微软带外发 KB5134133：给断网电脑清掉 eMudhra 问题证书，联网的电脑不用管

微软在 10 月 26 日给 Windows 发了一批计划外的带外更新，编号 KB5134133 等，专门清理 eMudhra 事件里出问题的证书。先说结论：正常联网、正常更新的电脑什么都不用做，这批更新本来就不是给它们准备的。

上图：微软带外更新把 7 张 eMudhra 相关证书移出 Windows 信任列表。

这次清理的是 7 张证书：6 张 eMudhra G3 根证书，加 1 张 AAA Certificate Services 的交叉签名证书。它们都和 eMudhra 中间 CA 私钥泄露事件有关——事件背景本站之前写过，简单说就是这家证书机构的私钥出了问题，相关证书不再可信，各家软件都在把它清出信任列表。

带外更新覆盖的版本很全：KB5134133 对应 Windows 11 24H2 / 25H2 / 26H2（构建 26100.9725、26200.9725、26300.9725），KB5134134 对应 26H1，KB5134130 对应 23H2，KB5134125 对应 Windows 10 21H2 / 22H2。它们都是累积、非安全类的带外更新。

关键在“谁需要装”：只有收不到证书信任列表自动更新的设备才需要手动装——比如长期断网的电脑、访问不了微软证书更新服务的环境、或者关掉了自动信任列表更新的机器。联网正常更新的电脑，微软的证书更新服务早就自动把这 7 张证书清掉了，不用再手动折腾。这批更新只通过 Microsoft Update Catalog 提供，一般不会出现在 Windows Update 里，这也是它“带外”的原因。

如果你管着公司的内网电脑、或者家里有台常年断网的旧机器，去 Microsoft Update Catalog 按 KB 号搜一下，对号装上就行。普通用户确认 Windows Update 是开着的，就不用管这件事了。Python 那边同一天也发了清理同一批证书的安全版，开发者可以顺便看本站另一篇。

相关阅读

• 一家 CA 的私钥居然是「4」：eMudhra 证书事件，半个互联网连夜换锁
• Python 五个分支同日发紧急安全版：eMudhra 证书事件烧到 pip，开发者该升了

信息来源：BleepingComputer：微软发布带外更新，清理 eMudhra 证书。KB 编号与适用版本以微软官方支持页为准。