错误代码0x800b0109表明证书链终止于不受信任的根CA，需校准系统时间、安装KB4474419根证书更新、手动导入Microsoft Root Certificate Authority 2011、重置Windows更新组件并运行sfc与DISM修复系统完整性。

如果您在安装安全补丁时收到错误代码 0x800b0109，这表明系统在验证补丁数字签名时失败，具体原因为证书链已处理完成，但终止于一个不受信任的根证书颁发机构。以下是解决此问题的步骤：

一、校准系统日期与时间

不准确的系统时间会导致证书有效期验证失败，因所有数字签名均依赖时间戳进行合法性判定。Windows 将拒绝接受时间范围外的证书，从而触发 0x800b0109 错误。

1、右键单击任务栏右下角的时间显示，选择“调整日期/时间”。

2、确保“自动设置时间”和“自动设置时区”处于开启状态。

3、若为手动模式，请核对年、月、日、小时、分钟是否与网络标准时间一致，误差不得超过 5分钟。

二、安装 Microsoft 根证书更新

Windows Server 2008 R2、Windows 7 等旧系统默认未内置 Microsoft Root Certificate Authority 2011 及后续 SHA-2 根证书，而 KB5006749 等现代补丁必须经该证书链签名验证。

1、访问 Microsoft Update Catalog，搜索并下载 KB4474419（适用于 Windows 7/Server 2008 R2 的 SHA-2 支持更新）。

2、双击运行下载的 .msu 文件，按向导完成安装。

3、重启系统后，再尝试安装目标安全补丁。

三、手动导入 Microsoft Root Certificate Authority 2011

当系统缺失关键根证书且无法通过常规更新获取时，可直接导入受信任的根证书文件，强制建立签名信任链。

1、从可信来源获取 MicrosoftRootCertificateAuthority2011.cer 文件。

2、双击该文件，打开证书对话框，点击“安装证书…”。

3、在证书导入向导中，选择“本地计算机”，点击“下一步”。

4、选择“将所有的证书放入下列存储”，点击“浏览…”，选中 受信任的根证书颁发机构，确认后继续。

5、完成导入后，在“安全性警告”弹窗中点击“是”。

四、重置 Windows 更新组件并清理缓存

损坏或过期的 Windows 更新临时文件可能携带无效签名上下文，干扰新补丁的证书链重建过程。

1、以管理员身份运行命令提示符。

2、依次执行以下命令（每条命令回车后等待执行完毕）：
net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver

3、执行重命名操作：
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old

4、重新启动服务：
net start wuauserv
net start cryptSvc
net start bits
net start msiserver

五、运行系统完整性修复工具

系统文件损坏可能导致 certutil、crypt32.dll 或信任提供程序模块异常，进而无法正确解析证书链路径。

1、以管理员身份运行命令提示符。

2、输入并执行：sfc /scannow，等待扫描与修复完成。

3、执行：DISM /Online /Cleanup-Image /RestoreHealth，确保映像级组件完整可信。

4、两次命令均成功完成后，重启操作系统。