微软为Windows 11发布带外更新用于更新证书库 大概率是删除印度eMudhra根证书的
内容提要
微软为Windows 11多个版本发布带外更新，用于刷新本地证书信任列表，大概率是为了删除印度eMudhra G3根证书。该更新面向无法联网或关闭自动更新的设备，供IT管理员手动部署；普通联网设备会自动获取证书更新，无需手动安装。涉及KB5134130、KB5134133、KB5134134等补丁，与UEFI CA 2023证书无关。
延伸解读
带外更新为何存在
带外更新主要面向无法连接微软证书更新服务的设备，例如工控或企业内网中的离线机器。这些设备无法自动获取CTL证书信任列表，需要IT管理员手动下载补丁并通过可移动介质部署。普通联网设备会通过系统更新定期接收证书库清单，因此无需手动安装。
与UEFI CA 2023无关
文章特别提醒，此次证书更新与微软的UEFI CA 2023证书是两回事，不要混淆。前者针对Windows本地证书信任列表，后者涉及UEFI安全启动相关证书。读者在部署或排查时应区分两者，避免将不同用途的证书更新混为一谈。
补丁版本对应关系
微软为不同Windows 11版本提供了不同补丁：23H2对应KB5134130，24H2/25H2/26H2对应KB5134133，26H2还对应KB5134134。IT管理员需根据设备实际版本选择补丁，在离线或受控环境中部署，以刷新设备使用的证书库。
删除根证书的背景
文章称微软未明确说明，但此次更新大概率用于删除印度eMudhra公司的G3根证书。相关消息显示，eMudhra曾发生证书私钥泄露事件，苹果已删除对该根证书的信任，谷歌和谋智基金会也曾指责其延迟发布事故报告。这有助于理解此次证书库刷新的安全背景。
Q&A
微软为Windows 11发布的带外更新是做什么用的？
该带外更新用于刷新Windows 11本地证书信任列表（CTL），主要面向无法联网或关闭自动更新的设备，供IT管理员手动部署以更新证书库。
为什么微软要发布这个带外更新？
因为部分设备（如工控或企业环境中的断网设备）无法连接微软证书更新服务器或关闭了CTL自动更新，无法在线获取证书库更新，所以微软提供带外更新供手动部署。
这个带外更新与删除eMudhra根证书有关吗？
虽然微软没有明确说明，但文章推测该更新大概率是为了删除印度eMudhra公司的G3根证书。
普通用户需要手动安装这个带外更新吗？
普通联网设备会自动通过系统更新接收证书库更新，通常不需要手动安装。如果用户在系统更新中看到该带外更新，安装与否都可以。
这个带外更新对应哪些Windows 11版本和KB号？
Windows 11 23H2版对应KB5134130；24H2/25H2/26H2版对应KB5134133；26H2版对应KB5134134。
这个证书更新和UEFI CA 2023证书是一回事吗？
不是。文章特别提醒，此证书更新与微软的UEFI CA 2023证书是不同的东西，不要混淆。
