此适用于 Windows 11 版本 24H2、25H2 和 26H2 (KB5134133) 的非安全带外 (OOB) 更新是累积更新。 它包括来自以前版本的更新，以及其他非安全改进。
谁应安装此更新
此带外 (OOB) 更新适用于未接收当前证书信任列表 (CTL) 更新（包括不受信任证书列表的更新）的设备。 示例包括断开连接环境中的设备、无法访问 Microsoft 的证书更新服务的设备以及禁用了自动 CTL 更新的设备。
改进
此更新包括下列先前发布的更新中的修补程序和改进：
以下摘要概述了此更新解决的关键质量改进。 括号内的粗体文本指示更改的项或区域。
- [证书] 此更新包括 Windows 累积更新中更新的受信任根证书有效负载，适用于无法访问 Microsoft 的证书更新服务的设备，以及禁用了自动证书信任列表 (CTL) 更新的设备。 若要了解详细信息，请参阅 Windows 中的证书和信任。
如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。
组件更新
AI 组件
此版本将以下 AI 组件更新到版本 1.2608.951.0：图像搜索、内容提取、语义分析和设置模型。 若要了解详细信息，请参阅 AI 组件的发布信息。
服务堆栈更新
包括 KB5127647 (内部版本 26100.9703) ，可提高 Windows 更新安装过程的可靠性。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。
此更新中的已知问题
可能无法启用智能应用控制
症状
安装此更新后，某些设备可能无法在 Windows 安全中心应用中打开智能应用控制（如果已关闭）。 在受影响的设备上，打开智能应用控制的选项可能会灰显。
已打开智能应用控制的设备不受影响，仍会受到保护。
解决方案
重要提示： 本节包含有关修改注册表的信息。 在修改注册表之前，请对其进行备份，并确保知道在出现问题时如何还原它。 有关详细信息，请参阅如何在 Windows 中备份和还原注册表。
选项 #1：修改注册表
可以通过以下步骤修改注册表以还原打开智能应用控制的功能：
通过在搜索框中键入 cmd 打开命令提示符窗口。
选择“以 管理员身份运行”。
在命令提示符处，输入以下命令。 然后重启设备。
reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2883193997 /t REG_DWORD /d 1 /freg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2850574478 /t REG_DWORD /d 1 /f
选项 #2：安装组策略
IT 管理员可以改为选择通过安装和配置下面列出的特殊组策略来缓解 IT 部门管理的企业托管设备的此问题。
组策略使用组策略名称下载：
- 下载适用于 Windows 11 版本 24H2、25H2 和 26H2 的 #1 — KB5074105 261015_19222 功能预览版
- 下载适用于 Windows 11 版本 24H2、25H2 和 26H2 的 #2 — KB5074105 261015_19221 功能预览
重要提示： 应 安装 并 配置 这两个组策略才能解决此问题。 需要第一个组策略才能启用智能应用控制。 第二个组策略确保日志记录可用，以便在出现任何问题时帮助排除故障。
可以在计算机配置>管理模板 > {组策略名称} > Windows 11 版本 24H2、25H2 中找到特殊组策略。 安装组策略后，将这两个设置的值都配置为“已启用”，然后重启设备 () 应用组策略设置。
后续步骤： Microsoft 正寻求一种解决方案，并将在即将发布的版本中提供更新。
远程桌面连接对于非管理员用户可能会失败，并显示错误0xC000000D
症状
安装 2026 年 9 月非安全预览版更新 KB5124010或更高版本更新后，非管理员用户可能无法与启用了 管理员保护 的远程设备建立远程桌面连接。 尝试连接可能会失败，错误0xC000000D并显示消息“传递给函数的令牌无效”。 此问题主要影响用作启用管理员保护的远程桌面主机的企业托管远程设备，无论该 功能是如何启用的。
注意：如果你的组织使用通过 Microsoft 安全 Compliance Toolkit 发布的 Windows 安全基线，则默认情况下会在 Windows 11 版本 24H2、25H2 和 26H2 安全基线中启用管理员保护，除非组织以不同的方式配置策略。
解决方案
IT 管理员可以通过使用其现有策略管理方法暂时关闭管理员保护，从而在受远程桌面连接故障影响的设备上缓解此问题。 在 Microsoft Intune 或组策略中重置管理员批准模式策略的用户帐户控制类型。 有关详细信息，请参阅 Windows 11 上的管理员保护。
后续步骤： Microsoft 正在努力在未来的 Windows 更新中解决此问题，并将在可用时提供详细信息。
USB 音频设备可能无法启动或不发出声音
症状
安装 2026 年 9 月 8 日 Windows 安全更新 (KB5124012) 后，某些 USB 音频类 1.0 设备 可能无法启动或产生音频。 受影响的设备可能会遇到以下一种或多种症状：
设备在 设备管理器 中显示错误：“此设备无法启动 (代码 10) ”。
无音频输出。
音量控制无响应或保持为零。
声音设置无响应或不可用。
某些设备可能在标准立体声配置下运行，但在使用多声道音频功能（包括 8 声道或 3D 音频模式）时出现故障。 一些客户报告说，他们能够在这些情况下通过切换到 2 声道模式来恢复音频。
此问题仅限于 USB 音频类 1.0 设备。
解决方案
此问题已在 2026 年 9 月 14 日发布的带外 (OOB) 更新中部分解决， (KB5129195) 。 此 OOB 更新解决了使用 8 声道或 3D 音频模式的设备上遇到的问题。 Microsoft 正在努力解决其他症状，并将在可用时提供详细信息。
对于 OOB 更新尚未解决的症状，需要立即解决的 IT 管理员应联系 Microsoft 支持部门企业版以获取帮助。
如何获取此更新
安装此更新之前
对于 Windows 更新：对于 Windows 11 版本 24H2 和 Windows 11 版本 25H2，必须先安装 2025 年 6 月 10 日或之后发布的 Windows 更新， (例如KB5060842) ，然后才能安装此更新。
对于 Windows Server Update Services (WSUS) 部署或从 Microsoft 更新目录安装独立包时： 对于 Windows 11 版本 24H2 和 Windows 11 版本 25H2，必须先安装 2025 年 6 月 10 日或之后发布的 Windows 更新， (安装KB5060842) ，然后才能安装此更新。
对于 SSU) (服务堆栈更新： 必须安装最新的 SSU 才能安装此更新。
部署
如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。
注意
boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。
若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：
- 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
- 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。
有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。
安装此更新
要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。
| 可用 | 下一步 |
|---|---|
|
可从 Microsoft 更新目录获取此更新。 |
文件信息
此更新中包含的文件列表以 CSV (逗号分隔的) (*.csv) 文件提供。 可以在文本编辑器（如记事本）或 Microsoft Excel 中打开该文件。
备注此软件更新的英文 (美国) 版本可能包含其他语言的文件。
下载 带外更新KB5134133的文件信息。
下载 SSU (KB5127647) 版本 26100.9703 的文件信息。