Win10 ESU 十一月补丁：打印机报错 87 被修，NTLM 签名默认收紧

补丁落地：22H2 与 21H2 分别升到哪个版本号

11 月 10 日的补丁星期二，微软向仍处于扩展支持（ESU）状态的 Windows 10 设备推送了 KB5131096 累积更新。22H2 设备装完后版本号变为 Build 19045.7846，21H2 则到 Build 19044.7846。两条分支同时覆盖，说明 ESU 阶段的安全与兼容性修复仍在按月度节奏走。

对还在跑 Win10 的企业来说，这类补丁的意义不止于打勾合规。ESU 是按年计费的延长通道，能拿到更新的机器数量有限，任何一次累积更新出问题，回滚成本都比常规支持期更高。

这次改动大致分三块：一个打印机相关缺陷、两处远程桌面与 Intune 策略问题，以及两项安全加固。此外还有一条古巴时区规则调整。

打印机错误 87 的来龙去脉

最直接的一条修复针对 AD 环境下的打印机添加。用户从「设置」进入「蓝牙和设备」，再到「打印机和扫描仪」，点「添加设备」去装一台在 Active Directory 中发布的打印机时，操作可能失败并报错误 87，提示为「参数错误」。

这个问题的源头是 2026 年 10 月的更新。已经装好的打印机和日常打印功能通常不受影响，受影响的只是新增设备这一入口。对批量部署的运维人员来说，这种「装不上新的、旧的还能用」的故障最容易被忽略，等到有人换工位或新机入场才暴露。

远程桌面侧同样有两处修补。其一是通过 Microsoft Intune 配置「指定代表受信任 .rdp 发布者的证书指纹」策略时无法成功的问题；其二是在 Windows Server 2016 与 Windows Server 2012 R2 上安装 2026 年 10 月 14 日更新后，远程桌面影子连接可能失败并显示「未指定的错误」。影子连接多用于运维协助与远程支持，一旦断掉，现场排障就得换路径。

真正需要提前评估的是 NTLM 签名默认开启

安全层面的两项改动影响面更广，也更需要在灰度阶段盯紧。第一项是 PowerShell 脚本签名验证引入更严格的编码校验。

后果是：包含无效 UTF-8 编码的脚本可能无法通过签名验证，即便这些脚本此前一直能过。处理办法并不复杂，但需要逐份排查——把受影响的脚本另存为带字节顺序标记（BOM）的有效 UTF-8 编码，然后重新签名。存量脚本越多，这一步越费时间。

第二项是 NTLM 加固。客户端在非匿名连接中默认提出使用 NTLM 消息签名，目的是压低 NTLM 中继攻击的风险，同时提供审计能力，用来识别没有使用签名的连接。默认行为变了，旧应用如果依赖未签名会话，可能在升级后出现认证异常。

我的建议是先开审计再全量推。用审计日志摸清哪些终端、哪些业务系统仍在走未签名的 NTLM 连接，把名单缩到最小，再决定是改配置还是走例外。直接全量铺开，出问题时很难判断是补丁本身还是应用兼容性。

• 先在小范围终端安装 KB5131096，观察打印机添加与远程桌面影子连接是否正常
• 梳理带签名的 PowerShell 脚本，确认编码为带 BOM 的 UTF-8 并重新签名
• 开启 NTLM 审计，统计未签名连接来源，再评估是否收紧

时区调整与 ESU 阶段的维护节奏

更新日志里还有一条容易被跳过的内容：古巴的夏令时规则调整，以适配其延长后的 2026—2027 年夏令时实施期。古巴将继续采用 UTC-04:00，不再执行原定于 2026 年 11 月与 2027 年 3 月的时间切换，到 2027 年 11 月恢复 UTC-05:00，2028 年回归常规的季节性安排。

对多数国内设备而言，这条不影响日常使用，但涉及跨时区排班、日志时间戳对齐的系统，值得确认一次时区库是否随补丁同步。

放到更长的时间轴上看，Win10 进入 ESU 之后，微软的更新策略明显偏向「修具体缺陷 + 收紧默认安全配置」。NTLM 签名默认化就是一个信号：旧协议不会立刻消失，但默认不再宽容。还在维护 Win10 资产的组织，与其等下一次补丁再被动适配，不如把脚本编码规范和认证协议清单当成常规项来管。补丁只是触发器，真正的成本在补丁之外的那些存量配置。