11 月例行安全性更新前的選擇性更新
微軟於 2026 年 10 月 28 日發布 Windows 11 非安全性預覽更新 KB5127936，適用於 Windows 11 26H2 與 25H2 全版本，安裝後組建號碼分別為 26300.9818 與 26200.9818。這是 11 月例行安全性更新前的「選擇性更新」，微軟稱之為 2026-10 Preview Update，不會自動安裝，使用者須自行到 Windows Update 的選擇性更新區手動下載。
同一批內容先前已於 10 月 16 日以 Release Preview 組建 26200.9807 與 26300.9807 提供給 Windows Insider 測試，正式版組建號碼略有調整。更新同時整合服務堆疊更新（SSU） KB5132402（組建 26100.9815）。
CyberQ 實測也安裝了這個版本的更新，更新之後的組建版本號碼為 26300.9818。
這次更新的內容相當多，大致可分成三類。第一類是一般使用者感受最明顯的介面變更，以檔案總管右鍵選單改版為主。第二類是系統復原機制的強化，包括全新的 Cloud rebuild 雲端重建與 WinRE 自動重用 Wi-Fi 設定檔。第三類是企業 IT 與資安人員需要留意的變更，包括記憶體完整性保護擴大啟用、IPv6 CLAT 支援、DPAPI 提示流程預告退場，以及多項遠端桌面、VPN 與 BitLocker 修正。
微軟將更新內容分成「漸進推出（gradual rollout）」與「一般推出（normal rollout）」兩個階段。漸進推出的功能會分批派送到裝置，安裝後不一定立刻看得到，可用性因裝置與市場而異。一般推出的修正則在安裝後立即生效。
檔案總管右鍵選單改版，終於可以自訂
這次更新最受關注的變更，是檔案總管的右鍵選單（context menu）全面改版。微軟表示新選單開啟速度更快、項目更精簡，並且首次在 Windows 11 原生提供自訂功能。使用者在右鍵選單底部點選「自訂選單（Customize menu）」即可進入設定頁面，可調整的項目如下。
- 開啟或關閉內建指令，例如「傳送到」與「建立捷徑」
- 把「列印」等指令加入選單
- 決定第三方應用程式的擴充項目要顯示在主選單或子選單，或直接隱藏擴充子選單
- 把剪下、複製、貼上、重新命名、刪除、共用改為文字項目直接顯示，取代原本的一排圖示
- 把「內容」移到選單最底部
若不想調整，預設配置不需任何動作即可使用。按住 Shift 再按右鍵仍可看到更多選項。這項功能屬於漸進推出，安裝更新後不一定立即出現。
檔案總管另有三項小改進。搜尋結果頁面會以一致的版面呈現檔名、位置與日期，方便快速掃視。網址列開始支援 ~ 符號，輸入 ~\AppData 即可直接跳到使用者設定檔下的子資料夾。「資料夾選項」對話方塊也終於支援深色模式。
這邊也要注意一下，右鍵選單自訂功能採分階段推出，即使已安裝 KB5127936，仍可能暫時看不到「Customize menu」選項。這並非更新安裝失敗，要等待微軟後續開放。
Cloud rebuild 雲端重建與 WinRE 自動連網
這次更新導入名為 Cloud rebuild（雲端重建）的新復原選項。它會從 Windows Update 下載 Windows 映像與裝置驅動程式，重新安裝 Windows 11，即使系統已無法開機也能執行，不需要 USB 安裝媒體或自訂映像。
Cloud rebuild 包含兩項特性。第一是磁碟機清理（drive sanitization），使用者可選擇僅移除檔案，或利用儲存硬體本身的安全抹除能力清除資料後再重灌，微軟明確註明清理動作不可逆。第二是遠端管理，IT 管理者可透過 Recovery CSP 遠端設定並啟動 Cloud rebuild，可指定沿用目前組建或改裝指定的目標組建。
啟動方式有兩條路徑。系統正常時，到「設定 > 系統 > 復原」選擇「重建電腦（Rebuild PC）」，裝置會重新啟動進入 Windows 復原環境（WinRE）執行重建。系統無法開機時，連續開機失敗後會自動進入 WinRE，再選擇「疑難排解 > 復原與解除安裝 > Cloud rebuild」。接著連上有線或 Wi-Fi 網路，確認目標組建、版本與語言，並確認資料遺失警告後即開始。
與 Cloud rebuild 搭配的是 WinRE 自動重用 Wi-Fi 設定檔。更新後 WinRE 可自動沿用 Windows 內已儲存且符合條件的 Wi-Fi 設定檔，包含支援的憑證式網路，在快速機器復原（quick machine recovery）或 Cloud rebuild 等情境下自動連網，不必事先在 WinRE 預設 Wi-Fi 帳密。此功能預設開啟，IT 管理者可停用。微軟表示此功能上個月已預告，現在開始推出。
對 MSP 與企業 IT 而言，這兩項功能合起來的意義在於無法開機的遠端裝置，理論上可以在不派人到場、不準備安裝媒體的情況下完成重灌。實際在企業網路（例如需要 802.1X 或 Proxy 的環境）的可用性仍待實測。
