表值时的内部默认行为来增强 NTLMv1 安全性。 Windows 现在使用强制模式 (1) 而不是审核模式 (0) ，阻止为单 Sign-On (SSO) 生成 NTLMv1 派生的凭据。 此更改仅适用于已禁用 Credential Guard 且未设置 BlockNtlmv1SSO 注册表值的设备，并且可能会影响使用基于 MS-CHAPv2 的身份验证的 Wi-Fi、以太网和 VPN 连接。 有关详细信息，请参阅 KB5066470。”