微软正为 Windows 11 筹备一项名为“管理员保护”的安全机制，该功能计划随 26H2 版本在今年晚些时候向普通用户推出。

微软最初于 2024 年底开始测试“管理员保护”功能，并在 Insider Preview 预览版中进行了推送，但后来在 25H2 版本中移除了该功能。当时，Google Project Zero 安全团队也指出了其中的一些漏洞。

现在，随着可选的 2026 年 8 月预览更新 KB5120998 的推送，微软开始重新引入这一功能。最新的 Release Preview 版本 KB5124006（即 Build 28000.3079）再次加入了该功能。

微软表示，管理员保护是一项原生安全功能，允许非特权用户在需要时即时获取管理员权限。传统的权限提升攻击一旦被普通用户利用，可能带来严重风险，而该功能要求请求者必须通过 Windows Hello 进行身份验证。

该机制之所以被称为“即时”，是因为 Windows 在认证成功后，会利用一个隐藏的、由系统生成的、配置文件分离的账户来创建隔离的管理员 Token，并将其提供给请求进程；进程结束后，该 Token 会立即销毁。这也意味着，如果一个应用持续需要提升权限，它可能无法按预期正常运行。

微软认为，这种安全模型在保证安全性的同时提供了灵活的用户控制，使原本无特权的用户能够在必要时允许受信任的应用以提升状态运行，同时也减轻了 IT 管理员手动配置特权的工作负担。

需要注意的是，在最近的版本中，管理员保护仍默认禁用，需通过自定义 OMA-URI 手动启用。预览方法包括 Intune 设置目录和 Windows 设置，标准方法则是 CSP 和组策略对象。

