此 Windows Server 累积更新版本 23H2 (KB5082060) 包括最新的安全修补程序和改进，以及上个月可选预览版本中的非安全更新。 若要详细了解安全更新、可选非安全预览更新、带外 (OOB) 更新和持续创新之间的差异，请参阅 Windows 月度更新说明。 有关 Windows 更新术语的信息，请参阅不同类型的 Windows 软件更新。
若要查看有关此版本的最新更新，请访问 Windows Server 版本 23H2 的更新历史记录页。
公告和消息
本部分提供与此版本相关的重要通知，包括公告、更改日志和终止支持通知。
Windows 安全启动证书过期
Windows 安全启动证书过期
重要提示： 大多数 Windows 设备使用的安全启动证书已开始在 2026 年 6 月过期。 过去几个月来，Microsoft 一直在消费者和未托管的业务设备上更新这些证书。 尚未收到较新证书的设备 将继续正常启动和运行，标准 Windows 更新将继续安装。 在未来几个月内，我们将继续通过 Windows 更新安装较新的证书。
可以在 Windows 安全中心应用上检查电脑状态。 如果你是 IT 管理员，请遵循适用于 Windows 客户端和 Windows Server的安全启动 playbook 上的指南。
更改日志
| 更改日期 | 更改说明 |
|---|---|
| 2026 年 5 月 1 日 |
|
| 2026 年 4 月 19 日 | 添加了已知问题“安装此更新后，域控制器可能会重复重启”的解决方法。 |
| 2025 年 4 月 17 日 | 为澄清起见，已更新已知问题“安装此更新后，域控制器可能会重复重启”。 |
| 2025 年 4 月 16 日 | 已添加已知问题：“安装此更新后，域控制器可能会重复重启” |
改进
此安全更新包含 2026 年 3 月 10 日) 发布的 KB5078734 (中的修补程序和质量改进。 以下摘要概述了此更新解决的关键问题。 此外，还包括可用的新功能。 括号内的粗体文本指示更改的项或区域。
[图形]
- 此更新提高了某些 GPU 配置的稳定性。 它有助于在密集使用图形期间更可靠地运行游戏和 3D 应用。
- 此更新提高了影响某些 GPU 配置的稳定性，从而帮助设备更可靠地关闭。
[Kerberos 协议] 此更新更改了 Kerberos 密钥分发中心 (KDC) 操作的默认 DefaultDomainSupportedEncTypes 值，以便对未定义显式 msds-SupportedEncryptionTypes Active Directory 属性的帐户利用 AES-SHA1。 有关详细信息，请参阅与 CVE-2026-0386 相关的 WDS (Windows 部署服务) Hands-Free 部署强化指南。
[网络] 此更新提高了 Windows 使用通过 QUIC 的 SMB 压缩时的可靠性。 安装此更新后，通过 QUIC 的 SMB 压缩请求将更一致地完成，从而降低了超时的可能性，并支持更流畅、更可靠的性能。
[远程桌面] 此更新改进了对使用远程桌面 (.rdp) 文件的网络钓鱼攻击的保护。 打开 .rdp 文件时，远程桌面在连接前显示所有请求的连接设置，默认情况下会关闭每个设置。 首次在设备上打开 .rdp 文件时，也会出现一次性安全警告。 有关详细信息，请参阅 了解打开远程桌面 (RDP) 文件时的安全警告。
[安全启动] 此更新解决了安全启动更新后设备可能会进入 BitLocker 恢复的问题。
[易受攻击的驱动程序阻止列表] 此更新引入了一项安全强化更改，该更改将已知易受攻击的内核驱动程序添加到 Microsoft 易受攻击的驱动程序阻止列表中。 在尝试装载或管理磁盘映像时，依赖于阻止驱动程序的备份应用程序可能会遇到故障。
依赖于被阻止驱动程序的这些应用可能会显示错误消息，包括“备份失败Microsoft因为 VSS 在创建快照期间超时”或VSS_E_BAD_STATE。 受影响的用户应更新到其应用程序的较新版本，该版本使用包含所需保护的较新驱动程序。 有关详细信息，请参阅 2026 年 4 月 Windows 安全更新为已知易受攻击的内核驱动程序引入保护。[WDS (Windows 部署服务) ] 此更新默认禁用 WDS 中的“免提部署”功能，并且该功能不再受支持。 有关此更改的详细信息，请参阅 与 CVE-2026-0386 相关的 Windows 部署服务 (WDS) Hands-Free 部署强化指南。
如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。
有关安全漏洞的详细信息，请参阅安全更新指南和 2026 年 4 月安全汇报。
Windows Server 版本 23H2 服务堆栈更新 (KB5086285) - 25398.2273
此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。 服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。 若要了解有关 SSU 的详细信息，请参阅简化 服务堆栈更新的本地部署。
此更新中的已知问题
安装此更新后，域控制器可能会反复重启
问题
安装此更新后，林中具有多个域且使用 Privileged Access Management (PAM) 的环境中的域控制器在启动期间可能会遇到 LSASS 崩溃。 因此，受影响的域控制器可能会反复重启，从而阻止身份验证和目录服务正常工作，并可能导致域不可用。
解决方案
此问题在带外更新 KB5091571中得到解决。
Windows Server Update Services (WSUS) 不显示错误详细信息
安装 KB5070879 或更高版本更新后，Windows Server Update Services (WSUS) 不会在其错误报告中显示同步错误详细信息。 为解决远程代码执行漏洞 CVE-2025-59287，暂时删除了此功能。
如何获取此更新
安装此更新之前
Microsoft 现在将操作系统的最新服务堆栈更新 (SSU) 与最新的累积更新 (LCU) 组合在一起。 有关 SSU 的常规信息，请参阅服务 堆栈更新。
安装此更新
要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。
| 可用 | 下一步 |
|---|---|
|
此更新通过 Windows 更新和 Microsoft 更新自动下载并安装。 |
注意
- 如果要删除此更新
- 警告：在决定删除此更新之前，请参阅了解风险：为什么不应卸载安全更新。
- 若要在安装组合的 SSU 和 LCU 包后删除 LCU，请使用 DISM/Remove-Package 命令行选项，并将 LCU 包名称用作参数。 可以使用以下命令查找包名称：DISM /online /get-packages。
- 在组合包上Windows 更新 /uninstall 开关 (wusa.exe) 运行独立安装程序将不起作用，因为组合包包含 SSU。 安装后，无法从系统中删除 SSU。
文件信息
有关此更新中提供的文件列表， 请下载累积更新5082060的文件信息。
有关服务堆栈更新中提供的文件列表， 请下载 SSU (KB5086285) 版本 25398.2273 的文件信息。