微软 2026 年 9 月补丁日后出了什么问题？紧急更新修了什么，AD 域信任又该如何应对

9 月 8 日的微软例行“补丁星期二”安全更新修复了创纪录的 966 个漏洞，其中包括 2 个已被主动利用的零日漏洞。安全收益很大，但更新发布后，一些 Windows 设备出现影响远程访问、虚拟化工作流和音频设备的稳定性回归。6 天后，微软于 9 月 14 日推出 11 个按版本划分的带外（OOB）累积更新进行修复。167

更新后哪些功能受影响？

微软确认，部分已安装 9 月安全更新的设备可能出现以下三类问题：

• 远程桌面服务（RDS）停止响应：无法建立新会话，并可能妨碍本地登录和远程登录。4
• Hyper-V Linux 虚拟机中的 Plan9 主机文件夹共享消失：问题主要影响 Windows 主机向 Linux 客户机共享文件夹的功能，并不一定意味着虚拟机无法启动。8
• 部分 USB Audio Class 1.0 设备无法在多声道模式下工作：普通立体声可能正常，但切换至 8 声道或 3D 音频时可能失败。33

这些是安全更新后的功能回归，并不意味着应放弃安全修复；对受影响组织而言，重点是通过受支持的更新路径恢复业务功能。

9 月 14 日 OOB 更新修复了什么？

微软针对受影响的 Windows 客户端和服务器版本发布了 OOB 累积更新。整体而言，这批更新已解决 RDS 无响应，以及 Hyper-V Linux 虚拟机内 Plan9 共享文件夹不可用的问题。46

USB 音频方面，OOB 更新修复了一个明确的场景：原本在立体声下正常的 USB Audio Class 1.0 设备，在 8 声道或 3D 音频模式下失效。例如，Windows 11 26H1 的 KB5129194 已明确将该问题列为已修复。33

9 月 8 日更新后的问题	9 月 14 日 OOB 更新后的状态
RDS 停止响应，或无法创建新会话	已解决。4
Hyper-V Linux 虚拟机无法看到 Plan9 主机文件夹共享	已解决。8
USB Audio Class 1.0 的 8 声道或 3D 模式失效	已解决。33
USB Audio Class 1.0 报 Code 10、无法启动或无声音	尚未完全解决。3436

USB 音频仍有未解问题：立体声仅是特定情形的临时办法

OOB 更新并未解决 USB Audio Class 1.0 的所有故障。微软仍将以下症状列为未完全解决：设备无法启动、设备管理器显示 Code 10，或设备不输出声音。3436

在多声道修复发布前，微软曾指出，部分用户将输出配置改为 双声道／立体声 后恢复了音频。这只适用于“8 声道或 3D 多声道模式失败”的情形，不能视为解决所有无声或 Code 10 问题的通用方案。3133

另一项更值得企业重视的问题：Active Directory 域信任

与上述故障相互独立的是，安装 KB5124008 或后续更新后，部分受 Credential Guard（凭据防护）保护的计算机帐户，可能丢失与本地部署 Active Directory（AD）域的安全通道。

结果是：用户即使输入有效的域凭据，也可能无法交互式登录，并看到设备与域之间“信任关系失败”的提示。2225

这不是域控制器整体宕机。微软表示，域控制器上的 AD 复制和 AD 服务不受影响。此前缓存的凭据仍可能支持离线登录；这与设备可在本机验证缓存信息、但无法重新与域控制器建立安全通道的情况一致。2226

MII 是关键配置，但不能随意关闭

微软的公开说明将问题与 机器身份隔离（Machine Identity Isolation，MII） 联系起来。9 月更新并非直接为所有设备统一启用 MII 强制模式，而是让 Windows 开始遵循已有的、或由策略预配的 MII 强制设置。

微软还说明，MII 仅适用于连接到运行 Windows Server 2025 域功能级别或更高版本域控制器的环境；其他环境应关闭该功能。2547

微软给出的缓解路径是：使用最初启用 MII 的同一管理渠道将其关闭，例如 Intune、组策略或基于注册表的配置。33

但这不是可以大规模“一键关闭”的设置。微软文档警告，若 MII 已在强制模式下启用，再将其关闭，可能反而导致域身份验证中断，并需要将设备退出域后重新加入域。48

管理员应如何处理？

1. 对已受影响的设备部署适用的 9 月 14 日 OOB 累积更新。 若业务受 RDS、Hyper-V Linux 主机文件夹共享或多声道 USB 音频影响，这些累积更新是首要修复措施。610
2. 将 USB 音频的未解症状单独排查。 若只在 8 声道或 3D 模式下失败，先确认 OOB 更新已安装；双声道／立体声可作为临时替代。若持续出现 Code 10 或完全无声，微软仍在处理该问题。3336
3. 修改域加入终端前，先审计 Credential Guard 与 MII。 确认设置来自 Intune、组策略还是注册表；核对域功能级别要求；保留恢复访问路径，并先在代表性测试设备上验证。253348
4. 不要把“仍可用缓存凭据离线登录”视为问题已消失。 这只能提供暂时访问，并未恢复计算机帐户与 AD 的安全通道。22

简而言之：9 月 14 日 OOB 更新已经解决 RDS、Hyper-V 共享及多声道音频这几项主要回归；而 Credential Guard／MII 相关的 AD 域信任问题，仍需要企业在充分验证后进行有计划的处置，不能盲目改配置。42248