微软还强调，管理员保护并非“正式安全边界”，而是通过配置文件分离来强化安全基础设施，抵御权限提升漏洞的利用。

以下为微软官方更新公告：

逐步推出

• [任务栏] 此更新提供了更多自定义任务栏的方式，使其与你的工作方式相匹配，并且可以更好地利用屏幕空间。
  • 新功能！ 现在可以选择任务栏是显示在屏幕底部、顶部、左侧还是右侧。在这些其他位置，工具提示、浮出控件和动画仍然来自任务栏，并且大多数自定义设置（例如从不合并任务栏图标）适用于所有位置。搜索框和较小的任务栏目前仅支持顶部和底部位置。若要更改任务栏的位置，请转到“设置 > 个性化 > 任务栏 > 任务栏行为 > 任务栏位置”。
  • 新功能！ 现在提供了一个较小的任务栏选项来帮助最大化小型设备上的屏幕空间。此体验可减小任务栏图标的大小和任务栏高度，同时保持对“开始”、“搜索”和系统托盘等关键功能的访问。若要更改任务栏大小，请转到“设置 > 个性化 > 任务栏 > 任务栏行为 > 任务栏大小”。设置为“小”时，图标和任务栏高度都会变小。
  • 新功能！ 任务栏设置页面的任务栏行为部分现在默认展开，以提高可发现性。
  • 此更新提高了在非触摸电脑上加载任务栏的系统托盘区域时的可靠性。
• [开始菜单] 此更新通过多项自定义设置使“开始”菜单更加个性化。
  • 新功能！ 除了目前提供的自动（默认）选项外，还可以选择小型或大型“开始”菜单。若要自定义此设置，请转到“设置 > 个性化 > 开始 > 菜单大小”。
  • 新功能！ 在“开始”菜单和“开始”设置页面（设置 > 个性化 > 开始）上，“推荐”部分重命名为“最近”。
  • 新功能！ 现在，你可以在“开始”中隐藏姓名和个人资料图片，方法是转到“设置 > 个性化 > 开始菜单 > 在开始菜单上隐藏你的姓名和个人资料图片”。
  • 新功能！ 现在，使用分区级切换重新设计了“开始”菜单设置页面，可单独显示或隐藏“已固定”、“最近”和“全部”。
• [Windows 搜索] 此更新包含的改进使 Windows Search 更可靠、更易于扫描且在你选择结果之前更清晰。
  • 新功能！ 搜索主页进行了简化，以减少视觉混乱，并更轻松地快速返回到最近的搜索。
  • 新功能！ 搜索可以更好地显示结果的来源，例如应用、设置、文件、Web 结果或 Microsoft Store 建议。在选择结果之前，更容易判断正在查看的内容以及要转到的位置。
  • 新功能！ 通过“设置 > 隐私与安全 > 搜索”中的新设置，你可以选择 Web 和 Microsoft Store 建议是否与本地结果一起显示。
  • 新功能！ Windows 现在会自动为你最常用的文件夹编制索引，以便这些文件夹中的文件显示在后续搜索结果中。你可以在“设置 > 隐私与安全 > 搜索”中控制设置自动查找其他相关位置。
• [文件资源管理器]
  • 新功能！ 文件资源管理器主页现在启动速度更快，响应速度更快。
  • 新功能！ 主页上的“推荐”部分现在支持触摸滚动，可以更轻松地浏览轮播中的文件。
• [总体设计] 新功能！ 此更新引入了跨 Windows 更新的进度指示器，在启动、登录、重启、关机和更新安装期间提供更一致、更现代的体验。
• [Windows 共享] 新增功能！ 此更新使使用工作或学校帐户登录的用户能够直接从共享窗口发现和安装相关应用。若要管理此体验，请转到“设置 > 系统 > 共享”，然后选择“在共享界面中显示建议的应用”。
• [管理员保护] 新功能！ 管理员保护旨在保护管理员的自由浮动管理员权限。它使用户能够使用实时权限执行管理任务。管理员保护不归类为正式的安全边界。它通过引入配置文件分离来强化针对特权提升攻击的安全性。此功能默认处于关闭状态，并且可以使用 Microsoft Intune 中的 OMA-URI 或通过组策略启用。此功能先前于 2025 年 10 月（KB5067036）披露，现在开始推出。
• [多个桌面] 现在，虚拟桌面之间的切换更顺畅，响应速度更快。
• [显示和图形]
  • 此更新提高了导航到设置 > 系统 > 显示并与之交互时的可靠性。
  • 此更新提高了关闭节能器后先前亮度设置的持久性。
• [任务管理器] 此更新提高了在任务管理器中显示应用历史记录信息时的可靠性。
• [Windows 安装程序]
  • 此更新简化了在 Windows 安装期间选择辅助键盘的体验，以便在不需要辅助键盘时更容易跳过。
  • 此更新通过新的应用安装、网站固定和主题页面改进了“入门”应用，以帮助你个性化设备和发现新功能。
• [Windows 更新] 此更新改进了重启行为，因此手动进入睡眠状态的电脑在完成更新后会返回睡眠状态，即使自动睡眠设置为“从不”也是如此。
• [应用更新] 此更新增加了对参与应用的支持，以将其更新与 Windows 更新协调。受支持的应用可以从改进的计划和更简化的更新体验中受益。有关详细信息，请参阅 Windows 更新业务流程平台（UOP）。
• [Microsoft Store] 新功能！ 此更新为需要提升的打包 WinUI 3 应用中的应用内购买提供支持，帮助开发人员通过 Microsoft 的集成商务平台提供购买。
• [Windows Autopilot 设备准备] 新功能！ Windows Autopilot 设备准备的设备关联现已正式发布。此功能可帮助组织在注册之前识别受信任的设备，从而在开箱即用体验（OOBE）期间启用面向设备的策略、自动公司设备注册以及其他设置自定义。若要了解详细信息，请参阅 Windows Autopilot 设备准备。
• [Microsoft 执行容器] 新功能！ 此更新引入了 MXC（Microsoft 执行容器）的进程隔离，这是适用于编码代理和模型生成代码等响应式工作负载的快速、轻量级边界。它使用 Windows 操作系统遏制功能根据策略限制对文件、网络、用户界面和其他操作系统功能等资源的访问。
• [代理进程] 新功能！ 此更新引入了对标记代理进程的预览平台支持。授权组件可以将不透明的代理标识符分配给进程令牌。Windows 会保护标记，并自动将其传递给子进程。当代理进程通过 Web 帐户管理器（WAM）进行身份验证时，WAM 在身份验证请求中包含来自进程令牌的代理标识符。作为一项预览功能，标识符格式在将来的版本中可能会更改。
• [加密] 新功能！ 除了之前添加的混合组之外，后量子加密算法 ML-KEM 现在还可以用作 TLS 密钥交换的独立算法。
• [网络]
  • 此更新改进了可能导致进程停止响应的潜在 VPN 相关后台问题的复原能力和恢复能力。
  • 此更新改进了日语用户的命令输出 netsh wlan show wlanreport。
• [输入]
  • 此更新通过减少潜在的挂起来提高了使用日语 IME 键入的可靠性。
  • 此更新改进了自动标点符号和启动器的语音输入设置的持久性。
• [Windows 管理工具命令行（WMIC）] 从 2026 年 8 月开始，Windows 11 版本 24H2 和 25H2 不再包含 Windows Management Instrumentation 命令行（WMIC）实用工具。默认情况下，WMIC 已在 Windows 11 版本 24H2 和 25H2 的新安装中删除，并且不再作为按需功能（FoD）提供。此更改仅影响 WMIC 实用工具。Windows Management Instrumentation（WMI）仍受支持。若要了解详细信息，请参阅 Windows 管理工具命令行（从 Windows 中删除 WMIC）。