微软发布 Windows Update 证书轮换说明：2027 年多个证书到期需提前准备
微软近期更新了 Windows Update 证书轮换的相关指引，提醒用户与 IT 管理员关注将在 2027 年到期 的安全证书。用于建立与 Windows Update 信任连接的证书，将于 2027 年 5 月 17 日 和 2027 年 6 月 19 日 相继到期。设备必须包含替换证书，才能在对应的到期日之后继续正常接收更新，否则可能失去访问 Windows Update 的能力。
证书为何需要提前关注
Windows Update 的信任连接依赖一套数字证书来确保更新源的可信性。当这些证书到期后，如果设备没有及时获取到新的替换证书，将无法继续建立安全的更新连接。尽管这一变更并不涉及具体的系统功能改动，但对于长期未更新、处于离线管理或在多个版本间切换的企业环境而言，若未提前准备，很可能在到期日后遇到更新中断的问题。
此前，微软已针对证书到期问题发布了 Secure Boot 客户端/服务器的应对说明脚本，帮助管理员提前排查与处置，本次关于 Windows Update 证书轮换的公告正是这一系列安全准备工作的重要组成部分。
不同版本设备的具体要求
根据微软公布的时间表，不同操作系统版本所需的准备工作并不相同，关键节点如下：
- Windows 11 25H2 及更新版本：无需采取额外操作，系统会自动处理。
- Windows 11 24H2 与 Windows Server 2025：需在 2027 年 6 月 19 日之前，安装 2025 年 9 月安全更新或更新版本。
- 其他受支持的 Windows 11、Windows Server 2022 及 Windows 10 版本：需在 2027 年 6 月 19 日前安装 2026 年 7 月或更新版本。
- Windows 10 2019 LTSC、Windows Server 2019 与 2016：需在 2027 年 5 月 17 日到期日之前，安装 2026 年 7 月或更新版本。
- 其余较早版本：应尽快将系统升级至受支持的 Windows 客户端或 Windows Server 版本。
需要说明的是，这一变更仅适用于通过 Internet 直接连接 Windows Update 的设备，通过 WSUS 等内网更新服务接收更新的设备不受影响。
如何平稳过渡
对于绝大多数始终保持最新状态的消费者与办公设备，管理员通常无需任何手动操作——只要设备安装了对应的最新月度累积更新，替换证书便会随更新一并进行。微软强调，运行受支持版本且及时更新的设备，会自动获得所需的替换证书。
但对于那些存在较长时间未运行更新的设备、离线的测试机，或由 IT 部门统一管理的混合环境，建议管理员提前盘点设备当前的更新状态，参照微软的时间表逐项核对，必要时通过部署最新的质量与安全更新来保证证书轮换的顺利衔接。
小结
虽然 2027 年的到期日尚有一段距离，但微软提前公布这一信息，正是为了避免届时出现大面积的更新中断。对于普通用户而言，只需保持系统"自动更新"开启并及时安装月度安全更新即可；对于企业 IT 管理员，则应把证书轮换纳入更新管理计划，利用这段时间完成设备排查与升级，确保组织的系统在到期日后依旧安全、稳定、可持续地获得更新。
本文内容基于公开网络资讯整理