Windows 10 có bản OOB KB5134125 cho máy không tự cập nhật chứng chỉ gốc

Máy Windows 10 ngắt mạng cần được kiểm kê riêng

Microsoft phát hành bản tích lũy ngoài lịch KB5134125 ngày 26/10/2026 cho Windows 10 21H2 và 22H2 thuộc phạm vi hỗ trợ tương ứng. Điểm mới tập trung vào dữ liệu chứng chỉ gốc tin cậy cho thiết bị không nhận được cơ chế cập nhật chứng chỉ tự động. Bộ phận IT có máy ở mạng hạn chế nên đối chiếu cấu hình trước khi đưa gói vào lịch bảo trì.

Microsoft phân loại đây là bản NON-SECURITY. Không nên gọi nó là vá zero-day hay suy rằng mọi máy Windows 10 đã được mở lại hỗ trợ miễn phí. Bài ngày 27/10 tập trung vào điều kiện triển khai và kiểm tra, không coi việc gói xuất hiện trong Catalog là bằng chứng đã cài trên thiết bị.

Vì sao máy vẫn dùng được nhưng dữ liệu tin cậy có thể cũ?

Windows dùng chứng chỉ và chuỗi tin cậy khi xác minh nhiều kết nối hoặc nội dung được ký. Danh sách chứng chỉ tin cậy và chứng chỉ không còn được tin cậy cần được cập nhật theo chính sách của hệ thống. Theo tài liệu Microsoft, máy có thể truy cập Windows Update trực tiếp nhận được các danh sách CTL cập nhật hằng ngày.

Trong nhà máy, phòng thử nghiệm hoặc mạng doanh nghiệp được kiểm soát chặt, máy có thể không tới được dịch vụ cập nhật chứng chỉ, hoặc quản trị viên đã tắt cơ chế tự động. Cài các bản tích lũy không nhất thiết cho biết luồng CTL vẫn hoạt động. Đây là lý do cần ghi riêng trạng thái kết nối và chính sách chứng chỉ thay vì chỉ nhìn biểu tượng “đã cập nhật”.

KB5134125 bổ sung payload trusted roots mới trong gói tích lũy cho các tình huống đó. Việc xử lý chứng chỉ doanh nghiệp tự cấp và hệ thống PKI nội bộ vẫn cần quy trình riêng. Không nhập một chứng chỉ không rõ nguồn vào kho tin cậy chỉ để làm cảnh báo biến mất.

Đúng phiên bản, kiến trúc và quyền nhận cập nhật

Các build được công bố là 19045.7811 cho 22H2 và 19044.7811 cho 21H2. Phạm vi bài KB gồm Windows 10 có ESU và các bản Enterprise LTSC 2021, IoT Enterprise LTSC 2021 theo điều kiện của chúng. Gói dành cho một kiến trúc không thể được chọn chỉ vì có cùng mã KB.

ESU là chương trình cập nhật bảo mật mở rộng sau khi hỗ trợ thông thường kết thúc, có yêu cầu và quyền sử dụng riêng. Việc một bản OOB non-security tồn tại không thay đổi các điều kiện đó. Doanh nghiệp cần kiểm tra loại giấy phép, nhánh LTSC hoặc ESU và hệ thống phân phối cập nhật đang dùng, tránh áp một hướng dẫn chung cho toàn bộ đội máy.

Trang KB còn nêu điều kiện servicing stack, tức thành phần giúp Windows cài và bảo trì các gói cập nhật. Với các kênh nêu trong tài liệu, cần có bản ngày 8/7/2025 hoặc mới hơn; KB5062554 là mốc được dẫn. Các ảnh hệ điều hành offline quá cũ có yêu cầu SSU riêng. Đối chiếu chính trang KB trước khi tạo bộ cài hàng loạt.

Thử trên nhóm máy đại diện rồi xác nhận kết quả

Friday Works khuyến nghị ghi lại build hiện tại, kiến trúc, tình trạng CTL, nguồn nhận cập nhật và ứng dụng nghiệp vụ. Chuẩn bị phương án khôi phục đã được thử, sau đó đưa gói đúng kiến trúc vào nhóm máy đại diện. Không chuyển tệp cài đặt sang mạng hạn chế bằng kênh chưa được tổ chức cho phép.

Sau cài đặt và khởi động lại khi được yêu cầu, xác nhận build đích và lịch sử cài gói. Tiếp đó thử chính luồng công việc cần chứng chỉ: đăng nhập dịch vụ được cho phép, xác minh phần mềm ký và các kết nối nội bộ quan trọng. So kết quả với mẫu trước cập nhật; không dùng một trang web bất kỳ để kết luận toàn bộ chuỗi tin cậy đã đúng.

Nếu máy báo lỗi chứng chỉ, giữ thông báo, thời gian hệ thống và đường đi của chuỗi chứng chỉ để xử lý. Không tắt xác minh TLS hoặc bỏ qua chữ ký phần mềm như một cách “khắc phục”. Những thay đổi đó có thể che lỗi thay vì sửa nguồn tin cậy.

Giữ giới hạn của bản cập nhật rõ ràng

KB vẫn ghi nhận vấn đề với một số thiết bị USB Audio Class 1.0. Không quảng bá gói này như đã xử lý tất cả lỗi âm thanh hoặc mọi vấn đề Secure Boot. Chứng chỉ Secure Boot và danh sách trusted roots phục vụ các vai trò khác nhau; một tin về chứng chỉ không có nghĩa mọi cơ chế chứng chỉ đều được thay đổi cùng lúc.

Về lâu dài, nhóm máy ngắt mạng vẫn cần cách nhận dữ liệu tin cậy có kiểm soát. Microsoft có tài liệu phân phối CTL từ máy hoặc máy chủ nội bộ cho môi trường thích hợp. Đó là quyết định kiến trúc quản trị riêng, cần thử quyền truy cập và chính sách; bản OOB ngày 26/10 không thay thế kế hoạch bảo trì đó.