8 月 11 日，微软推送了 2026 年 8 月的"补丁星期二"更新 KB5121003，12 日白天国内陆续有人收到。这两天社区里最热闹的，是"恐更族"的纠结：不少人早已把暂停更新拉到最长、甚至直接禁掉更新服务，理由是"更新出事概率不低，能躲就躲"。但这次打开设置页，看到的列表比往常长——2026-08 安全更新（KB5121003）、.NET Framework 安全更新、恶意软件删除工具，外加一整排驱动更新，而列表背后是一个正在被黑客组织在野利用的零日漏洞。
第一组数字：421 个漏洞、62 个 Critical，规模是历史级
先给全貌：本月微软官方安全更新通告共列出 421 个漏洞，其中 62 个被标记为 Critical。微博部分海外安全媒体给出的统计是 400 个上下，与 421 的差距主要在 Office、Azure 等组件产品是否计入，口径不同，但量级一致：同比去年 8 月的 107 个，涨幅接近三倍，就连刚在 7 月创下纪录的补丁规模也没把本月甩开。微博有安全专家把这归因于 AI 辅助找洞、修洞工具的普及，"每月几百个补丁"可能正在成为常态——这意味着"攒几个月再一起装"的策略，风险敞口会越攒越大。
第二组数字：3 个零日里，有 1 个已经在野利用
数量之外，更关键的是性质。本月 3 个零日漏洞中，编号 CVE-2026-68820 的那个已被朝鲜黑客组织 Lazarus 集团在野利用，最早今年 6 月就出现了攻击痕迹。微博它是 Windows 内核模式驱动 afd.sys 的释放后使用漏洞，CVSS 7.0，官方通告里"被利用级别"一栏直接写着"已发现被利用"。知乎它的触发前提是"本地低权限"，翻译成人话：先靠钓鱼邮件、带毒附件骗你运行一个恶意程序，再借这一步把权限抬到 SYSTEM。本月评分更高的几个远程代码执行漏洞（WDS、iSCSI 等，CVSS 9.8）基本都要求机器开着服务器角色，家用 PC 一般踩不到；普通人真正的威胁面，就是这条"钓鱼落地→驱动提权"的短链——恰恰是"裸奔"机器最容易被命中的路径。
第三组数字：不只是安全补丁，还打包了几项"催更很久"的小修复
KB5121003 同时把 7 月 28 日可选预览版 KB5101684 的全部内容收了进来，装一次等于补齐两轮。知乎体验项里最接地气的两个：文件资源管理器终于会按实际大小自动选用 KB/MB/GB 显示，10MB 的文件不再显示成 10,000 KB；Windows Hello 增强登录安全（ESS）扩展到外置即插即用指纹识别器，台式机不用再眼馋笔记本的指纹登录。
以前在"设置→账户→登录选项"里看到"找不到支持 Windows Hello 指纹的指纹识别器"这行提示的用户，更新后接上兼容的外置识别器就能重新走注册流程，这一步对想给老台式机补生物识别的人算是实质性的解禁。知乎同批落地的还有触控板可调滚动/缩放速度与加速滚动、搜索对拼写错误的容错（Insider 阶段就有人用"pwerp"搜出 PowerPoint 验证过），以及 Copilot+ PC 可卸载预装图像生成 AI 组件——对嫌 AI 组件占盘的人，这是继关闭小组件广告流之后又一个"往回收"的动作。
两件没上热搜、但和你有关的事
第一件是 Secure Boot 证书换代。2011 年签发的 Secure Boot 证书将在 2026 年内分阶段到期，本月更新继续把 2023 版证书推向更多设备；还没收到新证书的机器目前仍能正常启动、正常更新，但这事不是可以无限期搁置的选项，趁这次安全更新顺手把证书状态看一眼，比哪天启动报错再查省事。知乎
第二件是 24H2 的倒计时：Windows 11 24H2 家庭版、专业版 2026 年 10 月 13 日停止更新，企业版和教育版支持到 2027 年 10 月，消费级设备会被微软强制升上 25H2。知乎也就是说，还在 24H2 上"养老"的用户，面对的已经不是"这个月装不装"，而是"只剩两个月左右的缓冲期"——与其到时候被强制升级打个措手不及，不如在补丁状态干净的现在主动规划。
现在装还是再等等：按机器分
家用、办公机，没有工控、老版本专业软件之类特殊环境的：这个月建议直接装。在野零日修的正是"钓鱼→提权"这条最短攻击链，躲更新省下的那点"稳定概率"，换的是实打实的裸奔敞口，账算不过来。
机器上有生产环境、不可替代软件，或者曾经被更新坑过的：按惯例留 24–48 小时观察窗再装，不丢人；但观察期里别开来源不明的附件、别以管理员身份运行陌生程序，把 afd.sys 链条拦在"本地低权限执行"之前，风险就可控。想躲首波推送的，设置里官方暂停最长 5 周足够；社区里也有人用注册表把暂停拉到 2034 年，那相当于主动放弃此后所有安全修复，和"等两天再装"是两种性质。
长期暂停、甚至禁掉更新服务的用户：这个月值得重新审视一次当初的决定。你躲的是"更新坏机"的概率，攒下的是"零日裸奔"的确定性，两者在这个月明显不是一个量级。装完可以用 winver 核对版本号：25H2 对应 26200.9168、24H2 对应 26100.9168（个别早期材料写成 .9165，以实机为准）。
接下来几天值得盯的信号
一是微软是否在一周内发布带外热修复——KB5121003 本身若有问题，会先在官方发布健康页和社区反馈里露头；二是知乎、小红书、B 站是否出现同一配置集中蓝屏、回滚的反馈，截至发稿看到的仍是零散个例，没有成模式的翻车；三是驱动捆绑：本月列表里 Intel、联想、Realtek 等驱动推送不少，笔记本用户可顺带核对 OEM 工具里是否有配套更新。
更新的本质，是用一次小的、可控的成本，换长期的确定性。在一个有零日被在野利用的月份里，对多数人来说"推送了就装"才是更划算的那一边；真正要管住的，不是更新开关，而是"别乱运行、别乱打开"这两步。
