2026 年 11 月 10 日 - KB5131090 (OS 内部版本 20348.5870)

此 Windows Server 2022 (KB5131090) 的累积更新包括最新的安全修补程序和改进，以及上个月可选预览版本中的非安全更新。 请访问 Windows 版本运行状况仪表板，了解此版本的最新状态。

公告和消息

本部分提供与此版本相关的重要通知，包括公告、更改日志和终止支持通知。

Windows 安全启动证书过期

重要提示：随着 Microsoft 将设备从 2026 年开始过期的证书转换为较新的证书，安全启动证书更新仍在进行中。 尚未收到较新证书的设备可以继续启动并接收标准 Windows 更新。 Microsoft 将继续通过 Windows 更新向符合条件的设备提供较新的安全启动证书。

改进

此安全更新包含 2026 年 10 月 13 日) 发布的 KB5126655 (和 2026 年 10 月 26 日) 发布的带外更新KB5134140 (修补程序和质量改进。 以下摘要概述了此更新解决的关键问题。 此外，还包括可用的新功能。 括号内的粗体文本指示更改的项或区域。

• [日期和时间] 此更新调整了古巴在 2026-2027 年延长的 2026-2027 年 DST 期间的夏令时 (DST) 规则。 古巴仍保持 UTC-04：00，不遵守 2026 年 11 月和 2027 年 3 月的过渡。 它将于 2027 年 11 月返回到 UTC-05：00，并于 2028 年恢复其常规季节性时间表。 有关最新的 DST 和时区指南，请参阅夏 令时 & 时区博客。
• [Exchange Server] 此更新修复了影响本地 Exchange 服务器的问题。 此问题可能会阻止登录到 Outlook 网页版 (OWA) 、导致电子邮件保留在 Outlook 发件箱中而不送达，或阻止 Exchange 在邮箱复制期间访问邮箱。
• [打印]已修复：通过设置添加在 Active Directory 中发布的打印机 蓝牙 & 设备 > 打印机 & 扫描仪 > 添加设备可能会失败，并出现错误 87“参数不正确”。> 此问题由 2026 年 10 月更新引入，通常不会影响现有打印机或打印。
• [远程桌面]已修复：无法通过 Microsoft Intune 成功配置“指定代表受信任的 .rdp 发布者的证书的指纹”策略。
• [远程桌面 Web 访问] 已修复：浏览器策略禁用 XSLT 时，RD Web Access 可能无法加载，并在 Microsoft Edge 或 Google Chrome 中显示“无法显示 RD Web 访问”。 RD Web 访问页面现在呈现在服务器上，不再依赖于浏览器 XSLT 支持。 若要了解详细信息，请参阅 KB5130994：在 Microsoft Edge 或 Google Chrome 中禁用 XSLT 时 RD Web Access 无法加载。
• [安全性] 此更新使客户端能够默认为非匿名连接提供 NTLM 消息签名，从而提高了 NTLM 安全性。 此更改有助于减少 NTLM 中继攻击的风险，并提供审核以识别未使用签名的连接。 若要了解详细信息，请参阅 Windows 中的 NTLM 签名安全改进。
• [Windows 部署服务] 已修复：安装此安全更新后，Import-WdsInstallImage cmdlet 需要管理员权限。 尝试以非管理员身份运行 cmdlet 失败并出现ACCESS_DENIED错误。
• [Windows PowerShell] 此更新通过引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。 因此，包含无效 UTF-8 编码的脚本可能会无法通过签名验证，即使以前已接受它们也是如此。 要解决此问题，请查看受影响的脚本，使用有效的 UTF-8 编码和字节顺序标记 (BOM) 保存它们，然后再次签名。 有关进一步指导，请参阅 签名的 PowerShell 脚本的编码指南。

如果已安装以前的更新，设备将仅下载并安装此程序包中包含的新更新。

有关安全漏洞的详细信息，请参阅安全更新指南和 2026 年 11 月安全汇报。

Windows Server 2022 服务堆栈更新 (KB5131089) - 20348.5859

此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。 服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。 若要了解有关 SSU 的详细信息，请参阅 服务堆栈更新。

