Windows 11 KB5132061更新：NTLM签名、PowerShell编码与安装失败排查要点

微软于2026年11月10日发布Windows 11 KB5132061，对应26H2、25H2与仍在适用范围内的24H2系统，构建号分别为26300.9974、26200.9974和26100.9974。更新加强NTLM签名和PowerShell脚本编码验证，同时修复音频、打印与远程桌面问题。部署前还需检查系统版本、前置更新和当前已知安装问题，不能只按KB编号直接给所有电脑装同一个包。

哪些Windows 11设备适用

公告列出26H2与25H2全部版本，以及24H2的Enterprise和Education版本。系统版本相同不代表支持范围相同，例如不能据此把24H2家庭版、专业版都纳入本次公告的适用列表。建议先记录系统版本、版本类别、架构和当前构建，再核对Windows Update或组织更新系统提供的包。

本次累计更新还包含此前10月安全、带外及预览更新中的改进，并包含服务堆栈更新KB5132688，版本为26100.9971。服务堆栈关系到更新安装流程的可靠性，它与最终系统构建号不是同一项，不应只看到某个相近数字就判断所有安装条件都满足。

NTLM签名变化不是立即强制所有服务器拒绝旧连接

更新让客户端默认在非匿名连接中提供NTLM消息签名，并增加审计能力，以降低中继攻击风险。相关官方说明把2026年11月10日列为第一阶段：客户端开始默认提供签名，服务器仍接受已签名和未签名客户端；2027年5月的第二阶段才计划让服务器默认要求签名。

管理员可从Microsoft-Windows-NTLM/Operational日志中的客户端4022和服务器4023事件检查协商标志与会话密钥状态。官方特别提醒，不应只按Warning事件级别筛选，因为已签名与未签名连接都可能显示相同级别。这项变化针对NTLM，不改变Kerberos；匿名空会话另有明确豁免，不应把所有认证场景混为一谈。

PowerShell脚本为什么可能突然验签失败

本次安全加固引入更严格的编码检查。含无效UTF-8内容的脚本，即使过去能通过签名验证，更新后也可能失败。微软进一步说明，变化强化的是解码验证，而不是重新定义整套编码选择流程；没有BOM的UTF-8或某些语言代码页文件，也需要按实际识别结果检查。

受影响文件可能出现Get-AuthenticodeSignature显示NotSigned，或签名时出现字符映射相关错误，但这些症状也可能有其他原因，不能单凭报错断定就是此次更新导致。长期处理方式是先审阅文本，保存为有效的UTF-8并带BOM，再重新签名；只在文件开头添加BOM并不能修复无效字节。

官方提供的编码检查与修复工具支持Scan模式，在不修改文件的情况下报告可能的问题。建议先对具体受影响脚本扫描并保存原文件，再选择修复或转换流程，不对整个脚本目录盲目改编码。这里说明的是官方处理原则，本文没有执行用户脚本或声称完成兼容性测试。

音频、打印及远程桌面修复

更新修复USB Audio 1.0设备安装近期安全更新后无法启动、设备管理器显示代码10的问题；24H2对应部分还列出某些AMD显卡HDMI与DisplayPort音频播放失败的修复。通过设置添加Active Directory发布的打印机时出现错误87，也在修复范围内；官方说明该问题通常不影响既有打印机或正常打印。

远程桌面部分针对10月非安全预览更新后，客户端因证书不匹配造成的RDP连接失败。部署后建议分别验证原来异常的设备和连接，不把一个场景恢复正常推断成所有外设、驱动或远程桌面环境都不存在兼容性问题。

安装前置条件与手动包顺序

26H2需先安装2026年9月22日或之后的更新，例如KB5124010，最低SSU版本为26100.9539。24H2与25H2需先安装2025年6月10日或之后的更新，例如KB5060842，最低SSU版本为26100.4193。这些要求也适用于公告列出的WSUS和目录独立包部署路径。

从Microsoft Update Catalog手动下载时，可能需要多个MSU，包括检查点累计更新及目标更新，应按系统架构对应的官方安装顺序执行，不能只挑文件名中有目标KB的一项。组织维护离线镜像时，还要核对boot.stl与目标Windows版本及架构是否匹配；普通终端更新不应照搬镜像部署步骤。

遇到安装失败，先看当前已知问题

当前公告列出部分设备安装11月安全更新无法完成，可能重复尝试，或显示0x80070306、0x800f0989、0x800f0993。微软说明，联网并通过设置中Windows Update安装的受影响设备会自动获得修复，无需用户手动操作来接收修复；公布的修复推进窗口从11月11日太平洋时间上午10点起算24至48小时。

这个时间窗是官方修复计划，不代表每台电脑已经修好。若等待相应窗口后仍无法安装，应保留错误码、系统版本、更新渠道和日志，再按官方支持入口处理。不要仅凭一次安装失败就关闭安全功能、改注册表或反复安装不匹配的包。

更新后应该验收哪些项目？

先核对最终系统构建号，再回归测试脚本签名、NTLM相关业务、远程桌面和受影响外设。把更新是否安装成功与业务是否兼容分开记录，才能区分安装流程问题和安全加固后暴露的旧配置问题。