重要
尝试在运行 Windows Server 2012 R2 的已启用 Azure Arc 的设备上安装此扩展安全更新 (ESU) 可能会失败。 要成功安装，请确保满足仅 ESU 的所有终结点子集，如连接的计算机代理网络要求中所述。
公告： 随着 Microsoft 将设备从 2026 年开始过期的证书转换为较新的证书，安全启动证书更新仍在进行中。 尚未收到较新证书的设备可以继续启动并接收标准 Windows 更新。 Microsoft 将继续通过 Windows 更新向符合条件的设备提供较新的安全启动证书。
终止支持信息
支持终止日期
Windows Server 2012 R2 已于 2023 年 10 月 10 日终止支持 (EOS)。
延长安全汇报 (ESU) 可供购买，并将持续三年，可每年续订，直到最终日期 2026 年 10 月 13 日。 有关继续接收安全更新的过程的信息，请参阅 KB5031043：2023 年 10 月 10 日扩展支持结束后继续接收安全更新的过程。
建议升级到更高版本的 Windows Server。 有关详细信息，请参阅Windows Server 升级概述。
摘要
了解有关此累积安全更新的更多信息，包括改进、任何已知问题以及如何获取更新。
Windows Server 2012 R2
此安全更新包括属于以下更新的修补程序和质量改进：
以下是此更新解决的问题摘要。 括号内的粗体文本表示我们正在记录的更改的项或区域。
[分布式密钥管理器 (DKM) ] 默认情况下，此更新会自动修正 AD FS 中不安全的 DKM 容器 ACL 配置。 管理员可以通过将 RemediateDkmAcl 设置为 0 来选择退出自动修正。 此更改有助于解决当 DKM 容器 ACL 过度宽松时可能发生的特权提升漏洞。 有关如何管理此更改的详细信息，请参阅 CVE-2026-56155：AD FS 分布式密钥管理器容器 ACL 强化。
[安全启动] 此更新继续使用最新的高置信度目标数据部署更新的安全启动证书，以识别已准备好自动接收新证书的合格设备。 通过 Windows 更新进行的部署会在受支持的设备上进行。
有关已解决的安全漏洞的详细信息，请参阅部署 |安全更新指南和 2026 年 9 月安全汇报。
有关各种类型的 Windows 更新（如关键、安全、驱动程序、Service Pack 等）的信息，请参阅 用于描述 Microsoft 软件更新的标准术语的说明。
若要查看其他备注和消息，请参阅 Windows 8.1 和 Windows Server 2012 R2 更新历史记录主页。
此更新中的已知问题
USB 音频设备可能无法启动或不发出声音
症状
安装 2026 年 9 月 8 日 Windows 安全更新 (KB5124012) 后，某些 USB 音频类 1.0 设备 可能无法启动或产生音频。 受影响的设备可能会遇到以下一种或多种症状：
设备在 设备管理器 中显示错误：“此设备无法启动 (代码 10) ”。
无音频输出。
音量控制无响应或保持为零。
声音设置无响应或不可用。
某些设备可能在标准立体声配置下运行，但在使用多声道音频功能（包括 8 声道或 3D 音频模式）时出现故障。 一些客户报告说，他们能够在这些情况下通过切换到 2 声道模式来恢复音频。
此问题仅限于 USB 音频类 1.0 设备。
解决方案
此问题已在 2026 年 9 月 14 日发布的带外 (OOB) 更新中部分解决， (KB5129243) 。 此 OOB 更新解决了使用 8 声道或 3D 音频模式的设备上遇到的问题。 Microsoft 正在努力解决其他症状，并将在可用时提供详细信息。
对于 OOB 更新尚未解决的症状，需要立即解决的 IT 管理员应联系 Microsoft 支持部门企业版以获取帮助。
如何获取此更新
在安装此更新之前
若要安装 2025 年 1 月 14 日或之后发布的任何 Windows Server 2012 R2 月度汇总，建议首先安装最新的服务堆栈更新 SSU KB5127356。 如果设备或脱机映像未安装最新的 SSU，则可能无法安装此更新。
警告
在安装最新的 SSU 之前，可能不会向设备提供此更新。 为降低安全风险，请尽快安装最新的 SSU。
- 如果你使用 Windows 更新，则将自动为你提供最新的 SSU KB5127356。 如果未安装最新的 SSU，您可能无法安装此更新。
- 如果您使用更新目录，我们建议您下载并安装最新的 SSU KB5127356。 如果未安装最新的 SSU，您可能无法安装此更新。
- 如果你是 Windows Server Update Services (WSUS) 管理员，则必须批准 SSU KB5127356和此更新KB5126836。
部署
如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。
注意
boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。
若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：
- 使用更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
- 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。
有关 SSU 的一般信息，请参阅服务堆栈更新和服务堆栈更新 (SSU)：常见问题解答
语言包
若在安装此更新后安装语言包，则必须重新安装此更新。 因此，我们建议先安装所需的全部语言包，然后再安装此更新。 有关详细信息，请参阅 了解如何将语言包添加到 Windows。
安装此更新
若要安装此更新，请使用以下发布频道之一。
| 可用 | 下一步 |
|---|---|
|
此更新会通过 Windows 更新自动下载并安装。 |
文件信息
此更新中包含的文件列表以 CSV (逗号分隔的) (*.csv) 文件提供。 可以在文本编辑器（如记事本）或 Microsoft Excel 中打开该文件。
下载累积更新 KB5126836的文件信息。