此更新中的已知问题

Windows 激活和许可命令可能会失败并显示错误0x80041008

症状

安装 2026 年 11 月 Windows 安全更新后，使用 软件许可管理工具 执行的某些 Windows 激活和许可操作可能会失败。

受影响的设备在运行命令激活 Windows、配置密钥管理服务 (KMS) 或管理产品密钥时，可能会遇到错误 0x80041008、无效参数 (SWbemObjectEx) 。 执行以下命令时观察到失败：

• slmgr.vbs /skms-domain <domain>
• slmgr.vbs /ipk <key>

此问题主要影响使用命令行工具或自动化流程管理 Windows 激活和许可的组织。

已激活的设备保持激活状态。 设备已具有相应的 KMS 客户端密钥和 KMS 配置，并且不需要运行受影响 Slmgr.vbs 命令的客户，预计不会受到影响。

配置为使用 KMS 激活的设备在尝试启动激活时可能会遇到错误。 KMS 激活的设备通常在成功激活后最多 180 天 内保持激活状态。 已在其映像中安装了 KMS 客户端密钥并且未用于 slmgr 进一步配置的客户不受影响。

解决方法

需要立即缓解措施的组织可以使用解决方法。 请联系 Microsoft 支持部门业务。 我们正在努力制定解决方案，该解决方案将在未来几天内推出。 我们将在本文档可用时更新它

Windows Server Update Services (WSUS) 不显示错误详细信息

安装 KB5070884 或更高版本更新后，Windows Server Update Services (WSUS) 不会在其错误报告中显示同步错误详细信息。 为解决远程代码执行漏洞 CVE-2025-59287，暂时删除了此功能。

如何获取此更新

安装此更新之前

• 对于Windows 更新：在安装此更新之前，必须安装 2025 年 7 月 8 日或之后发布的 Windows 更新 (例如KB5062572) 。

• 对于Windows Server Update Services (WSUS) 部署或从 Microsoft 更新目录安装独立包时： 在安装此更新之前，必须安装 2025 年 7 月 8 日或之后发布的 Windows 更新 (如 KB5062572) 。

• 对于脱机 OS 映像服务： 确保映像包含 2023 年 9 月 12 日或之后发布的 Windows 更新 (，例如 KB5030216) 。 如果没有，请在安装最新更新之前将其安装在离线媒体上。 此更新安装 SSU 版本 20348.1960。 这是防止错误0x800f0823 (CBS_E_NEW_SERVICING_STACK_REQUIRED) 必须具有的最低 SSU 版本。

• SSU) (服务堆栈更新： 在安装此更新之前，必须已安装服务堆栈更新版本 20348.3920 或更高版本。 若要确定设备上安装的最新 SSU，请从提升的命令提示符运行 DISM /Online /Get-Packages | findstr /i "ServicingStack" 。 返回的包标识行必须是版本 20348.3920 或更高版本。

部署

如果将动态更新（如此类更新）部署到现有 Windows 映像，请确保将 boot.stl 文件作为安装介质的一部分包含在内。 如果不包含该文件，则可能会阻止设备从安装介质成功启动，并可能导致错误代码 0xc0430001。

若要确保将 boot.stl 文件包含在安装介质中，请执行下列操作之一：

• 使用 更新 WinPE 脚本更新现有 Windows 映像。 (推荐)
• 在部署更新之前，手动将 boot.stl 文件从设备 Windows\Boot\EFI 文件夹复制到安装介质上的相应文件夹中。

有关如何将动态更新包应用于现有 Windows 映像的信息，请参阅使用动态更新更新 Windows 安装媒体。

安装此更新

要安装此更新，请使用以下 Windows 和 Microsoft 发布频道之一。

---

文件信息

此更新中包含的文件列表以 CSV (逗号分隔的) (.csv) 文件提供。 可以在文本编辑器（如记事本）或 Microsoft Excel 中打开文件。

注意：此软件更新的英文 (美国) 版本可能包含其他语言的文件。

下载累 积更新KB5131090的文件信息。 

下载 SSU KB5131089 版本 20348.5859 的文件信息。

---

更改日志

更改日期	更改说明
2026 年 11 月 12 日	更新了 Outlook 已知问题。
2026 年 11 月 11 日	安装 2026 年 11 月 Windows 安全更新后，Windows 激活和许可命令可能会失败并显示错误0x80041008的已知问题。