微软在 10 月 8 日发布的 Windows IT Pro 博客中提醒 IT 管理员：Windows Update 用于确认更新服务器可信的证书将在 2027 年 5 月 17 日与 2027 年 6 月 19 日先后到期。若设备未及时安装包含新证书的更新，到期后将无法再连接到 Windows Update，也就拿不到包括安全更新在内的任何更新。
为什么要轮换证书
Windows Update 依赖基于证书的信任机制，用来确认设备连接的是权威的更新服务器，从而保证下发的更新内容可信。作为一种标准的安全实践，这些证书都有有效期，到期后必须"轮换"，也就是替换为新的证书。微软表示，绝大多数设备会通过每月的常规更新自动拿到新证书，但有部分 Windows 版本需要 IT 人员手动采取行动。
哪些设备需要操作
微软给出的对照表相当具体：
- Windows 11 25H2 及更高版本：无需操作。
- Windows 11 24H2 与 Windows Server 2025：需在 2027 年 6 月 19 日前安装 2025 年 9 月及以后的 Windows 安全更新。
- 其他仍在支持期内的 Windows 11 版本，以及 Windows Server 2022：需在 2027 年 6 月 19 日前安装 2026 年 7 月及以后的安全更新。
- 仍在支持期内的 Windows 10 版本：同样需在 2027 年 6 月 19 日前安装 2026 年 7 月及以后的更新。
- Windows 10 企业版 2019 LTSC、Windows Server 2019、Windows Server 2016 等 LTSB/LTSC 版本：需在 2027 年 5 月 17 日前安装 2026 年 7 月及以后的安全更新。
- 其他已停止支持的 Windows 版本：将彻底失去 Windows Update 访问权，微软建议升级到受支持的版本。
这并不适用于通过 Windows Server Update Services（WSUS）获取更新的设备。——微软 Windows IT Pro 博客
到期后会发生什么
对于受支持且保持更新的设备，证书已内置，更新不会中断。真正的风险落在"受支持但长期未打补丁"的设备，以及已经脱离支持的旧系统上：前者需要按上表补装对应月度安全更新，可从 Microsoft Update Catalog 直接下载或通过常规管理工具分发；后者则会在到期后彻底失去 Windows Update，只能升级系统。
给 IT 管理员的三步建议
微软建议的行动顺序是：先识别运行旧版或不受支持系统的设备，再让受支持的设备保持月度更新，最后在 2027 年 5 月与 6 月两个截止点之前为不受支持的设备制定升级计划。微软强调，即便确实需要处理老设备，时间依然充裕，但越早把受支持设备保持最新，轮换过程就越平滑。
影响
这条提醒的潜台词是"补丁的补丁"：安全更新的前提，是设备还能连上更新服务器。对于还在使用 24H2、Server 2022、甚至 2019 LTSC 等版本的企业，这是一个需要提前排期、纳入生命周期规划的动作，而不是等到 2027 年才临时补救。
来源：Microsoft Windows IT Pro 博客（2026-10-08，官方）；Windows 消息中心；Windows Report 2026-10-09。