微软 11 月系统更新收紧 PowerShell 脚本签名校验，无效 UTF-8 脚本会校验失败

微软在 11 月 Windows 月例安全更新里强化了 PowerShell 脚本签名校验规则，核心改动是增加更严格的编码合法性检查，很多之前正常签名、能顺利运行的 PowerShell 脚本，只要里面包含损坏、不规范的 UTF-8 字符，更新后就会判定签名无效，系统直接标记成未签名脚本无法执行。过去 Windows 遇到这类畸形 UTF-8 内容，会用替代字符兼容解码，放过这类脚本的签名校验；本次安全加固直接取消这种兼容逻辑，只要 UTF-8 编码存在错误，哪怕数字签名本身没问题，校验流程也会直接报错。这个更新覆盖 Windows11、Windows10 企业 LTSC 2021 以及 Windows Server 2025，企业运维、批量自动化脚本环境受影响最大，需要管理员提前排查脚本编码问题，按规范重新保存再签名，才能恢复正常运行。

本次更新核心改动

• 强化编码校验：签名、验签两个环节都会校验脚本文件 UTF-8 编码合法性，拒绝畸形 UTF-8 字节
• 现象变化：旧版可正常验签的脚本，更新后返回 NotSigned（未签名）状态，重新签名操作也会失败
• 对应补丁：KB5132061（Win11）、KB5131080（Windows Server2025）
• 底层逻辑：不会改变系统识别编码的规则，只是解码阶段不再自动替换非法字符来兼容文件

哪些 PowerShell 脚本容易中招

1. 无 BOM 标记、内含非法 UTF-8 字节的 ps1 脚本
2. 用 Shift-JIS 等其他编码保存，但系统误识别为 UTF-8 的脚本
3. 头部是纯 ASCII、主体包含损坏 UTF-8 数据的脚本
4. 跨平台迁移、复制粘贴生成，编码混乱的旧自动化脚本

修复处理步骤

1. 扫描：使用微软配套工具批量扫描，定位存在编码异常的 PowerShell 脚本
2. 转码：将脚本另存为带 BOM 的标准 UTF-8 编码，清理里面无效字节
3. 重签：使用代码签名证书，对修复编码后的脚本重新执行签名
4. 测试：在安装 11 月更新的测试机上验证签名校验、脚本运行是否正常
5. 批量部署：确认无问题后，再分发到生产服务器、终端设备

受影响系统清单

【常见问题】

问题 1：微软 11 月更新加强 PowerShell 脚本签名校验，更新后脚本提示 NotSigned，是不是签名证书失效了？

回答 1：微软 11 月更新加强 PowerShell 脚本签名校验，出现 NotSigned 大多不是证书过期失效，是脚本内部存在畸形 UTF-8 编码；证书本身完好的情况下，修复脚本编码并重新签名，就能通过 PowerShell 脚本签名校验。

问题 2：微软 11 月更新加强 PowerShell 脚本签名校验，个人普通电脑会遇到 PowerShell 脚本签名校验报错吗？

回答 2：微软 11 月更新加强 PowerShell 脚本签名校验，普通家用电脑很少碰到这个问题，该变更主要影响企业、运维人员使用带数字签名的 PowerShell 自动化脚本；个人一般使用无签名脚本，默认执行策略下不会触发该严格校验逻辑。

问题 3：微软 11 月更新加强 PowerShell 脚本签名校验，能不能直接卸载补丁来绕过 PowerShell 脚本签名校验的新规则？

回答 3：微软 11 月更新加强 PowerShell 脚本签名校验，虽然可以卸载对应 KB 补丁临时恢复旧校验逻辑，但不建议这么操作，会丢失其他重要安全补丁；推荐优先修复脚本编码，从根源上满足 PowerShell 脚本签名校验新标准。

【参考资料】

[2026-11-13]（微软 11 月 Win11 更新收紧 PowerShell 安全检查，不规范脚本将失灵）IT 之家

[2026-11-11]（KB5132061 PowerShell Signature Error – Fix）Howtoconnect

[2026-11-10]（Encoding Guidance for Signed PowerShell Scripts）Microsoft Support

[2026-11-10]（November 10, 2026—KB5131080 (OS Build 26100.33822)）Microsoft Support

【免责声明】

本文内容仅为微软 11 月更新 PowerShell 脚本签名校验相关资讯整理，系统补丁实际影响范围、报错现象随系统版本、脚本编码、执行策略存在差异；运维上线前务必在测试环境验证，本文不构成生产环境变更实施建议。