2025 年 8 月 12 日—KB5063950（月度汇总）

Windows 安全启动证书过期

重要提示：大多数 Windows 设备使用的安全启动证书从 2026 年 6 月开始过期。过去几个月来，Microsoft 一直在消费者和未托管的业务设备上更新这些证书。未收到较新证书的设备将继续正常启动和运行，并且标准 Windows 更新将继续安装。在未来几个月内，我们将继续通过 Windows 更新安装较新的证书。

可以在Windows 安全中心应用上查看电脑状态。如果你是 IT 管理员，请参阅适用于 Windows 客户端的安全启动 Playbook和Windows Server中的指南。

尝试在运行 Windows Server 2012 R2 的已启用 Azure Arc 的设备上安装此扩展安全更新 (ESU) 可能会失败。若要成功安装，请确保仅满足 ESU 的所有终结点子集，如连接的计算机代理网络要求中所述。

对 Windows Server 2012 R2 的支持将于 2026 年 10 月结束

Windows Server 2012 R2 已于 2023 年 10 月 10 日终止支持 (EOS)。

延长安全更新 (ESU) 可供购买，并将持续三年，可每年续订，直到最终日期为 2026 年 10 月 13 日。有关继续接收安全更新的过程的信息，请参阅 KB5031043。

建议升级到更高版本的 Windows Server。有关详细信息，请参阅 Windows Server 升级概述。

更改日期	更改说明
2025 年 9 月 9 日	向“此更新中的已知问题”部分添加了“执行 MSI 修复作时意外用户帐户控制 (UAC) 提示”已知问题和解决方法。

摘要

详细了解此累积安全更新，包括改进、任何已知问题以及如何获取更新。

注意有关各种类型的 Windows 更新（例如关键更新、安全性更新、驱动程序更新、Service Pack 等）的信息，请参阅用于描述Microsoft软件更新的标准术语的说明。若要查看其他笔记和消息，请参阅Windows 8.1和Windows Server 2012 R2 更新历史记录主页。

此安全更新包括以下更新的修补程序和质量改进：

2025 年 7 月 8 日 — KB5062597 (月度汇总)

下面是此更新所解决的问题的摘要。括号中的粗体文本表示我们记录的更改的项目或区域。

[内部 Windows OS] 对内部 Windows OS 功能进行了其他安全改进。此版本未记录其他问题。

有关已解决的安全漏洞的详细信息，请参阅部署 |安全更新指南和 2025 年 8 月安全汇报。

此更新中的已知问题

症状

2025 年 8 月 Windows 安全更新和更高版本更新中包含了安全改进，强制要求用户帐户控制 (UAC) 在执行 Windows Installer (MSI) 修复和相关操作时提示提供管理员凭据。此改进修复了安全漏洞 CVE-2025-50173。

安装更新后，标准用户可能会在多个场景中看到用户帐户控制 (UAC) 提示。

运行 MSI 修复命令（如 msiexec /fu）。
打开 Autodesk 应用（包括某些版本的 AutoCAD、Civil 3D 和 Inventor CAM），或者在用户首次登录应用后安装 MSI 文件时。
安装按用户配置的应用。
在智能安装过程中运行 Windows Installer。
通过依赖于用户特定的“广告”配置的管理器 Configuration Manager (ConfigMgr) 部署包。
启用安全桌面。

如果非管理员用户运行的应用在不显示 UI 的情况下启动 MSI 修复操作，它将失败并显示错误消息。例如，以标准用户身份安装和运行 Office Professional Plus 2010 将失败，并在配置过程中出现错误 1730。

解决方法

此问题由 2025 年 9 月 9 日和之后发布的 Windows 更新解决， (KB5065507) 。建议为设备安装最新更新，因为它包含重要的改进和问题解决方法，包括此更新。

如何获取此更新

安装此更新前

若要安装 2025 年 1 月 14 日或之后发布的任何Windows Server 2012 R2 月度汇总，必须先安装最新的服务堆栈更新 (SSU) 。如果设备或脱机映像未安装最新的 SSU，则无法安装此更新。

警告: 在安装最新的 SSU 之前，不会向设备提供此更新。若要降低安全风险，请尽快安装最新的 SSU。

如果使用Windows 更新，系统会自动为你提供最新的 SSU (KB5058529) 。安装最新的 SSU 后，你将能够安装此更新。
如果使用更新目录，则必须下载并安装最新的 SSU (KB5058529) 。安装最新的 SSU 后，你将能够安装此更新。
如果你是Windows Server Update Services (WSUS) 管理员，则必须批准 SSU KB5058529，并且此更新KB5063950。

有关 SSU 的一般信息，请参阅服务堆栈更新和服务堆栈汇报 (SSU) ：常见问题。

语言包

若在安装此更新后安装语言包，则必须重新安装此更新。因此，我们建议先安装所需的全部语言包，然后再安装此更新。有关详细信息，请参阅了解如何将语言包添加到 Windows。

安装此更新

若要安装此更新，请使用以下发布频道之一。