微软发布 Win11 23H2 最后的更新补丁 KB5131087！企业教育版不再有月度安全补丁

　　系统之家 11 月 11 日最新消息，微软公告，Win11 23H2 企业版与教育版在 11 月 10 日终止更新，KB5131087 为最后一次月度补丁。此次更新也是引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。

　　Win11 23H2 KB5131087 更新补丁：点击下载

　　微软在 KB5131087 更新说明中确认，Windows 11 23H2 Enterprise 和 Education 已达到更新支持期限，2026 年 11 月安全更新是这两个版本的最后一次更新。停止支持后，相关设备将无法继续通过每月更新获得针对最新安全威胁的防护。

　　系统之家提醒，不同版本的支持周期并不相同。家庭版（Home）和专业版（Pro）此前已于 2025 年 11 月 11 日结束支持，而企业版（Enterprise）和教育版（Education）获得了更长的 36 个月服务周期。

　　此次发布的 KB5131087 对应系统版本号为 OS Build 22631.7711，除了安全修复，还包含此前可选预览更新中的部分改进。

　　具体而言，该更新修复了通过设置添加 Active Directory 发布的打印机时可能出现错误 87 的问题，改善 NTLM 安全机制，默认允许客户端为非匿名连接提供 NTLM 消息签名，以降低 NTLM 中继攻击风险。此外，还修复了通过 Microsoft Intune 配置受信任 RDP 发布者证书指纹策略失败的问题，并调整古巴 2026 至 2027 年夏令时规则。

　　PowerShell 方面，微软进一步收紧脚本签名和验证机制，引入更严格的编码检查。采用无效 UTF-8 编码的脚本可能无法通过签名验证，即使此前能够正常通过。微软建议相关用户使用带 BOM 的有效 UTF-8 编码重新保存脚本，并重新进行签名。

　　微软建议仍在运行 Windows 11 23H2 的用户升级至受支持的系统版本。根据微软生命周期页面，Windows 11 24H2、25H2、26H1 和 26H2 均有各自的更新支持周期。

　　更新内容

　　改进

　　［安全更新］此更新提供安全改进。

　　［安全启动］此更新包括额外的高可信度设备目标数据，扩大了有资格自动接收新安全启动证书的设备的覆盖范围。在接下来的几个月中，将继续在受支持的 PC 和非托管企业设备上通过 Windows 更新进行证书部署。

　　［打印］已修复：通过“设置”>“蓝牙和设备”>“打印机和扫描仪”>“添加设备”添加在 Active Directory 中发布的打印机可能会失败，并出现错误 87“参数不正确”。此问题是由 2026 年 10 月更新引入的，通常不会影响现有打印机或打印。

　　［安全］此更新允许客户端默认为非匿名连接提供 NTLM 消息签名，从而提高了 NTLM 安全性。此更改有助于减少 NTLM 中继攻击的风险，并提供审核以识别未使用签名的连接。要了解更多信息，请参阅Windows 中的 NTLM 签名安全改进。

　　［远程桌面］已修复：无法通过 Microsoft Intune 成功配置“指定代表可信 .rdp 发布者的证书指纹”策略。

　　［日期和时间］此更新调整了古巴 2026-2027 年 DST 延长期的夏令时（DST）规则。古巴仍采用 UTC-04:00，并且不遵守 2026 年 11 月和 2027 年 3 月的转换。它于 2027 年 11 月返回 UTC-05:00，并于 2028 年恢复其常规季节性时间表。

　　［Windows PowerShell］此更新通过引入更严格的编码验证来增强 PowerShell 脚本签名和签名验证的安全性。因此，包含无效 UTF-8 编码的脚本可能无法通过签名验证，即使它们之前已被接受。要解决此问题，请检查受影响的脚本，使用带有字节顺序标记（BOM）的有效 UTF-8 编码保存它们，然后重新签名。

　　相关阅读

　　以上是系统之家提供的最新资讯，感谢您的阅读，更多精彩内容请关注系统之家官网。