11月10日补丁星期二，Win11 26H2/25H2/24H2 收到累积安全更新 KB5132061，装完版本号分别跳到 26300.9974、26200.9974、26100.9974。24H2 这次只覆盖企业版和教育版。IT之家
然后这三天，它被点名了五次。
微博上相关消息底下，有条评论只有九个字：「每次我都属于“部分用户”」。
先把结论摆在前面：这五个坑里，三个是微软的锅，等修复就行；两个得你自己提前准备，其中一个不可逆。
坑一：装不上，卡在99%
报错代码通常是 0x800f0993、0x80070306、0x800f0989。哔哩哔哩
故障指向 Windows 沙盒功能冲突。关掉这个功能再重启，不少人就把更新装上了。但微软已经承认问题并展开调查，关沙盒、DISM 清理、去更新目录手动下载这些方法，对多数人并不管用。IT之家Microsoft信仰中心快科技哔哩哔哩
真要自己动手，顺序是：先重启一次，这不是玄学，重启会强制完成挂起的组件事务。无效再重置更新组件——停服务、清缓存、重启服务。顺手看下 C 盘剩余空间，低于 10GB 基本必挂。都不行，就等微软重发。知乎
坑二：BitLocker 锁盘，这是唯一救不回来的
这次更新在批量换 Secure Boot 证书：旧版 Windows UEFI CA 2011 到期，微软把 2023 版新证书推到普通用户设备上。证书写在主板 UEFI 固件里，得分阶段生效，所以重启次数比平时多，别强行关机。
麻烦在这儿：BitLocker 会绑定系统启动时的安全测量值，其中就包含 Secure Boot 证书状态。固件里的证书一变，开机测量值对不上，直接弹恢复界面，要你输 48 位密钥。这不是 bug，是设计如此，输对密钥进去后 BitLocker 会重新密封，是一次性的。知乎
所以更新前你唯一必须做的事，是把那 48 位恢复密钥先找出来存进手机。三个地方翻：微软账户的「设备—恢复密钥」页面（最常见）、当年开启 BitLocker 时存的 TXT 或 U 盘、纸质打印版。公司电脑直接找 IT，密钥一般由管理员统一管。懂点技术的可以在更新前手动暂停 BitLocker 保护，覆盖接下来两次重启，更新完自动恢复。
划重点：没有正确密钥，没有任何正规方法能绕过 BitLocker 解密，网上那些「强制解锁工具」大概率是骗子或者带病毒的软件。知乎
坑三：激活失效，但普通用户先别慌
11月13日微软发布服务警报，确认 11 月补丁星期二的安全更新存在严重逻辑错误，会导致 Windows 激活和许可失效，受影响范围覆盖 Windows 10 21H2/22H2、Windows 11 23H2 客户端，以及 Windows Server 2019、2022、2025。具体表现：执行 KMS 配置、安装密钥等操作时报错 0x80041008，普通已激活用户不受影响，修复更新将于近日推出。快科技IT之家
翻译一下——这刀主要砍在企业批量激活和装机场景。家里那台一直显示「已激活」的，别去折腾它。
坑四：内存完整性被自动打开了
KB5132061 会在更多符合条件的 PC 上强制自动开启内存完整性（HVCI），Win11 25H2、26H2 默认实装；从旧版本升上来、此前没手动关过的，更新后自动激活。而这个开关，微软过去曾劝玩家关掉。快科技
所以更新完觉得游戏帧数不对劲，先去 Windows 安全中心 → 设备安全性 → 内核隔离，看一眼这个开关现在是什么状态。
坑五：老 PowerShell 脚本签名验证失败
KB5132061 引入的一项安全改进，可能导致旧版 PowerShell 脚本签名验证失败。这条对绝大多数人无关，但靠脚本吃饭的运维和开发者要留个心——你那些跑了几年的老脚本，可能这次就不过了。Microsoft信仰中心
那到底要不要更新
要，但顺序不能反。
这批更新里确实带着有价值的修复，比如部分 USB 音频设备「代码 10」错误。正确顺序是：先找出 BitLocker 恢复密钥，存到手机里，再去点更新。IT之家
已经更完、机器一切正常的，不用回头折腾。装不上的，别硬刚，微软在查。
一句人话总结：这个补丁最坏的结果不是装不上，是你被锁在门外，而钥匙在门里。