企業 IT 與資安人員要留意的變更
這次更新有三項變更會改變裝置的安全性組態或預告既有功能退場，建議納入變更管理評估。
記憶體完整性（HVCI）擴大啟用
微軟表示符合條件的 PC 可能會在更新過程中被啟用記憶體完整性（Hypervisor-protected Code Integrity），以強化安全性並為後續的進階安全功能做準備。微軟聲明會尊重使用者或 IT 管理者既有的設定選擇。對仍在使用舊版驅動程式或虛擬化軟體的企業裝置，HVCI 啟用後可能造成相容性問題，建議先在測試機確認。詳細條件可參考微軟 Windows IT Pro 部落格文章 Expanding memory integrity protection across Windows devices。
IPv6 CLAT（464XLAT）支援
Windows 現在在 Wi-Fi 與乙太網路介面支援 IPv6 CLAT，提供用戶端 464XLAT 轉譯，讓只支援 IPv4 的應用程式在 IPv6-only 網路中仍能連到 IPv4 服務。PREF64 前綴預設透過路由器通告（RA）探索，並以 DNS ipv4only.arpa 作為備援。限制是 CLAT 需要 SLAAC 位址配置，目前不支援 DHCPv6 Prefix Delegation 與 WSL。啟用指令為 netsh interface clat set global permit=enabled pref64fromdns=enabled pref64fromra=enabled，或透過群組原則「Network > TCPIP Settings > IPv6 Transition Technologies」設定。
DPAPI 提示式保護流程將於 2027 年 4 月退場。 更新後，使用 DPAPI 提示式（prompt-based）保護與解除保護操作時會先出現警告，說明此互動式提示流程將在 2027 年 4 月退場。微軟建議停止建立新的提示式保護資料，改用支援的非互動式保護流程，並在退場前解密或遷移既有資料。不使用提示流程的 DPAPI 操作不受影響。有自行開發、呼叫 CRYPTPROTECT_PROMPTSTRUCT 的內部應用程式，需要盤點。
其他與企業環境相關的修正與新增項目整理如下。
| 項目 | 變更內容 |
|---|---|
| 遠端桌面（已知問題修正） | 修正非管理員帳號無法連線到已啟用「系統管理員保護」裝置的問題，先前錯誤碼為 0xC000000D |
| 遠端桌面與 Intune | 修正「指定受信任 .rdp 發行者憑證指紋」原則無法透過 Intune 設定的問題 |
| Smart App Control（已知問題修正） | 修正關閉後無法在 Windows 安全性應用程式重新開啟、選項反灰的問題 |
| Always On VPN | 修正 9 月安全性更新後，設定自動通訊協定選擇或備援時連線卡在「連線中」或出現「指定的連接埠已在使用中」的問題 |
| BitLocker | 改善開機前 PIN 重試處理，避免意外重複送出導致 TPM 字典攻擊鎖定與進入復原模式 |
| 智慧卡 | Windows 智慧卡 minidriver 新增支援 PIV 智慧卡上的 RSA-3072 金鑰 |
| 憑證 | 修正非微軟 CNG 金鑰儲存提供者回報格式錯誤的演算法名稱時，TPM AIK 憑證註冊停止回應的問題 |
| 應用程式控制 | 修正使用 PS_UpdateAndCompareCIPolicy CIM 方法後裝置可能無法啟動的問題 |
| 應用程式管理 | 原則式內建應用程式移除現在支援多工作階段環境，適用 Windows 11 Enterprise 與 Education |
| Windows PowerShell | 捷徑名稱加上版本號 5.1，既有裝置的部分開始功能表捷徑可能仍顯示舊名稱 |
其他新功能與修正
Edge 加速啟動
Microsoft Edge 在 Windows 上啟動速度更快也更穩定，裝置忙碌或高負載時改善最明顯。做法是當 Edge 已在背景執行時，點連結或從工作列、開始功能表開啟 Edge，Windows 會直接導向既有執行個體，省去原本建立暫時處理程序的步驟。此功能適用 Windows 11 25H2、26H2 與 26H1，需 Edge 150 以上版本。
協助工具改進
放大鏡新增對比主題切換，可降低螢幕眩光同時保留照片、影片與圖表的原始色彩。放大鏡也支援每個螢幕獨立縮放比例，並可用 Ctrl + Windows 鍵 + K 鎖定某個螢幕的放大檢視區。即時輔助字幕新增「包含螢幕助讀程式音訊」選項，預設關閉，避免字幕重複轉錄朗讀程式、JAWS 或 NVDA 的語音。朗讀程式新增數學方程式朗讀與導覽，支援 Word、PowerPoint，以及 Edge 153.0.4234.32 與 Chrome 153.0.8010.18 以上版本的網頁內容，支援語言包含繁體中文。
設定與介面
