微软11月补丁修复USB音频错误代码10，安全启动证书部署范围再扩大

11月10日的补丁星期二，微软把KB5132061推给了Windows 11的三个分支。装完之后，26H2对应26300.9974，25H2对应26200.9974，24H2对应26100.9974。24H2这一轮只覆盖企业版和教育版，普通家庭用户暂时收不到。版本号变化本身不算新闻，真正让运维群里有反应的是更新日志里那两条修复：一条关于USB音频，一条关于打印机。

对普通用户来说，这次更新更像一次“补窟窿”。对管着几十上百台终端的人来说，USB音频和AD打印机这两项，恰恰是最容易在工单系统里反复出现的类型。

USB Audio 1.0设备报错代码10，这次终于被点名

此前有一部分USB Audio 1.0音频设备在Win11上无法启动，设备管理器里挂着“错误代码 10”。这类设备多是老款USB声卡、会议麦克风，以及一些工控机上还在用的外置音频模块。设备本身没坏，驱动也装得上，就是起不来。

按我的经验，这种故障最难排查的地方在于它不像蓝屏那样有明确指向。用户只会说“耳机没声音”，换一台机器又正常，最后往往被当成硬件老化处理掉。KB5132061把这个问题写进更新日志，意味着微软在驱动栈层面做了修正，受影响的设备升级后大概率能直接恢复。

同批修复的还有打印机。通过系统设置添加Active Directory里发布的打印机时，此前可能弹出“参数错误”并导致添加失败。域环境里靠组策略批量部署打印机的管理员，对这条应该不陌生。

安全启动新证书扩大部署，签名脚本要先过一遍

安全层面的动作比功能修复更值得留意。微软在这轮更新中继续扩大安全启动新证书的自动部署范围，同时收紧了NTLM身份验证和PowerShell脚本签名校验。

收紧的后果很具体：部分编码不规范的已签名脚本，可能无法通过验证。脚本本身签名有效，但编码方式不符合新要求，校验就会失败。处理办法不复杂，调整编码后重新签名即可，难的是先找出哪些脚本会中招。

• 盘点内部还在跑的PowerShell脚本，尤其是历史遗留、由第三方交付的那批
• 在测试机上先装KB5132061，验证关键脚本与USB音频设备是否正常
• 域环境重点回归AD打印机添加流程，确认组策略部署不受影响

证书轮换本身是安全启动机制演进的既定步骤，旧证书到期前必须完成替换。自动部署范围扩大，等于把这个动作从“手动处理”推向“批量下发”。对终端数量多的组织，提前验证比事后救火便宜得多。

自动播放对话框重做，辅助功能也有一批改动

功能侧这次改动不算大，但有几处日常能感知到。连接手机、相机或移动硬盘时弹出的自动播放对话框换了新样式，支持深色模式，对文本缩放和显示设置的响应更灵敏，自动播放通知也会进入通知中心。

辅助功能方面，放大镜的对比度主题切换可以减少屏幕眩光，同时保留照片、视频和图表中的原始颜色。每个显示器独立缩放的放大镜也落地了，多屏环境下每块屏可以用自己的缩放级别，放大视图不会跑到别的显示器上。此外，受支持的Microsoft 365应用（包括Word和PowerPoint）以及Edge中受支持的Web内容，现在可以朗读和浏览数学公式。

PhoneLink也加了一个小功能：在开始菜单里把鼠标悬停在最近的消息或通知上，不用打开项目就能预览内容。对经常在会议中扫消息的人，这个改动省的是几次点击。

升级路径与已知问题

获取方式有两条：走Windows更新，或者从微软更新目录下载独立安装包。截至官方说明发布时，微软表示尚未发现该更新的已知问题。

没有已知问题不等于没有风险。安全启动证书部署和脚本签名校验这两项，影响面取决于各家的存量环境。按我的做法，先挑一批非关键终端装上跑几天，确认USB音频设备和域内打印机都正常，再向全员推送。补丁星期二之后的头两周，往往才是工单真正上来的时候。