微软发布 Windows 11 26H1 十月安全更新 KB5127646：强化安全启动与 ReFS 防护

当地时间本月，微软面向Windows 11 版本 26H1 的所有版本正式推送了十月累积安全更新 KB5127646，将系统内部版本号提升至 28000.3231。此次更新在修复一系列安全漏洞与已知问题的同时，也带来多项安全加固，其中对安全启动（Secure Boot）证书部署与 ReFS 文件系统防护的改进尤为引人关注。

安全启动证书覆盖范围扩大

作为本次更新的重点之一，KB5127646 包含了更多高置信度设备目标化数据，进一步扩大了可自动接收新版安全启动证书的设备覆盖范围。此前，大多数 Windows 设备所使用的安全启动证书自 2026 年 6 月开始陆续过期，微软此前面向消费级与非托管商业设备分批部署新证书，本次更新意味着证书部署进入加密推进阶段，能够帮助更多 PC 平稳过渡，避免因证书问题导致启动异常。

ReFS 外部存储审计加强

针对ReFS（弹性文件系统），本次更新为连接在外部存储设备上的 ReFS 卷新增了审计与可选策略控制能力。审计功能默认开启，而强制执行控制默认关闭，以便管理员有时间评估并准备好应对未来的安全加固调整。这为使用外部存储承载文件服务器数据的企业用户提供了更细粒度的安全可见性。

多项已知问题得到修复

除了安全改进，KB5127646 还修复了此前困扰部分用户的若干问题。

• Windows 资源管理器：修复了在多用户环境（如 Azure 虚拟桌面与 FSLogix）下，登录后资源管理器可能无法启动或反复崩溃、导致黑屏的问题
• Always On VPN：修复了安装某些更新后，自动协议选择或协议回退配置下 VPN 连接卡在“正在连接”状态或连接失败的问题
• Storage Spaces Direct：修复了分层虚拟磁盘在安装某些安全更新后无法上线的异常
• 游戏体验：解决了部分游戏中出现的鼠标输入卡顿问题

AI 组件同步升级

此次更新还将多项本地 AI 组件升级至 1.2608.951.0 版本，涵盖图像搜索、内容提取、语义分析以及设置模型等能力，意味着 Windows 本地智能应用的底层模型也得到了一次同步刷新。与之配套的还包括服务堆栈更新 KB5127645，以提升 Windows 更新安装过程的可靠性。

更新提醒

一个是值得留意的问题：安装本月安全更新之后，非管理员用户在面向启用了管理员保护（Administrator protection）的远程设备发起远程桌面连接时，可能遇到错误 0xC000000D，导致连接失败。微软已确认该已知问题，并建议相关企业用户在部署前评估自身环境。

总体来看，KB5127646 是一次覆盖“安全加固 + 稳定修复 + AI 组件升级”的综合更新。对于 Windows 11 26H1 用户而言，建议尽快通过 Windows 更新中心获取并安装，以便及时获得最新的安全防护与功能修复。

小结：十月是微软月度补丁的关键节点，KB5127646 在扩大安全启动证书覆盖的同时，强化了 ReFS 的审计能力，并集中修复了多用户、VPN、存储与企业部署相关的已知问题。对于注重安全性与系统稳定性的 26H1 用户，及时升级是明智之选。

本文内容基于公开网络资讯整理