微軟正式釋出 Windows 11 每月安全更新 KB5127648，同時涵蓋 24H2、25H2 與 26H2 三個版本，安裝後組建編號分別為 26100.9711、26200.9711 與 26300.9711。這是 2026 年 10 月的 Patch Tuesday 累積更新，內容包含安全性修補、Secure Boot 憑證持續部署、多項已知問題修正，以及 ReFS 外接儲存裝置的新稽核功能。
本次更新有一項重大里程碑。微軟在公告中明確指出，Windows 11 24H2 家用版與專業版已達更新終止（end of updates），2026 年 10 月的每月安全更新是這兩個版本的最後一次更新。仍停留在 24H2 家用版或專業版的裝置，自此之後不再取得每月安全更新與非安全性預覽更新。微軟建議使用者升級至最新版本的 Windows 11。
另一項持續進行中的工作是 Secure Boot 憑證更換。自 2026 年起陸續到期的舊憑證正逐步由新憑證取代，尚未收到新憑證的裝置仍可正常開機並接收標準 Windows 更新，微軟會透過 Windows Update 持續向符合條件的裝置推送新憑證。
本文依據微軟官方支援頁面整理，所有技術內容均以該頁面為準。本次更新修補的具體弱點數量與 CVE 編號未列於支援頁面，須另行查閱 Security Update Guide，相關數據標註為待查。
適用版本與組建編號
KB5127648 適用於 Windows 11 24H2、25H2 與 26H2 的所有版本，三者共用同一個更新套件，安裝後組建編號尾碼統一為 9711。本次更新同時包含服務堆疊更新 KB5127647（組建 26100.9703），用以提升 Windows 更新安裝流程的可靠度。
| Windows 11 版本 | 安裝後組建編號 | 支援狀態（依本次公告） |
|---|---|---|
| 26H2 | 26300.9711 | 持續支援 |
| 25H2 | 26200.9711 | 持續支援 |
| 24H2 企業版、教育版、IoT 企業版等 | 26100.9711 | 持續支援（各版本生命週期以微軟官方頁面為準，待查） |
| 24H2 家用版、專業版 | 26100.9711 | 本次為最後一次更新，之後不再提供安全更新 |
本次更新同時彙整了先前三次更新的改善內容，包括 2026 年 9 月 8 日的 KB5124008、9 月 14 日的頻外更新 KB5129195，以及 9 月 22 日的預覽更新 KB5124010。已安裝先前更新的裝置只會下載並安裝本次套件中的新增部分。
另需留意，同日微軟也針對其他版本發布了對應的安全更新，包括 Windows 11 26H1 的 KB5127646（組建 28000.3231）與 Windows 11 23H2 的 KB5126653（組建 22621.7652），管理混合版本環境的 IT 人員應分別確認。
重點修正與改善內容
本次更新共列出 11 項主要改善，其中兩項為先前已公告的已知問題修正，涵蓋多人使用環境、音訊、VPN、儲存、列印、遊戲與生物辨識登入等面向。
| 類別 | 改善內容 | 影響對象 |
|---|---|---|
| 安全性更新 | 提供安全性改善，弱點細節請參閱 Security Update Guide（CVE 數量待查） | 所有裝置 |
| Secure Boot | 持續部署更新後的 Secure Boot 憑證，使用最新的高信心目標資料判定符合條件的裝置自動接收新憑證 | 所有支援裝置 |
| 檔案總管（已知問題修正） | 修正多使用者環境（如 Azure Virtual Desktop 與 FSLogix）登入後 Explorer.exe 無法啟動或反覆當機導致黑畫面的問題 | VDI 與遠端桌面環境 |
| 音訊（已知問題修正） | 修正部分應用程式 AC-3 音訊播放異常 | 使用 AC-3 解碼的應用程式 |
| Always On VPN | 修正安裝 KB5124008 後，設定自動通訊協定選擇或通訊協定回退時，VPN 連線卡在「連線中」或連線失敗，部分情況出現「指定的連接埠已在使用中」錯誤 | 企業 VPN 使用者 |
