6月14日补丁星期二活动中，微软确认2011版证书于月底失效将影响后续吊销载荷签名，同时向Win11 24H2/25H2推送Build 26x00.8655版本引入低延迟配置与共享音频功能
微软在6月4日的Ask Microsoft Anything直播活动中澄清了安全启动证书更新事宜，确认Microsoft Corporation KEK CA 2011证书将于6月24日到期。该事件核心在于旧版证书失效不会导致现有Windows 10或Windows 11设备无法启动，但将阻碍微软为新的DBX吊销载荷进行签名，进而影响设备防范新型恶意引导程序的能力。若设备未在期限内升级至2023版KEK证书，其安全防护能力将随时间推移而减弱，尽管6月24日后现有的签名数据库更新和注册表机制仍可正常运行。微软指出10月将是DB相关证书的下一个关键到期节点。
针对此次证书更新，微软在6月补丁星期二活动中向Windows 11 24H2及25H2用户推送了KB5094126累积更新，系统将升级至Build 26x00.8655版本。大多数主流设备在应用6月补丁后将自动进入“高置信”状态，由Intune接管证书更新流程。然而，企业环境需关注固件版本与日期的细分差异，同型号设备可能因固件兼容性不同而处于不同状态。若系统显示“temporarily paused”，通常意味着需要OEM厂商提供固件升级以防止蓝屏或BitLocker循环问题。微软建议管理员不要等待自动更新，对于白牌机、老旧服务器或遥测数据不足的设备，应通过注册表或Intune设置目录策略手动触发更新，并优先挑选典型机型进行试点。
本次更新还引入了多项功能改进与底层优化。在性能方面，新增的低延迟配置体验（Low Latency Profile）允许用户在打开开始菜单、通知中心及搜索等界面时，系统短暂提升CPU频率持续1至3秒，以减少卡顿并加快响应速度。音频体验上，Windows 11增加了共享音频功能，支持通过快速设置让两个蓝牙设备同时接收电脑系统音频。此外，更新包还包含2026年6月.NET 8.0.28及9.0.17的客户端安全更新，以及v5.142版本的恶意软件删除工具。尽管大多数受支持设备可自动获取更新，但缺乏Secure Boot、TPM或存在UEFI限制的设备可能无法完成升级，需联系硬件制造商获取适配固件。