2026 年 11 月 10 日 - KB5131085 (OS 内部版本 17763.9487)

应用对象
Windows Server 2019 Win 10 Ent LTSC 2019

摘要

本文列出了此累积安全更新中包含的安全问题和质量改进。

适用于：Windows Server 2019

此安全更新包括属于以下更新的修补程序和质量改进：

以下是安装此更新时此更新解决的问题的摘要。 括号内的粗体文本表示我们正在记录的更改的项或区域。

  • [日期和时间] 此更新调整了古巴在 2026-2027 年延长的 2026-2027 年 DST 期间的夏令时 (DST) 规则。 古巴仍保持 UTC-04：00，不遵守 2026 年 11 月和 2027 年 3 月的过渡。 它将于 2027 年 11 月返回到 UTC-05：00，并于 2028 年恢复其常规季节性时间表。

  • [打印] - 已修复：通过设置>添加在 Active Directory 中发布的打印机蓝牙 & 设备>打印机 & 扫描仪>添加设备可能会失败，并出现错误 87“参数不正确”。此问题由 2026 年 10 月更新引入，通常不会影响现有打印机或打印。

  • [Windows 部署服务] 已修复：安装此安全更新后， Import-WdsInstallImage cmdlet 需要管理员权限。 尝试以非管理员身份运行 cmdlet 失败并出现ACCESS_DENIED错误。

  • [远程桌面 Web 访问] 已修复：浏览器策略禁用 XSLT 时，RD Web Access 可能无法加载，并在 Microsoft Edge 或 Google Chrome 中显示“无法显示 RD Web 访问”。 RD Web 访问页面现在呈现在服务器上，不再依赖于浏览器 XSLT 支持。 若要了解详细信息，请参阅 KB5130994：在 Microsoft Edge 或 Google Chrome 中禁用 XSLT 时 RD Web 访问无法加载。

  • [远程桌面]

    • 已修复：无法通过 Microsoft Intune 成功配置“指定代表受信任的 .rdp 发布者的证书的指纹”策略。
    • 已修复：安装 2026 年 10 月 14 日更新后，远程桌面卷影连接可能会在 Windows Server 2016 和 Windows Server 2012 R2 上失败并出现“未指定的错误”。

  • [Exchange Server] 此更新修复了影响本地 Exchange 服务器的问题。 此问题可能会阻止登录到 Outlook 网页版 (OWA) 、导致电子邮件保留在 Outlook 发件箱中而不送达，或阻止 Exchange 在邮箱复制期间访问邮箱。

  • [Windows PowerShell] 此更新通过引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。 因此，包含无效 UTF-8 编码的脚本可能会无法通过签名验证，即使以前已接受它们也是如此。 要解决此问题，请查看受影响的脚本，使用有效的 UTF-8 编码和字节顺序标记 (BOM) 保存它们，然后再次签名。 有关进一步指导，请参阅 签名的 PowerShell 脚本的编码指南。

  • [安全性] 此更新使客户端能够默认为非匿名连接提供 NTLM 消息签名，从而提高了 NTLM 安全性。 此更改有助于减少 NTLM 中继攻击的风险，并提供审核以识别未使用签名的连接。 若要了解详细信息，请参阅 Windows 中的 NTLM 签名安全改进。

此更新中的已知问题

用户可能无法登录到 OWA 或在 Exchange Server 上发送电子邮件

症状：

安装此更新后，某些本地 Exchange 服务器可能会在访问或发送电子邮件时遇到问题。 用户可能无法登录到 Outlook 网页版 (OWA) ，或者从 Outlook 发送的电子邮件可能保留在发件箱中，无法送达。 此外，Exchange 在邮箱复制期间访问邮箱可能会遇到问题。

在某些受影响的配置中，Exchange Server OWA 可能会失败，并出现错误MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142)，应用程序日志中记录了事件 ID 1006。 另一个报告的症状是电子邮件队列增加。 发生这些问题不需要安装 2026 年 10 月 Exchange Server 安全更新 。

解决方案

此问题已在 2026 年 11 月 10 日及之后发布的 Windows 更新中得到解决，例如 (KB5131085) 。 建议为设备安装最新的 Windows 更新，因为它包含重要的改进和问题解决方法（包括此项）。

USB 音频类 1.0 设备具有错误代码 10 或无输出

症状

安装 2026 年 9 月 8 日 Windows 安全更新后，某些 USB 音频类 1.0 设备 可能无法启动或产生音频。 受影响的设备可能会遇到以下一种或多种症状：

  • 设备在 设备管理器 中显示错误：“此设备无法启动 (代码 10) ”。
  • 无音频输出。
  • 音量控制无响应或保持为零。
  • 声音设置无响应或不可用。
  • 某些设备可能在标准立体声配置下运行，但在使用多声道音频功能（包括 8 声道或 3D 音频模式）时出现故障。 一些客户报告说，他们能够在这些情况下通过切换到 2 声道模式来恢复音频。

此问题仅限于 USB 音频类 1.0 设备。

解决方案

(KB5129238) 2026 年 9 月 14 日发布的带外 (OOB) 更新解决了使用 8 声道或 3D 音频模式的设备上遇到的问题。 其余症状在 (KB5131085) 中得到解决。

服务堆栈更新 (KB5131084) - 17763.9478

Microsoft 现在将操作系统的最新服务堆栈更新 (SSU) 与最新的累积更新 (LCU) 组合在一起。 SSU 提高了更新过程的可靠性，并包括对服务堆栈（安装 Windows 更新的组件）的修补程序。

此服务堆栈更新 (SSU) 包括增强的逻辑，用于验证设备是否托管在 Azure 上，并利用更新的证书链进行验证。 若要确保设备可以访问所需的证书更新域以成功下载和安装证书更新，请参阅证书下载和吊销列表以及 Azure 证书颁发机构详细信息。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。

如何获取此更新

安装此更新之前

  • 对于Windows 更新：在安装此更新之前，必须安装 2025 年 7 月 8 日或之后发布的 Windows 更新 (例如KB5062557) 。

  • 对于Windows Server Update Services (WSUS) 部署或从Microsoft更新目录安装独立包时： 在安装此更新之前，必须安装 2025 年 7 月 8 日当天或之后发布的 Windows 更新 (例如KB5062557) 。

  • SSU) (服务堆栈更新： 在安装此更新之前，必须已安装服务堆栈更新版本 17763.7557 或更高版本。 若要确定设备上安装的最新 SSU，请从提升的命令提示符运行 DISM /Online /Get-Packages | findstr /i "ServicingStack" 。 返回的程序包标识行必须是版本 17763.7557 或更高版本。

部署

如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。

注意

boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。

若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：

  • 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
  • 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。

有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。

获取并安装此更新

若要获取并安装此更新，请使用以下 Windows 或 Microsoft 发布频道之一。

可用 下一步
可用 此更新会通过 Windows 更新自动下载并安装。

文件信息

此更新中包含的文件列表以 CSV (逗号分隔的) (*.csv) 文件提供。 可以在文本编辑器（如记事本）或 Microsoft Excel 中打开该文件。

备注此软件更新的英文 (美国) 版本可能包含其他语言的文件。

下载 下载累 积更新KB5131085的文件信息。

下载 下载 SSU (KB5131084) 版本 17763.9478 的文件信息。

参考资料