微软Win10七月更新补丁KB5040525发布！更新内容争先看！

微软在 7 月向 Windows 10 用户推送了 7 月累积更新 KB5040525，安装后系统内部版本号升至 19045.4717。这一版属于非安全类质量更新，主要修的是体验和功能层面的问题，同时也带上了服务堆栈（SSU）的改进。本文把这版更新的修复清单、已知问题和安装注意点整理成可查的形式，方便运维和办公电脑批量升级前先过一遍。

一、这版更新是什么性质

KB5040525 属于非安全更新，内容以质量改进为主。它的定位是：如果你之前已经打过早期补丁，那么这次只会下载并安装本包里新增的那部分修复，不会重复打一遍已有的内容。

同时，这一版对服务堆栈做了质量改进。服务堆栈就是负责安装 Windows 更新的那一套组件，SSU 保证设备能稳定接收和安装微软的后续补丁——这层不健康，后面再多的累积更新都会装不上。所以即使你这版不打算留在最新体验上，SSU 的部分也建议跟上。

还有一条前置提醒：要用 KB5040525 更新到 Windows 10 22H2，需要先通过 EKB KB5015684 这一更新把系统升到 22H2 版本。顺序反了会提示当前版本不支持。

二、修复清单逐条看

下面按官方列出的改动项整理，括号内是问题归属的模块标记，方便对着日志定位。

2.1 浏览器与注册表项背离

［FrameShutdownDelay］浏览器会忽略注册表 HKLM\SOFTWARE\Microsoft\Internet Explorer\Main 项中的相关值。这类问题在配置了 IE 内核相关策略的机器上容易出现，表现是策略设了却不生效。

2.2 WPA3 组策略编辑器渲染失败

［Wi-Fi 保护访问 3（WPA3）］在组策略编辑器里，HTML 预览区域渲染失败。这是本地策略界面显示层面的问题，不影响实际的无线连接，但对需要靠策略界面核对配置的场景会造成困扰。

2.3 ILT 与本地用户组选择异常

［组策略首选项项目级别定位（ILT）和本地用户和组］在多个林环境中，目标域与管理员域是单向信任时，无法从目标域里为 ILT 选择组，也无法从本地用户和组里选账户。这个场景会涉及加强安全管理环境（ESAE）、强化林（HF）以及特权访问管理（PAM）部署。如果你的环境是普通单域办公网，基本不会碰到。

2.4 TCP 发送导致系统无响应

［传输控制协议（TCP）］TCP 发送代码在某些情况下会让系统在文件传输这类常规任务期间停止响应，表现为发送循环被拉长。这个对做大文件传输的机器比较敏感，卡顿和超时都可能出现。

2.5 打印相关两类问题

［打印支持应用程序］应用和 USB 设备一起使用时，应用会停止响应并且无法打印，界面功能也会被限制。

［通用打印客户端］无法和通用打印服务正常通讯，打印功能受影响。这个问题在打开 Web 代理自动发现（WPAD）时会出现——企业内网里开 WPAD 又要走通用打印的场景要留意。

2.6 Windows Defender 应用程序控制

［WDAC］这一项包含三条修复：

• 应用策略数量超过 32 个时会触发停止错误。
• 设置过程中存在内存泄漏，时间一长会慢慢耗尽系统内存。
• 应用 WDAC 应用程序 ID 策略时，部分应用会启动失败。

2.7 易受攻击驱动阻止列表

［DriverSiPolicy.p7b］这一更新往阻止列表里补充了存在自带易受攻击驱动（BYOVD）风险的驱动清单。BYOVD 是近年供应链攻击里常用的手法，拿到管理员权限后直接加载自带签名的老版本驱动来绕过杀软拦截。这份列表的更新对防御侧是有实质意义的。

2.8 Windows 备份偶发失败

［Windows 备份］当设备带有可扩展固件接口（EFI）系统分区（ESP）时，备份偶尔会失败。用「文件历史记录」这类内置备份的机器，如果备份盘是 EFI 布局的盘符结构，遇到失败可以先记一笔，等这一版更新打上再观察。

三、已知问题：DHCP 选项 235

这一版附带一条已知问题，需要提前知道：某些 Windows 设备用 DHCP 选项 235 来查找网络内的 Microsoft Connected Cache（MCC）节点。即使找到了这些节点，设备也可能无法真正使用它们，结果是从公共互联网直接下载更新和应用，公网出口流量会被明显抬高。

判断方法：在内网部署过 MCC 的环境里，看更新和 Store 下载的出网流量是否异常偏高。如果确认是这个原因，需要在 DHCP 选项配置上做相应调整，或者在客户端侧指向确定的 MCC 节点。

四、安装与验证建议

1. 先确认系统版本是 Windows 10 22H2，且已通过 KB5015684 升级到位，否则这个补丁不会生效。
2. 批量部署前先在单机验证：装完重启，检查「设置 → Windows 更新 → 更新历史记录」里出现 KB5040525，且版本号对应 19045.4717。
3. 企业环境建议通过 WSUS 或配置管理软件分发，先拿测试机组跑三天，重点看打印服务和备份任务有没有变化。
4. 如果机器开了 WDAC 或者用了第三方EDR，装完留意应用启动是否受影响——2.6 那几条修复正是针对这类场景，旧版策略下本来就有兼容性问题。

五、怎么查当前打到哪个版本

winver

这条命令弹出的是系统内部版本号。也可以看注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion 下的 DisplayVersion 和 UUID 值做批量核对。

另外提醒一点：除了 KB 号，还要看对应的 SSU 版本。只看 KB 号不区分底层 SSU，有时候会出现「KB 显示已装但补丁实际没生效」的错觉，这时候在更新历史记录里展开「更新状态」就能看到 SSU 的具体版本。

六、小结

这版更新的主线是「把散在各处的小毛病收一收」：打印、TCP、备份、BYOVD 驱动列表这几项对日常运维体感最明显；WPA3 和 ILT 那两条属于策略界面的显示/选择异常，只在特定配置下才看得到。真正需要提前评估的是 DHCP 选项 235 带来的下载流量变化，以及 WDAC 数量超过 32 条策略时可能触发的停止错误——这两条建议先在测试环境跑一遍。

qidao123.com企服评测-应用市场 编辑提示