2026 年 10 月 8 日,微软宣布,Windows 用来确认自己正在与真正的更新服务器通信的数字证书将于 2027 年 5 月 17 日和 2027 年 6 月 19 日到期。没有替换证书的设备在其截止日期之后将无法再从 Windows Update 收到任何类型的更新。对大多数设备来说,解决办法很简单,就是保持最新:Windows 11 版本 25H2 无需任何操作,版本 24H2 需要 2025 年 9 月或更新的安全更新,其他受支持的版本需要在 2027 年 6 月 19 日之前安装 2026 年 7 月或更新的更新。Windows 10 Enterprise 2019 LTSC、Windows Server 2016 和 Windows Server 2019 必须在 2027 年 5 月 17 日之前准备就绪。

到底是什么到期了?

当您的电脑请求更新时,它会先确认作出回应的服务器属于微软,而不是冒充微软的人。这项检查依赖数字证书,而和任何证书一样,它们都有到期日。微软在 Windows IT Pro Blog 上的官方文章中表示,其中一组证书将于 2027 年 5 月和 6 月到期,替换证书已随常规的每月更新一同发布。随后又补充道:

"如果不加处理,受影响的设备将停止连接 Windows Update,并且无法收到任何类型的更新。"

这与 2026 年 10 月 19 日到期的 Secure Boot 证书不同。那些证书保护的是启动阶段,缺少它们的电脑仍能收到常规更新。而这次的证书会彻底切断更新,包括安全修复和证书更新本身。错过日期的设备之后无法再通过 Windows Update 自行修复,必须有人手动安装更新。

每个版本需要做什么?

以下是微软公布的表格:

版本所需操作截止日期
Windows 11 版本 25H2 及更高版本无无
Windows 11 版本 24H2,以及 Windows Server 20252025 年 9 月或更新的安全更新2027 年 6 月 19 日
其他受支持的 Windows 11 版本,以及 Windows Server 20222026 年 7 月或更新的安全更新2027 年 6 月 19 日
受支持的 Windows 10 版本2026 年 7 月或更新的安全更新2027 年 6 月 19 日
Windows 10 Enterprise 2019 LTSC、Windows Server 2019 和 20162026 年 7 月或更新的安全更新2027 年 5 月 17 日
任何其他不受支持的版本升级到受支持的版本截止日期后失去更新

保持最新的受支持设备不会察觉任何变化:新证书已经随每月更新送达。

贵公司哪些设备最有可能被切断?

  • 故意关闭了更新的设备:财务部那台曾因旧更新导致某个程序出错、于是有人暂停了更新的电脑,或者没人愿意重启的那台电脑。这些设备会最先失去服务。
  • 单一用途的设备:收银终端、自助服务机、生产线电脑。微软将 LTSC 描述为一种面向通常只执行一项重要任务的专用设备的部署选项,这类设备有时就在运行它。根据其生命周期页面,Windows 10 Enterprise LTSC 2019 的支持期到 2029 年 1 月,但如果错过 2026 年 7 月的更新,它会在 2027 年 5 月 17 日失去更新。一台仍在官方支持期内的设备,可能在支持结束前约 20 个月就被切断。
  • 旧服务器:Windows Server 2016 和 2019 的截止日期是 2027 年 5 月 17 日。根据其生命周期页面,Server 2016 的扩展支持还将于 2027 年 1 月结束,因此替换计划应当现在就开始,而不是等到明年夏天。
  • 未加入扩展安全更新的 Windows 10 电脑:根据官方生命周期页面,Windows 10 家庭版和专业版已于 2025 年 10 月 14 日终止支持,此后每月更新只送达加入扩展安全更新计划的电脑。未加入的电脑从未收到 2026 年 7 月的更新,因此缺少新证书。该计划在企业方面的内容见我们关于 Windows 10 终止支持的文章。
  • 库存中的备用设备:在抽屉里放了几个月的笔记本电脑什么都没收到。请在截止日期前开机并更新,否则您就得在需要它的那天手动安装更新。

从内部服务器获取更新的设备受影响吗?

微软表示,这项变更不适用于从 Windows Server Update Services(WSUS)获取更新的设备,WSUS 是部分公司自行运行的内部更新服务器。如果您的 IT 团队运行着这样的服务器,请询问各分支机构是如何获取更新的。没有专用服务器的小型办公室,电脑通常直接连接 Windows Update,因此会受到这项变更的影响。

如何在两分钟内检查一台电脑?

  1. 查看版本:打开"设置",然后"系统",然后"关于",在"Windows 规格"下查看版本,例如 24H2 或 25H2。也可以在开始菜单中输入 winver。
  2. 查看最近一次更新:打开"设置",然后"Windows 更新",然后"更新历史记录",查看最近安装的累积更新的日期。2026 年 7 月或之后表示电脑已准备就绪;在版本 24H2 上,2025 年 9 月或之后即可。
  3. 如果更新已暂停:恢复更新,选择"检查更新",然后重启。
  4. 如果电脑无法连接:微软建议从 Microsoft Update 目录下载所需的更新并直接安装,或者用您已在使用的管理工具分发。

2027 年 5 月之前的行动计划

微软自己的计划分三步:找出运行旧版本或不受支持版本的设备,通过每月更新让受支持的设备保持最新,并在 2027 年 5 月和 6 月之前为不受支持的设备规划升级。根据经验,我们还会补充:

  • 列出每台电脑和服务器:名称、版本、最近一次更新的日期以及负责人。
  • 把内部截止日期定在 2027 年 3 月,比官方日期早两个月,为拒绝更新的设备留出时间。
  • 书面询问收银系统或生产线系统的供应商:他们的设备能否接受 2026 年 7 月的更新,由谁来安装?
  • 把替换无法升级设备的费用列入 2027 年预算,而不是等更新停止后才发现它们。

Origami 的观点

2027 年将失去更新的设备,并不是员工每天使用的笔记本电脑;那些大多会自动更新。真正有风险的是没人关注的设备:收银电脑、考勤终端、机房里的旧服务器,以及因为某个旧程序只能这样运行而被关闭更新的电脑。在最后这种情况下,问题不在操作系统,而在程序:一个让您无法更新电脑的系统,以后还会妨碍更重要的事情。如果您需要有人为您的设备做盘点,或者把旧系统迁移到在浏览器中运行的现代系统,请联系我们。

来源