| Storage Spaces | 修正分層 Storage Spaces Direct 虛擬磁碟在安裝特定安全更新後無法上線，導致相依叢集工作負載無法使用的問題 | 叢集與 S2D 環境 |
| 日期與時間 | 新增 (UTC-05:00) Manitoba 時區，配合曼尼托巴省 2026 年 11 月 1 日的時區變更 | 加拿大曼尼托巴省使用者 |
| ReFS 安全性 | 針對外接儲存裝置上的 ReFS 磁碟區新增稽核與可選的原則控制，稽核預設啟用，強制控制預設關閉，詳見 KB5130741 | 使用 ReFS 外接儲存的環境 |
| 列印 | 修正安裝 2026 年 8 月安全更新後，部分應用程式與使用 RAW 或 Generic Text Only 印表機驅動程式的裝置無法列印的問題 | 使用通用文字驅動程式的裝置 |
| 遊戲 | 修正部分遊戲中滑鼠輸入卡頓的問題 | 遊戲玩家 |
| Windows Hello | 修正部分裝置冷開機後指紋登入無法運作的問題 | 使用指紋辨識的裝置 |
除上述改善外，本次更新將 AI 元件（Image Search、Content Extraction、Semantic Analysis 與 Settings Model）更新至 1.2608.951.0 版，詳情可參閱微軟的 AI 元件發行資訊。
從資安管理角度觀察，ReFS 外接儲存的稽核功能值得特別關注。微軟說明此次先啟用稽核而不啟用強制控制，目的在於讓管理員有時間評估並為未來的安全強化變更做準備，這意味著後續更新可能將強制控制轉為預設啟用，使用 ReFS 格式外接硬碟的組織應及早檢視事件記錄中的稽核結果。
已知問題
本次更新頁面僅列出一項已知問題，即 USB Audio Class 1.0 裝置可能無法啟動或無聲音輸出，此問題自 2026 年 9 月 8 日的安全更新起便已存在，至今尚未完全解決。
問題描述
安裝 2026 年 9 月 8 日的 Windows 安全更新（微軟頁面標示為 KB5124012，與前述 24H2 與 25H2 的 9 月更新編號 KB5124008 不一致，正確對應編號待查）後，部分 USB Audio Class 1.0 裝置可能出現下列一項或多項症狀。
- 裝置管理員顯示「這個裝置無法啟動（代碼 10）」
- 沒有音訊輸出
- 音量控制沒有反應或停留在零
- 音效設定沒有反應或無法使用
部分裝置在標準立體聲設定下可正常運作，但在使用 8 聲道或 3D 音訊等多聲道功能時失效。有使用者回報切換至 2 聲道模式後可恢復音訊。微軟明確指出此問題僅限 USB Audio Class 1.0 裝置，USB Audio Class 2.0 裝置不受影響。
目前解決進度
2026 年 9 月 14 日發布的頻外更新 KB5129195 已部分解決此問題，具體修正了 8 聲道與 3D 音訊模式下的症狀。其餘症狀微軟表示仍在處理中，將於有進一步資訊時公告。需要立即解決方案的 IT 管理員可聯繫 Microsoft Support for Business 尋求協助。
值得注意的是，此已知問題已跨越 9 月、10 月兩個更新週期，對於依賴 USB 音訊介面的會議室設備、錄音工作站或視訊會議終端，建議在大規模部署前先於測試環境驗證音訊功能。
取得與安裝方式
KB5127648 透過 Windows Update 與 Microsoft Update 自動下載並安裝，微軟頁面同時列出企業通道、Microsoft Update Catalog 與 Windows Server Update Services (WSUS) 等發布管道，各管道的提供狀態請以官方頁面標籤頁為準。
| 發布管道 | 取得方式 |
|---|---|
| Windows Update / Microsoft Update | 自動下載與安裝 |
| Microsoft Update Catalog | 手動下載獨立安裝套件（頁面提供但本文未逐一驗證，待查） |
| WSUS | 依組織設定同步（頁面提供但本文未逐一驗證，待查） |
