2026 年 11 月 10 日 - KB5131096 (OS 内部版本 19045.7846 和 19044.7846)

应用对象
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021

重要

对 Windows 10 企业版 LTSC 2021 的免费支持将于 2027 年 1 月 12 日结束。 若要了解如何继续支持，请参阅 规划 Windows 10 企业版 LTSC 2021 终止支持。

运行 Windows 10 版本 22H2 的商业设备需要 Windows 10 扩展安全汇报 (ESU) Year 2 许可证才能继续接收安全更新。 有关详细信息，请参阅适用于 Windows 10 的扩展安全汇报 (ESU) 计划。

摘要

本文列出了此累积安全更新中包含的安全问题和质量改进。

适用于：Windows 10 ESU

重要

使用 EKB KB5015684 更新到 Windows 10 版本 22H2。

此安全更新包括修补程序和质量改进，属于以下更新的一部分：

以下是安装此更新时此更新解决的问题的摘要。 如果有新功能，它还会列出它们。 括号内的粗体文本表示我们正在记录的更改的项或区域。

  • [日期和时间] 此更新调整了古巴在 2026-2027 年延长的 2026-2027 年 DST 期间的夏令时 (DST) 规则。 古巴仍保持 UTC-04：00，不遵守 2026 年 11 月和 2027 年 3 月的过渡。 它将于 2027 年 11 月返回到 UTC-05：00，并于 2028 年恢复其常规季节性时间表。

  • [打印] - 已修复：通过设置>添加在 Active Directory 中发布的打印机蓝牙 & 设备>打印机 & 扫描仪>添加设备可能会失败，并出现错误 87“参数不正确”。此问题由 2026 年 10 月更新引入，通常不会影响现有打印机或打印。

  • [远程桌面]

    • 已修复：无法通过 Microsoft Intune 成功配置“指定代表受信任的 .rdp 发布者的证书的指纹”策略。
    • 已修复：安装 2026 年 10 月 14 日更新后，远程桌面卷影连接可能会在 Windows Server 2016 和 Windows Server 2012 R2 上失败并出现“未指定的错误”。

  • [Windows PowerShell] 此更新通过引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。 因此，包含无效 UTF-8 编码的脚本可能会无法通过签名验证，即使以前已接受它们也是如此。 要解决此问题，请查看受影响的脚本，使用有效的 UTF-8 编码和字节顺序标记 (BOM) 保存它们，然后再次签名。 有关进一步指导，请参阅 签名的 PowerShell 脚本的编码指南。

  • [安全性] 此更新使客户端能够默认为非匿名连接提供 NTLM 消息签名，从而提高了 NTLM 安全性。 此更改有助于减少 NTLM 中继攻击的风险，并提供审核以识别未使用签名的连接。 若要了解详细信息，请参阅 Windows 中的 NTLM 签名安全改进。

此更新中的已知问题

USB 音频类 1.0 设备具有错误代码 10 或无输出

症状

安装 2026 年 9 月 8 日 Windows 安全更新后，某些 USB 音频类 1.0 设备 可能无法启动或产生音频。 受影响的设备可能会遇到以下一种或多种症状：

  • 设备在 设备管理器 中显示错误：“此设备无法启动 (代码 10) ”。
  • 无音频输出。
  • 音量控制无响应或保持为零。
  • 声音设置无响应或不可用。
  • 某些设备可能在标准立体声配置下运行，但在使用多声道音频功能（包括 8 声道或 3D 音频模式）时出现故障。 一些客户报告说，他们能够在这些情况下通过切换到 2 声道模式来恢复音频。

此问题仅限于 USB 音频类 1.0 设备。

解决方案

(KB5129236) 年 2026 年 9 月 14 日发布的带外 (OOB) 更新解决了使用 8 声道或 3D 音频模式的设备上遇到的问题。 其余症状在 (KB5131096) 中得到解决。

Windows 10 服务堆栈更新 (KB5132689) - 版本 19041.7838

Microsoft 现在将操作系统的最新服务堆栈更新 (SSU) 与最新的累积更新 (LCU) 组合在一起。 SSU 提高了更新过程的可靠性，并包括对服务堆栈（安装 Windows 更新的组件）的修补程序。

注意：此服务堆栈更新 (SSU) 包括增强的逻辑，用于验证设备是否托管在 Azure 上，并利用更新的证书链进行验证。 若要确保设备可以访问所需的证书更新域以成功下载和安装证书更新，请参阅证书下载和吊销列表以及 Azure 证书颁发机构详细信息。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。

如何获取此更新

安装此更新之前

  • 对于Windows 更新：在安装此更新之前，必须安装 2025 年 7 月 8 日当天或之后发布的 Windows 更新 (例如KB5062554) 。

  • 对于Windows Server Update Services (WSUS) 部署或从Microsoft更新目录安装独立包时：在安装此更新之前，必须安装 2025 年 7 月 8 日当天或之后发布的 Windows 更新 (例如KB5062554) 。

  • 对于脱机 OS 映像服务： 如果映像没有 2023 年 7 月 25 日 (KB5028244) 或更高版本的 LCU，则必须在安装此更新之前安装特殊的独立 2023 年 11 月 10 日 SSU (KB5031539) 。

  • SSU) (服务堆栈更新： 在安装此更新之前，必须已安装服务堆栈更新版本 19044.6088 或更高版本。 若要确定设备上安装的最新 SSU，请从提升的命令提示符运行 DISM /Online /Get-Packages | findstr /i "ServicingStack" 。 返回的包标识行必须是版本 19044.6088 或更高版本。

部署

如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。

注意

boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。

若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：

  • 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
  • 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。

有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。

获取并安装此更新

若要获取并安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。

可用 下一步
可用 此更新会通过 Windows 更新自动下载并安装。

文件信息

此更新中包含的文件列表以 CSV (逗号分隔的) (*.csv) 文件提供。 可以在文本编辑器（如记事本）或 Microsoft Excel 中打开该文件。

备注此软件更新的英文 (美国) 版本可能包含其他语言的文件。

下载 下载累 积更新KB5131096的文件信息。

下载 下载更新 SSU (KB5132689) - 版本 19041.7838 的文件信息。

参考资料

  • Microsoft Store 应用程序更新

    Windows 更新不安装 Microsoft Store 应用程序更新。 如果你是企业用户，请参阅 Microsoft Store 应用 - Configuration Manager。 如果你是消费者用户，请参阅在 Microsoft Store 中获取应用和游戏的更新。

  • 随着 Microsoft 将设备从 2026 年开始过期的证书转换为较新的证书，安全启动证书更新仍在进行中。 尚未收到较新证书的设备可以继续启动并接收标准 Windows 更新。 Microsoft 将继续通过 Windows 更新向符合条件的设备提供较新的安全启动证书。