微软近日面向 Windows 用户发布了一项非安全性质的带外（Out-of-Band）更新。此次补丁并非针对系统故障的紧急修复，而是专注于证书信任列表（CTL）的调整。
该更新适用于包括 Windows 11、Windows Server 2025 以及 Windows 10 在内的受支持操作系统版本。其主要目标受众为那些无法访问微软证书更新服务，或已禁用自动 CTL 更新功能的设备。
背景：eMudhra 证书泄露事件
此次更新的直接诱因是印度认证机构 eMudhra 私钥在本月初遭到泄露。微软指出，这些泄露的密钥可能被用于创建或签署看似来自可信证书授权机构（CA）的内容。为了应对这一安全风险，微软迅速采取行动，通过更新其“不允许证书信任列表”来阻止受影响的 CA。
根据微软官方说明，在 10 月 26 日发布的这项带外更新中，Windows 信任列表移除了与受影响层级体系相关的七个证书，具体包括六个 eMudhra G3 根证书和一个 AAA 证书服务交叉签名证书。此外，针对 Edge 浏览器和 WebView2 组件，微软也发布了单独的 CRLSet 版本以同步阻断风险。
包含内容与已知问题
值得注意的是，本次带外补丁整合了 10 月 13 日更新中的所有内容。这意味着用户在安装此补丁时，也会一并应用此前的更改。然而，10 月 13 日更新中存在的若干已知问题并未在此补丁中得到解决，主要包括：
- 正在进行的 VPN 连接问题；
- 可能导致本地 Exchange 服务器受损的变更；
- 针对非管理员用户的智能应用控制异常；
- 音频功能及远程桌面连接可能出现的异常行为。
因此，在安装该补丁前，用户需充分知晓上述遗留问题依然存在。
适用性建议
对于大多数正常联网且启用了自动更新服务的设备而言，当前的证书列表更新通常已通过常规更新渠道下发，无需手动安装此带外补丁。
但是，如果设备处于离线状态、无法连接微软更新服务，或明确禁用了自动 CTL 更新，则建议安装此补丁。否则，系统在验证应用程序或网站使用的数字证书时可能会遇到阻碍。此次带外更新本质上是为了解决因第三方证书泄露引发的信任链断裂问题，并为断网或受限环境下的设备提供必要的安全策略同步。
