微软在 11 月补丁星期二推送的 Win11 累积更新（KB5132061 等），升级了 PowerShell 脚本签名验证规则，重点强化 UTF-8 编码合法性检查，之前系统会自动替换无效字符、放行的签名脚本，新版本会直接拒绝，就算脚本本身带数字签名，也会被判定为未签名、无法正常执行，这个改动目的是防止攻击者利用编码漏洞篡改签名脚本，提升企业自动化运维的安全基线，运维人员遇到批量脚本报错，优先排查编码问题，按照微软官方方案修复编码、重新签名，就能恢复运行。
一、本次更新核心变更清单
| 项目 | 详情 |
|---|---|
| 对应补丁 | KB5132061、KB5132059、KB5131087（覆盖 Win11 23H2/24H2/25H2/26H1/26H2） |
| 改动对象 | PowerShell 脚本签名验证流程 |
| 核心变化 | 新增严格 UTF-8 编码校验，不再静默兼容畸形、非法 UTF-8 字节 |
| 受影响脚本特征 | 存在无效 UTF-8 序列、无 BOM 标记、ANSI/GBK 保存后冒充 UTF-8 的已签名 ps1 脚本 |
| 报错现象 | Get-AuthenticodeSignature 返回 NotSigned；Set-AuthenticodeSignature 签名失败；自动化任务中断 |
| 波及系统 | Win11 全版本、Win10 企业 LTSC2021、Windows Server 2025 |
二、快速判断脚本是否中招的步骤
- 打开 PowerShell，执行 Get-AuthenticodeSignature "脚本路径\test.ps1" 查看签名状态。
- 如果脚本原本正常签名，更新后状态变成 NotSigned，基本就是编码校验不通过。
- 用记事本打开脚本，查看编码；如果是 UTF-8 但不带 BOM，或者是 GB2312、ANSI 编码，大概率触发拦截。
- 尝试重新签名，若提示签名验证失败，确认属于本次安全更新带来的编码校验问题。
三、修复脚本的两种方案
方案 1：手动修复（少量脚本）
- 用记事本或者 VS Code 打开脚本，另存为
- 检查脚本内容，清理里面无法解析的非法 UTF-8 字符。
- 重新执行 Set-AuthenticodeSignature，给脚本加上数字签名，再测试运行。
【UTF-8（带 BOM）】编码。
方案 2：微软官方修复工具（批量运维场景）
- 下载微软提供的 PowerShell 编码修复 SIP 工具。
- 批量扫描脚本目录，识别编码异常文件。
- 工具自动尝试修复编码，保留原有签名，不会覆盖原始脚本，生成修复副本。
- 校验修复后的脚本签名状态，替换生产环境脚本。
四、容易踩坑的注意事项
- 不是所有 PowerShell 脚本都会受影响：没有开启签名验证策略、不依赖 Authenticode 签名校验的脚本，不受这条编码规则限制。
- 执行策略（Restricted/RemoteSigned）和本次编码校验是两套独立机制，本次更新没有修改 Set-ExecutionPolicy 默认策略。
- 旧的 GBK、中文 ANSI 脚本，就算之前能正常签名，更新后也会校验失败，建议统一规范为 UTF-8 with BOM。
- 企业用 App Control（WDAC）管控脚本的环境，编码异常脚本会直接被安全策略拦截。
【相关 FAQ】
问题 1：Win11 11 月更新收紧 PowerShell 安全检查，是不是所有 PowerShell 脚本都不能跑了？
回答 1：不是全部 PowerShell 脚本都会失效，Win11 11 月更新新增的是签名脚本的 UTF-8 编码校验；未签名脚本、系统执行策略没有强制签名校验的环境，不受这个安全检查改动影响，只有带签名、存在畸形 UTF-8 编码的脚本才会失灵。
问题 2：Win11 11 月更新后 PowerShell 签名脚本提示 NotSigned，怎么快速修复编码问题？
回答 2：Win11 11 月更新带来的 PowerShell 编码校验报错，优先把脚本另存为带 BOM 的标准 UTF-8 编码，清理非法字符后重新签名；脚本数量多可以使用微软官方 SIP 修复工具批量扫描修复，工具会保留原有签名，不覆盖原文件。
问题 3：这次收紧 PowerShell 安全检查，会改变 PowerShell 默认的执行策略吗？
回答 3：不会，Win11 11 月更新收紧的是 PowerShell 脚本签名时的编码验证逻辑，没有改动 PowerShell 执行策略，Set-ExecutionPolicy 的规则、默认 Restricted 策略保持不变，二者是独立的安全机制。
【参考资料】
[2026-11-12]（微软 11 月 Win11 更新收紧 PowerShell 安全检查，不规范脚本将失灵）IT 之家
[2026-11-12]（Microsoft Warns Windows 11 KB5132061 Update Could Break Older PowerShell Scripts）Windows Report
[2026-11-10]（KB5132061 2026-11-10 Windows 11 安全更新说明）微软支持中心
[2026-11-10]（Encoding Guidance for Signed PowerShell Scripts KB5135999）微软官方文档
[2026-11-10]（KB5132059 Win11 26H1 11 月累积更新）微软支持中心
【免责声明】
本文仅整理 Win11 11 月更新 PowerShell 安全校验变更资讯，不构成企业生产环境变更方案；脚本修复、数字签名、WDAC 策略调整存在业务中断风险，上线前务必在测试环境验证；补丁生效范围、校验细节以微软官方知识库和更新文档为准，不同系统版本、组策略配置下表现会有差异。
本文来自作者[Wynne50]投稿，不代表海博商机网立场，如若转载，请注明出处：https://www.hb12369.net/qyzx/202611/870.html
评论列表（4条）
我是海博商机网的签约作者“Wynne50”！
希望本篇文章《Win11 11 月更新收紧 PowerShell 安全校验，不规范编码脚本失效处理指南》能对你有所帮助！
本站[海博商机网]内容主要涵盖：互联网行业的追踪与探索
本文概览：微软在 11 月补丁星期二推送的 Win11 累积更新（KB5132061 等），升级了 PowerShell 脚本签名验证规则，重点强化 UTF-8 编码合法性检查，之前系统会自动替换无效字符、放行的签名脚本，新版本会直接拒绝，就算脚本本身带数字签名，也会被判定为未签名、无法正常执行，这个改动目的是防止攻击者利用编码漏洞篡改签名脚本，提升企业自动化运维的安全基线，运维人员遇到批量脚本报错，优先排查编码问题，按照微软官方方案修复编码、重新签名，就能恢复运行。