2026 年 9 月 8 日 - KB5122871 (OS 内部版本 26100.33438)

应用对象

Windows Server 2025, all editions

此 Windows Server 2025 (KB5122871) 累积更新包括最新的安全修补程序和改进，以及上个月可选预览版本中的非安全更新。请访问 Windows 版本运行状况仪表板，了解此版本的最新状态。

公告和消息

本部分提供与此版本相关的重要通知，包括公告、更改日志和终止支持通知。

Windows 安全启动证书过期

重要提示： 大多数 Windows 设备使用的安全启动证书从 2026 年 6 月开始过期。在过去的几个月里，Microsoft 一直在消费者和非托管商业设备上更新这些证书。尚未收到较新证书的设备将继续正常启动和运行，标准 Windows 更新将继续安装。在接下来的几个月里，更新的证书将继续通过 Windows 更新提供。

改进

此安全更新包含 2026 年 8 月 11 日) 发布的 KB5120233 (中的修补程序和质量改进。以下摘要概述了此更新解决的关键问题。此外，还包括可用的新功能。括号内的粗体文本指示更改的项或区域。

[证书] 此更新改进了 Windows 证书颁发机构更新期间的应用程序兼容性，帮助应用程序在 Microsoft 过渡到较新的签名证书时继续按预期工作
[日期和时间]此更新调整了摩洛哥 Standard Time，以反映摩洛哥自 2026 年 9 月 20 日起过渡到永久 UTC+00：00。此更改可确保转换后显示正确的本地时间。
[网络]此更新通过帮助连接在网络适配器断开连接时更快地响应来改进 Windows Server 系统上的网络故障转移。这有助于网络存储和文件访问继续按预期工作。
[远程桌面] 此更新改进了远程桌面音频重定向，帮助远程会话中的音频在本地设备上正确播放。
[Sysmon]
- 此更新通过防止正常 Windows 会话管理器 (smss.exe) 活动的错误事件 ID 25 警报来改进 Sysmon 的进程篡改检测。
- 此更新提高了文件监视期间 Sysmon 的可靠性，有助于防止在存档目录不可用时发生意外系统崩溃。
- 此更新通过使可执行文件验证更加可靠和一致来改进 Sysmon 篡改检测。
- 此更新提高了 Sysmon 文件存档的可靠性，即使在无法访问存档目录的情况下，也能帮助受监视的文件操作按预期完成。

如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。

有关安全漏洞的详细信息，请参阅安全更新指南和 2026 年 9 月安全汇报。

Windows Server 2025 服务堆栈更新 (KB5122870) - 26100.33434

此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。若要了解有关 SSU 的详细信息，请参阅简化服务堆栈更新的本地部署。

此更新中的已知问题

Windows Server Update Services (WSUS) 不显示错误详细信息

安装 KB5070881 或更高版本更新后，Windows Server Update Services (WSUS) 不会在其错误报告中显示同步错误详细信息。为解决远程代码执行漏洞 CVE-2025-59287，暂时删除了此功能。

