微软确认将于2026年11月16日面向Windows 10与Windows 11推送eMudhra证书相关补丁更新。此次更新采用自动交付机制，绝大多数用户无需手动下载安装即可生效。
更新背景与触发原因
此次更新源于此前暴露的eMudhra CA（证书颁发机构）安全事件。2026年10月28日，微软已通过KB5134133和KB5134134两款OOC更新移除了7个eMudhra根证书。本次更新将进一步处理剩余证书，全面解除对eMudhra证书的默认信任。
eMudhra是一家总部位于印度的数字身份认证公司，其颁发的SSL/TLS证书被用于验证网站安全性及建立浏览器与服务器的加密连接。事件中涉及的17个根证书已被微软判定存在安全隐患。
Windows设备自动更新机制
对于普通Windows设备，新的更新将通过Windows设备使用的HTTP端点自动下发，用于更新证书信任列表。微软表示受支持的设备只要能够访问该端点即可自动接收更改，无需用户手动下载安装累积更新包。该过程依托Automatic Root Certificates Update机制运行，该机制会定期联系Windows Update检查Certificate Trust List（CTL）变更。
更新获取地址为ctldl.windowsupdate.com端点，支持HTTP协议通信，同时兼容HTTPS和TLS 1.2。该功能默认启用，微软建议保持开启状态以便设备及时获取最新证书信任信息。
Edge与WebView2更新方式
Edge浏览器和WebView2的运行环境更新路径有所不同。微软称变更将通过PKI Metadata组件进行投递，该组件每隔10小时检查一次更新，并在每次应用启动后执行同步。这意味着用户无需升级Edge新版本即可获得证书信任列表的变更。
企业离线环境部署方案
针对处于隔离网络环境的组织，微软提供了替代方案。管理员可通过组策略将自动更新机制重定向至托管已更新CTL文件的内部文件服务器或Web服务器。使用certutil -syncWithWU命令可将内部文件与微软服务器进行同步，随后在企业域内分发给所有联网机器。
管理员还可以独立管理可信与不可信证书列表，根据组织需求添加或删除特定根证书。若完全禁用自动根证书更新功能，系统将可能继续信任已被微软判定为不安全的证书，带来安全风险。
相关公告与通知编号
拥有Microsoft 365 Admin Center权限的管理员可在门户查看官方消息通知，公告编号为MC1529467。该通知详细记录了本次更新的实施时间、影响范围及技术细节。
via Neowin