| 企業通道（Intune、Configuration Manager） | 依組織更新環設定部署（頁面提供但本文未逐一驗證，待查） |
動態更新部署的重要提醒
若將此類動態更新套用至既有的 Windows 映像，必須確認安裝媒體中包含 boot.stl 檔案。缺少此檔案可能導致裝置無法從安裝媒體啟動，並出現錯誤代碼 0xc0430001。boot.stl 用於 Secure Boot 驗證，且必須與所更新映像的 Windows 版本及架構相符。
微軟提供兩種確保 boot.stl 存在的方式。
- 使用 Update WinPE 指令碼更新既有 Windows 映像，此為微軟建議的做法。
- 手動將裝置 Windows\Boot\EFI 資料夾中的 boot.stl 複製到安裝媒體的對應資料夾，再部署更新。
關於如何將動態更新套件套用至既有 Windows 映像，可參閱 Update Windows installation media with Dynamic Update。
檔案資訊
累積更新 KB5127648 的檔案清單與服務堆疊更新 KB5127647 的檔案清單均可自微軟官方下載，供變更管理與完整性驗證使用。
企業與資安管理建議
依據本次公告內容，企業 IT 與資安團隊在部署 KB5127648 時應優先處理下列五項事項，其中 24H2 家用版與專業版的支援終止對資產盤點影響最大。
一、盤點 24H2 家用版與專業版裝置
這兩個版本自本次更新後不再取得安全修補。組織應立即從端點管理平台（Intune、Configuration Manager 或其他 MDM）匯出 OS 版本報表，篩選出 24H2 家用版與專業版裝置，排定升級至 25H2 或 26H2 的時程。從 ISO 27001 控制措施的角度，持續使用已終止支援的作業系統會直接影響技術弱點管理（A.8.8）的合規狀態，建議納入風險登錄並設定升級完成期限。
二、驗證 Secure Boot 憑證更換狀態
Secure Boot 憑證更換已持續數個更新週期。管理員可透過事件檢視器或 PowerShell 查詢裝置目前的憑證狀態，確認是否已收到新憑證。對於無法透過 Windows Update 自動取得憑證的裝置（例如離線環境或韌體較舊的機型），應及早與硬體廠商確認韌體更新計畫。具體查詢指令與判定方式請參閱微軟官方 Secure Boot 憑證更新文件（連結待查）。
三、評估 ReFS 外接儲存稽核結果
本次更新為外接儲存裝置上的 ReFS 磁碟區新增稽核功能，預設啟用。使用 ReFS 格式外接硬碟或 USB 儲存裝置的組織，應在部署後檢視事件記錄，了解哪些裝置與使用者會觸發稽核事件。微軟說明後續可能推出強制控制，提早掌握影響範圍可避免未來更新造成業務中斷。詳細原則設定請參閱 KB5130741。
四、測試 VDI 與 VPN 環境
本次修正了 Azure Virtual Desktop 與 FSLogix 環境下的檔案總管黑畫面問題，以及 Always On VPN 連線卡住的問題。使用這兩類服務的組織應在試點群組驗證修正效果後再全面推送。使用 Storage Spaces Direct 的叢集環境同樣應確認虛擬磁碟可正常上線。
五、USB 音訊裝置先行測試
USB Audio Class 1.0 裝置的已知問題尚未完全解決。會議室、錄音室或客服中心等依賴 USB 音訊的場域，建議保留一台測試機安裝更新並驗證音訊功能，確認無異常後再納入正式部署環。
部署時程建議
| 階段 | 對象 | 建議時間 |
|---|---|---|
| 試點 | IT 部門與 VDI、VPN 測試群組 | 更新發布後 1 至 3 個工作天 |
| 擴大部署 | 一般辦公電腦 | 試點無異常後 1 週內 |
| 全面部署 | 含會議室設備與特殊用途裝置 | 擴大部署後 1 至 2 週 |
| 24H2 家用版與專業版升級 | 所有受影響裝置 | 應於下次 Patch Tuesday（2026 年 11 月 10 日，待查）前完成 |
上表時程為 CyberQ 依一般企業更新實務整理的建議，並非微軟官方要求，各公司可依自身變更管理流程調整。