如何获取此更新

安装此更新之前

Microsoft将操作系统的最新服务堆栈更新 (SSU) 与 LCU) (最新累积更新相结合。有关 SSU 的常规信息，请参阅服务堆栈更新。

部署

如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。

注意

boot.stl 文件在安全启动验证期间使用，并且必须与您正在更新的映像的 Windows 版本和体系结构相匹配。

若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：

使用更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。

有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。

安装此更新

要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。

可用	下一步
	此更新通过 Windows 更新和 Microsoft 更新自动下载并安装。

可用	下一步
	此更新将根据配置的策略从适用于企业的 Windows 更新自动下载和安装。

可用 下一步

可用	下一步
	若要从 Microsoft 更新目录安装此版本，请按照以下说明操作：在安装此更新之前，可从 Microsoft 更新目录网站获取此更新的独立程序包 () 。此 KB 包含一个或多个需要按特定顺序安装的 MSU 文件。可以使用方法 1 () 一起安装所有 MSU 文件，或使用方法 2 (按顺序) 单独安装每个 MSU 文件。方法 1：同时安装所有 MSU 文件从 Microsoft 更新目录下载KB5122871的所有 MSU 文件，并将它们放入同一文件夹 (例如 C：/Packages) 中。使用部署映像服务和管理 (DISM.exe) 安装目标更新。 DISM 将使用 PackagePath 中指定的文件夹根据需要发现和安装一个或多个必备 MSU 文件。更新 Windows 电脑若要将此更新应用于正在运行的 Windows 电脑，请从提升的命令提示符运行以下命令： `DISM /Online /Add-Package /PackagePath:c:\packages\windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.` 或者，从提升的 Windows PowerShell 提示符运行以下命令： `Add-WindowsPackage -Online -PackagePath c:\packages\windows11.kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.` 或使用 Windows 更新独立安装程序安装目标更新。更新 Windows 安装媒体若要将此更新应用于 Windows 安装媒体，请参阅使用动态更新更新 Windows 安装媒体。注意：下载其他动态更新包时，请确保它们与此知识库在同一月份匹配。如果 SafeOS 动态更新或安装程序动态更新与此知识库在同一个月不可用，请使用每个更新的最新发布版本。若要将此更新添加到装载的映像，请从提升的命令提示符运行以下命令： `DISM /Image:mountdir /Add-Package /PackagePath:Windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.` 或者，从提升的 Windows PowerShell 提示符运行以下命令： `Add-WindowsPackage -Path "c:\offline" -PackagePath Windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu. -PreventPending` 方法 2：按顺序单独安装每个 MSU 文件按照以下顺序使用 DISM 或 Windows 更新独立安装程序单独下载并安装每个 MSU 文件： Windows11.0-KB5043080-x64_953449672073f8fb99badb4cc6d5d7849b9c83e8.msu Windows11.0-KB5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu。注意：此最新累积更新包括 AI 组件的更新。即使更新中包含 AI 组件更新，AI 组件仅适用于 Windows Copilot+ PC，不会安装在 Windows 电脑或 Windows Server 上。

若要从 Microsoft 更新目录安装此版本，请按照以下说明操作：

在安装此更新之前，可从 Microsoft 更新目录网站获取此更新的独立程序包 () 。此 KB 包含一个或多个需要按特定顺序安装的 MSU 文件。

可以使用方法 1 () 一起安装所有 MSU 文件，或使用方法 2 (按顺序) 单独安装每个 MSU 文件。

方法 1：同时安装所有 MSU 文件

从 Microsoft 更新目录下载KB5122871的所有 MSU 文件，并将它们放入同一文件夹 (例如 C：/Packages) 中。使用部署映像服务和管理 (DISM.exe) 安装目标更新。 DISM 将使用 PackagePath 中指定的文件夹根据需要发现和安装一个或多个必备 MSU 文件。

更新 Windows 电脑

若要将此更新应用于正在运行的 Windows 电脑，请从提升的命令提示符运行以下命令：

DISM /Online /Add-Package /PackagePath:c:\packages\windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.

或者，从提升的 Windows PowerShell 提示符运行以下命令：

Add-WindowsPackage -Online -PackagePath c:\packages\windows11.kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.

或使用 Windows 更新独立安装程序安装目标更新。

更新 Windows 安装媒体

若要将此更新应用于 Windows 安装媒体，请参阅使用动态更新更新 Windows 安装媒体。

注意： 下载其他动态更新包时，请确保它们与此知识库在同一月份匹配。如果 SafeOS 动态更新或安装程序动态更新与此知识库在同一个月不可用，请使用每个更新的最新发布版本。
若要将此更新添加到装载的映像，请从提升的命令提示符运行以下命令：

DISM /Image:mountdir /Add-Package /PackagePath:Windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu.
或者，从提升的 Windows PowerShell 提示符运行以下命令：

Add-WindowsPackage -Path "c:\offline" -PackagePath Windows11.0-kb5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu. -PreventPending

方法 2：按顺序单独安装每个 MSU 文件

按照以下顺序使用 DISM 或 Windows 更新独立安装程序单独下载并安装每个 MSU 文件：

Windows11.0-KB5043080-x64_953449672073f8fb99badb4cc6d5d7849b9c83e8.msu
Windows11.0-KB5122871-x64_e7ef80a2b3ab2ffeae7b50ad402ca7d30fe39f9d.msu。

注意： 此最新累积更新包括 AI 组件的更新。即使更新中包含 AI 组件更新，AI 组件仅适用于 Windows Copilot+ PC，不会安装在 Windows 电脑或 Windows Server 上。

可用	下一步
	如果按照以下方式配置“产品”和“分类”，此更新将自动与 WSUS) 同步Windows Server Update Services (：产品：Microsoft 服务器操作系统 24H2 分类：安全更新

文件信息

有关此更新中提供的文件列表，请下载累积更新 KB5122871的文件信息。

有关服务堆栈更新中提供的文件列表，请下载 SSU KB5122870 版本 26100.33434 的文件信息。