Windows 突然多了个 KB5134133，你想知道自己要不要装？简单讲：这是微软发布的一个非安全类带外（OOB）累积更新，适用于 Windows 11 24H2、25H2 和 26H2，主要给无法联网的离线设备更新受信任证书。普通家用电脑联网后一般会自动处理，不用特意操作。
安装后对应的系统版本号为：26H2 是 26300.9725，25H2 是 26200.9725，24H2 是 26100.9725。
谁需要安装 KB5134133？
大多数联网的 Windows 11 电脑，会通过微软的云端证书更新服务自动获得证书信任列表（CTL）和不受信任证书的变更，所以家用电脑不必手动装。这个更新是为这几类断网环境准备的：
- 与互联网物理隔离（air-gapped）的企业工作站。
- 被限制、无法连接微软公共更新服务器的工业或政府系统。
- 通过本地策略或安全基线禁用了自动 CTL 更新的终端。
为什么要发这个更新：eMudhra 证书密钥问题
这次更新与行业内对证书颁发机构（CA）密钥泄露的调查有关，涉及 eMudhra 中间 CA 私钥的问题。证书体系出问题时，操作系统必须尽快更新信任库和不受信任证书列表，否则攻击者可能伪造加密网站流量或代码签名。联网设备能在线更新，断网设备做不到，所以微软把更新后的受信任根证书打包进一个独立的累积更新里。详情请看微软关于 eMudhra 证书颁发机构密钥问题的官方说明。
更新里还包含什么
KB5134133 是累积更新，也包含此前 10 月的质量改进，包括 KB5127648（构建号 26300.9711、26200.9711、26100.9711）的修复。
- 证书：更新 Windows 累积包内的受信任根证书，保护离线系统不受过期信任列表影响。
- 节省流量：如果设备已装过之前的累积更新，安装程序会跳过重复文件，只部署新增部分。
下载地址
可以从 Microsoft Update 目录下载独立安装包。该更新包含需要按特定顺序安装的 MSU 文件，请按设备架构（Arm64 或 x64）对应的官方安装说明操作。管理员也可以通过 WSUS 在内网分发。
部署前检查清单
- 确认前置条件：24H2 或 25H2 设备应已装好 2025 年中以来的服务堆栈更新和基础更新包。
- 下载对应架构的包：从微软官方更新目录下载 x64 或 ARM64 版本，与设备匹配。
- 先小范围测试：带外更新建议先在隔离的测试机上试装，确认内部软件能正常处理新的根证书。
常见问题（FAQ）
我是普通家用电脑，要手动装吗？
一般不用。联网电脑会自动接收证书更新，这个包主要面向离线环境。
它会通过 Windows 更新自动推送吗？
带外更新不是面向普通用户自动推送的，主要是管理员在受控环境中手动获取或通过 WSUS 部署。
总结
KB5134133 的价值在于让断网的 Windows 11 设备也能同步最新的证书信任状态。联网用户不用管，管理离线系统的管理员建议尽早安排测试和部署。具体细节以微软官方支持文档为准。