2026年4月14日—KB5082198 (作業系統建置版14393.9060)

Windows 安全開機憑證到期

重要： 大部分 Windows 裝置使用的安全開機憑證設定為從 2026 年 6 月開始到期。如果未及時更新，這可能會影響某些個人和商務裝置安全開機的能力。為避免中斷，建議您檢閱指導方針，並採取行動事先更新憑證。

如需 Windows 裝置的詳細資料和準備步驟，請參閱 Windows 安全開機憑證到期和 CA 更新

如需 Windows 伺服器的詳細資料與準備步驟，請參閱以下資源：

摘要

本文列出本次安全更新中包含的安全議題與品質改進。

適用於： Windows Server 2016

本次安全更新包含以下更新中的修正與改進：

2026 年 3 月 10 日—KB5078938 (OS 建置版 14393.8957)

以下是本次更新所解決的問題摘要。括號內的粗體字表示我們正在記錄的變更項目或區域。

[Windows 元件服務 (WinCS) ] 此更新解決了影響 Windows 元件服務 (WinCS) Windows 10（版本 1607 及 Windows Server 2016）的問題。部分 WinCS 元件遺失。因此，使用 WinCS 無法開啟安全開機。
[遠端桌面] 此更新強化了對利用遠端桌面 (.rdp) 檔案的釣魚攻擊的防護。當你打開 .rdp 檔案時，遠端桌面會在連接前顯示所有要求的連線設定，且預設每個設定都關閉。首次在裝置上開啟 .rdp 檔案時，也會顯示一次性安全警告。欲了解更多資訊，請參閱「在 RDP) 檔案中開啟遠端桌面時 (安全警告。
[Windows 部署服務 (WDS) ] 此更新預設禁用 WDS 中的「免持部署」功能，且不再支援此功能。欲了解更多關於此變更的資訊，請參閱 Windows 部署服務 (WDS) Hands-Free 與 CVE-2026-0386 相關的部署強化指引。
[Kerberos 協議] 此更新更改了 Kerberos 金鑰分發中心 (KDC) 操作的預設 DefaultDomainSupportedEncTypes 值，以利用 AES-SHA1 用於未明確定義 msds-SupportedEncryptionTypes Active Directory 屬性的帳號。欲了解更多資訊，請參閱《如何管理 Kerberos KDC 使用 RC4 以處理與 CVE-2026-20833 相關的服務帳號工單變更》。
[安全啟動] 透過此更新，Windows 品質更新包含更多高信心度裝置目標資料，擴大有資格自動獲得新安全開機憑證的裝置覆蓋範圍。裝置只有在展現足夠成功的更新訊號並維持受控且分階段的部署後，才會收到新憑證。

如果你安裝了較早的更新，只有這個套件中包含的新更新會被下載並安裝到你的裝置上。

欲了解更多安全漏洞資訊，請參閱新版安全更新指南網站及2026年4月安全匯報。

欲了解更多關於 Windows 10 版本 1607 的資訊，請參閱其更新歷史頁面。

關於 Windows 更新術語的資訊，請參閱關於 Windows 更新類型及每月品質更新類型的文章。

此更新中的已知問題

Microsoft 目前尚未發現此更新有任何問題。

如何取得此更新

安裝此更新前

若要安裝 2025 年 1 月 14 日或之後釋出的更新，我們建議您先安裝最新的 Servicing Stack Update (SSU) 。如果你的裝置或離線映像檔沒有安裝最新的 SSU，可能無法安裝這個更新。

注意在你安裝 SSU 之前，這個更新可能不會提供給你的裝置。為了降低安全風險，請盡快安裝 SSU。

如果你使用 Windows Update，最新的 SSU (KB5082089) 會自動提供給你。如果沒有安裝最新的 SSU，可能無法安裝這個更新。
如果你使用 Windows Update for Business，最新的 SSU (KB5082089) 會自動提供給你。如果沒有安裝最新的 SSU，可能無法安裝這個更新。
如果您使用更新目錄，我們建議您下載並安裝最新的 SSU (KB5082089) 。如果沒有安裝最新的 SSU，可能無法安裝這個更新。
如果您是 WSUS) Windows Server Update Services (管理員，必須批准 SSU KB5082089 及此更新KB5082198。