此适用于 Windows 11 版本 23H2 (KB5131087) 的累积更新包括最新的安全修补程序和改进，以及上个月可选预览版本中的非安全更新。 请访问 Windows 版本运行状况仪表板 ，了解此版本的最新状态。
公告和消息
本部分提供与此版本相关的重要通知，包括公告、更改日志和终止支持通知。
重要
Windows 11 版本 23H2 企业版和教育 版的更新已结束。 2026 年 11 月 Windows 安全更新是这些版本可用的最后一个更新。 运行这些版本的设备将不会再收到包含最新安全威胁防护的每月安全更新。 建议将运行 Windows 11 版本 23H2 的符合条件的设备更新到受支持的 Windows 11 版本。 有关产品生命周期日期的详细信息，请参阅 Windows 11 版本信息 和生命周期 常见问题解答 - Windows。
Windows 安全启动证书过期
随着 Microsoft 将设备从 2026 年开始过期的证书转换为较新的证书，安全启动证书更新仍在进行中。 尚未收到较新证书的设备可以继续启动并接收标准 Windows 更新。 Microsoft 将继续通过 Windows 更新向符合条件的设备提供较新的安全启动证书。
改进
此更新解决了 Windows 操作系统的安全问题。
重要
使用 EKB KB5027397 更新到 Windows 11 版本 23H2。
此安全更新包含 2026 年 10 月 13 日) 发布的 Windows 安全更新 KB5126653 ( 以及 2026 年 10 月 26 日) 发布的带外更新 KB5134130 (中的修补程序和质量改进。 以下摘要概述了此更新解决的关键问题。 此外，还包括可用的新功能。 括号内的粗体文本指示更改的项或区域。
[安全更新] 此更新提供了安全改进。 有关此更新解决的安全漏洞的详细信息，请参阅 安全更新指南
[安全启动] 此更新包括其他高置信度设备目标数据，增加了有资格自动接收 新安全启动证书的设备的覆盖范围。 在接下来的几个月里，我们将继续在受支持的电脑和非托管商业设备上通过 Windows 更新部署证书。
[打印] 已修复：通过设置 > 添加在 Active Directory 中发布的打印机 蓝牙 & 设备 > 打印机 & 扫描仪 > 添加设备可能会失败，错误 87“参数不正确”。 此问题由 2026 年 10 月更新引入，通常不会影响现有打印机或打印。
[安全性] 此更新使客户端能够默认为非匿名连接提供 NTLM 消息签名，从而提高了 NTLM 安全性。 此更改有助于减少 NTLM 中继攻击的风险，并提供审核以识别未使用签名的连接。 若要了解详细信息，请参阅 Windows 中的 NTLM 签名安全改进。
[远程桌面] 已修复：无法通过 Microsoft Intune 成功配置“指定代表受信任的 .rdp 发布者的证书的指纹”策略。
[日期和时间] 此更新调整了古巴在 2026-2027 年延长的 2026-2027 年 DST 期间的夏令时 (DST) 规则。 古巴仍保持 UTC-04：00，不遵守 2026 年 11 月和 2027 年 3 月的过渡。 它将于 2027 年 11 月返回到 UTC-05：00，并于 2028 年恢复其常规季节性时间表。
- 有关最新的 DST 和时区指南，请参阅夏 令时 & 时区博客。
[Windows PowerShell] 此更新通过引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。 因此，包含无效 UTF-8 编码的脚本可能会无法通过签名验证，即使以前已接受它们也是如此。 要解决此问题，请查看受影响的脚本，使用有效的 UTF-8 编码和字节顺序标记 (BOM) 保存它们，然后再次签名。 有关进一步指导，请参阅 签名的 PowerShell 脚本的编码指南。
如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。
此更新中的已知问题
Microsoft 目前不知道此更新的任何问题。
Windows 11 服务堆栈更新 (KB5132696) - 22621.7698
此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。 服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。
如何获取此更新
安装此更新之前
对于 Windows 更新： 在安装此更新之前，必须安装 2025 年 7 月 8 日或之后发布的 Windows 更新 (例如 KB5062552) 。
对于 Windows Server Update Services (WSUS) 部署，或从 Microsoft 更新目录安装独立包时： 在安装此更新之前，必须安装 2025 年 7 月 8 日当天或之后发布的 Windows 更新 (例如 KB5062552) 。
对于 SSU) (服务堆栈更新： 在安装此更新之前，必须已安装服务堆栈更新版本 22621.5619 或更高版本。 若要确定设备上安装的最新 SSU，请从提升的命令提示符运行
DISM /Online /Get-Packages | findstr /i "ServicingStack"。 返回的程序包标识行必须是版本 22621.5619 或更高版本。
部署
如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。
注意
boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。
若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：
- 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
- 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。
有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。
安装此更新
要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。
| 可用 | 下一步 |
|---|---|
|
此更新通过 Windows 更新和 Microsoft 更新自动下载并安装。 |
文件信息
有关此更新中提供的文件列表，请下载累积更新 KB5131087的文件信息。
有关服务堆栈更新中提供的文件列表，请下载 SSU KB5132696 版本 22621.7698 的文件信息。