Microsoft heeft op 26 oktober 2026 de niet-beveiligingsupdate KB5134133 uitgebracht voor Windows 11 24H2, 25H2 en 26H2. De update levert een bijgewerkte set vertrouwde rootcertificaten aan pc's die deze niet via de gewone weg kunnen ontvangen. Voor de meeste gebruikers is dit alleen ter informatie, maar voor beheerders van afgesloten netwerken is het een belangrijke aanvulling.
Wat is KB5134133?
KB5134133 is een zogeheten out-of-band update: een losse release buiten de maandelijkse Patch Tuesday om. Het pakket bevat een nieuwe lading met vertrouwde rootcertificaten (de certificate trust list, afgekort CTL). Daarnaast bevat het de cumulatieve update van 13 oktober 2026 (KB5127648), de servicing stack-update KB5127647 en AI-componenten met versie 1.2608.951.0.
Voor wie is deze update bedoeld?
Windows werkt de lijst met vertrouwde certificaten normaal gesproken automatisch bij. Dat lukt niet altijd. De update is bedoeld voor:
- pc's die volledig offline of in een afgeschermd (air-gapped) netwerk draaien;
- apparaten die de certificaatupdateservice van Microsoft niet kunnen bereiken;
- apparaten waarop automatische CTL-updates bewust zijn uitgeschakeld.
Pc's die gewoon via Windows Update worden bijgewerkt, hoeven niets te doen. Windows Update toont de update voor hen dan ook als niet beschikbaar.
Buildnummers en voorwaarden
Na installatie krijgt Windows 11 24H2 buildnummer 26100.9725, versie 25H2 26200.9725 en versie 26H2 26300.9725. Voor 24H2 en 25H2 moet minimaal de update van 10 juni 2025 (bijvoorbeeld KB5060842) aanwezig zijn, plus de nieuwste servicing stack-update. Apparaten die lang offline zijn geweest, hebben mogelijk eerst eerdere cumulatieve updates nodig. Microsoft meldde op dezelfde dag ook losse updates voor andere versies, namelijk KB5134134 (26H1) en KB5134130 (23H2).
Zo installeer je de update
De update is alleen te downloaden via de Microsoft Update Catalog. Kies het pakket dat past bij de Windows-versie en de architectuur (x64 of Arm64) en installeer het via DISM of de PowerShell-opdracht Add-WindowsPackage in een verhoogde prompt. Start daarna opnieuw op en controleer het buildnummer.
Gebruik je de update om installatiemedia of een Windows-image bij te werken, neem dan het bestand boot.stl mee. Zonder dit bestand kunnen pc's mogelijk niet opstarten vanaf het medium en verschijnt foutcode 0xc0430001.
Bekende problemen
Microsoft noemt bij de update drie bekende problemen:
- Smart App Control: op apparaten waar deze functie uit stond, kan de optie om hem aan te zetten grijs blijven. Er is een tijdelijke oplossing via het register of via Feature Preview-groepsbeleid; een definitieve fix volgt.
- Extern bureaublad (foutcode 0xC000000D): gebruikers zonder beheerdersrechten kunnen mogelijk niet verbinden met hosts waarop Administrator protection actief is. Dat is standaard het geval in de beveiligingsbaselines van 24H2, 25H2 en 26H2. De beschikbare tijdelijke oplossing verlaagt wel een beveiligingsinstelling.
- USB Audio Class 1.0-apparaten: na eerdere updates kunnen sommige apparaten nog klachten geven. Een deel van de symptomen is eerder verholpen via KB5129195.
Wat raden wij aan?
Controleer eerst welke apparaten in jouw omgeving niet automatisch certificaatupdates ontvangen. Test de update daarna op een kleine groep pc's waarop ook een Extern bureaublad-host, een USB-audiogebruiker en een apparaat met Smart App Control zitten. Leg vooraf vast hoe je met de bekende problemen omgaat en noteer het buildnummer per apparaat. Heb je geen geïsoleerde systemen, dan is er niets te doen.
Wat kun je hieruit meenemen?
KB5134133 is geen gewone update, maar een hulpmiddel voor pc's die buiten het normale updatekanaal vallen. Zo blijft de lijst met vertrouwde certificaten ook op offline Windows 11-systemen actueel.
Voor gewone gebruikers verandert er niets. Beheerders van afgesloten of strak beperkte netwerken doen er verstandig aan de update gecontroleerd uit te rollen, met aandacht voor de drie bekende problemen en voor het bestand boot.stl bij installatiemedia.
