微软调整沿用数十年 Windows 内核策略 2026 年 4 月起强化驱动安全管控

北京时间 2026 年 3 月 26 日，微软正式宣布，将对 Windows 系统已沿用近二十年的内核驱动信任策略进行重大调整，从2026 年 4 月起，系统默认将不再加载旧式交叉签名内核驱动，全面收紧驱动加载规则，以提升 Windows 11 与 Windows Server 2025 的安全性与稳定性。

此次调整源于微软持续优化 Windows 安全能力、解决用户与企业反馈的系统稳定性问题的长期规划。据近期行业报告显示，Windows 在企业场景中的稳定性与可靠性仍存在提升空间，而旧式驱动签名机制已成为潜在安全短板。

此次被调整的旧式交叉签名根证书计划，最早于 21 世纪初推出，允许第三方机构在通过审核后，颁发受 Windows 信任的代码签名证书。微软已于 2021 年正式停用该计划，相关证书也已全部过期，但在部分场景下，这类过期证书仍被 Windows 内核信任，存在安全风险。

根据新策略，自 2026 年 4 月开始，Windows 内核将仅接受通过 Windows 硬件兼容性计划（WHCP）签名的驱动，从源头确保驱动程序符合现代安全、兼容与稳定性标准。为保障兼容性，微软会保留一份官方白名单，允许经过验证、口碑良好的旧式交叉签名驱动正常加载。

该策略将覆盖Windows 11 24H2/25H2/26H1、Windows Server 2025，以及未来所有 Windows 客户端与服务器版本。

考虑到部分企业、工业环境仍需依赖旧式驱动，微软将以评估模式分步推送新策略。该模式仅监控、审计系统启动与驱动加载行为，不会强制执行限制，方便用户与管理员提前排查兼容问题。企业用户还可通过商用应用控制策略（原 WDAC） 自定义规则，覆盖默认内核策略，满足内部专用驱动等特殊场景需求。

微软表示，新内核信任策略基于过去数年来自 Windows 11 与 Windows Server 2025 设备的数十亿条遥测数据制定，在推送期间将持续收集用户反馈，在强化安全的同时兼顾实际兼容需求。

业内认为，此次内核策略调整是 Windows 安全现代化的关键一步，可显著缩小攻击面，降低恶意驱动带来的系统风险，长期提升消费级与企业级设备的稳定性与安全性。目前符合条件的设备将从 4 月开始分批收到策略更新。