「隱私權與安全性」頁面將相機、麥克風、位置的隱私控制項集中分組。設定首頁的裝置資訊卡片擴大到更多市場，需登入 Microsoft 帳戶。Phone Link 在開始功能表的「最近」區域支援滑鼠停留預覽訊息內容。工作列的視窗預覽動畫改善，多螢幕設定的狀態保存也更穩定。XBOX 模式新增遊戲工作檢視導覽列，可快速退出到桌面或進入電源選項。
電源與其他
自動休眠原則調整，電量高於 80% 時減少休眠，低於 10% 時提早休眠。Windows 設定備份還原新增「還原摘要」，列出成功還原的設定與 Microsoft Store 應用程式清單。文字塑形支援 Unicode 17.0，新增 4,803 個字元與四種新文字。Windows Spotlight 鎖定畫面可靠性改善。AI 元件（影像搜尋、內容擷取、語意分析、設定模型）更新至 1.2610.1063.0 版。
一般使用者會直接受惠的修正如下。
| 項目 | 修正內容 |
|---|---|
| 音訊 | 修正特定 AMD 顯示卡 HDMI 與 DisplayPort 音訊播放失敗的問題 |
| WSL2 | 修正 AMD 處理器裝置上 WSL2 無法使用巢狀虛擬化的問題 |
| Windows Sandbox | 修正使用中意外關閉並顯示錯誤 0x80370106 的問題 |
已知問題與安裝注意事項
CyberQ 觀察，微軟在此更新說明中列出一項尚未解決的已知問題。自 2026 年 9 月 8 日的安全性更新起，部分 USB Audio Class 1.0 裝置可能無法啟動或沒有聲音，裝置管理員顯示「這個裝置無法啟動（代碼 10）」，音量控制無回應或停在零。此問題僅影響 USB Audio Class 1.0 裝置，微軟表示正在處理中，尚無解決方案。使用舊款 USB DAC 或音訊介面的使用者，在問題修正前建議暫緩安裝。
安裝前提方面，Windows 11 24H2 與 25H2 裝置必須先安裝 2025 年 6 月 10 日或之後的更新（例如 KB5060842），並具備最新的服務堆疊更新。此更新已內含 SSU KB5132402（組建 26100.9815），用 Windows Update 安裝者不需另外處理。
安裝途徑為「開始 > 設定 > Windows Update > 進階選項 > 選擇性更新」，在可用的選擇性更新區手動點選安裝。關閉「有可用更新時立即取得最新更新」選項的裝置不會自動下載。企業環境可透過 WSUS、Windows Update for Business 或 Microsoft Update Catalog 取得離線安裝檔（.msu）。
若要將此更新以動態更新方式套用到既有 Windows 安裝映像，微軟特別提醒必須在安裝媒體中包含 boot.stl 檔案，否則裝置可能無法從安裝媒體開機並出現錯誤碼 0xc0430001。boot.stl 用於安全開機驗證，必須與映像的 Windows 版本與架構相符。微軟建議使用 Update WinPE 指令碼更新映像，或手動從裝置的 Windows\Boot\EFI 資料夾複製 boot.stl 到安裝媒體對應資料夾。
另外，微軟在說明頁面重申安全開機憑證自 2026 年 6 月起陸續到期，尚未收到新憑證的裝置仍可正常開機與更新，新憑證會持續透過 Windows Update 派送。
觀察與建議
CyberQ 認為，一般使用者若沒有使用 USB Audio Class 1.0 裝置，這次預覽更新值得安裝，前述用戶的比例相對少很多。右鍵選單自訂是 Windows 11 推出以來社群反覆要求的功能，AMD 顯示卡 HDMI 音訊與 WSL2 巢狀虛擬化的修正也解決了實際困擾。不過選擇性更新的本質是讓 11 月 Patch Tuesday 的內容提前上線，求穩定的使用者等 11 月 10 日前後的正式安全性更新即可，屆時這些內容會一併包含。
企業 IT 與 MSP 則建議在三件事上提前作業。第一，HVCI 擴大啟用可能影響使用舊版驅動程式或第三方虛擬化軟體的裝置，應先在測試群組確認相容性，並檢查現行 Intune 或群組原則對記憶體完整性的設定是否明確。第二，DPAPI 提示式流程 2027 年 4 月退場，有自行開發或委外開發的舊系統應盡早盤點是否呼叫 CRYPTPROTECT_PROMPTSTRUCT。第三，Cloud rebuild 與 WinRE 自動連網對遠端支援有實質幫助，但在需要 802.1X 或代理伺服器的企業網路環境下是否能順利連網，官方文件未明確說明，建議實測後再納入標準作業流程。
另有一項值得追蹤的變更，微軟在此次更新把 Windows PowerShell 捷徑名稱加上 5.1 版本號，與跨平台的 PowerShell 7 做出區隔，這與微軟近年引導使用者轉向 PowerShell 7 的方向一致，但官方說明未提及 Windows PowerShell 5.1 本身的支援狀態有任何變動。
延伸閱讀
October 28, 2026 — KB5127936 (OS Builds 26300.9818 and 26200.9818) Preview
Expanding memory integrity protection across Windows devices
