最稳妥方式是通过Windows Update自动安装最新累积更新，系统自动匹配版本、架构和依赖；其次可用设置应用检查安装，或从Microsoft更新目录手动下载，还可通过DISM命令离线集成。
直接通过 Windows Update 安装最新累积更新是最稳妥的方式，系统会自动匹配版本、架构和依赖关系，避免手动操作出错。
用设置应用检查并安装累积更新
这是最常用也最推荐的方法，适用于日常维护和紧急安全补丁部署。
- 按 Win + I 打开“设置”，进入“Windows 更新”
- 点击“检查更新”，系统会联网扫描可用更新
- 若存在标为“重要”或“安全”的累积更新（如 KB5067931），会自动列出；勾选后点击“下载并安装”
- 安装完成后提示重启，务必执行——部分补丁需重启才能生效
从 Microsoft 更新目录手动下载安装
当自动更新失败、网络受限，或需为离线设备部署时，可直接获取微软签名的独立补丁包。
- 访问 Microsoft Update Catalog
- 搜索最新累积更新编号（例如当前 Win11 25H2 对应的 KB5067931）
- 确认系统版本（Windows 11 25H2）、架构（x64/ARM64）和语言，点击“下载”
- 下载后右键 .msu 文件 → “以管理员身份运行”，按向导完成安装
用 DISM 命令离线集成或强制安装
适合 IT 管理员批量处理镜像，或在系统服务异常无法启动 Windows Update 时应急使用。
- 以管理员身份打开 PowerShell 或命令提示符
- 安装本地 .msu 补丁：
dism /online /add-package /packagepath:"D:\KB5067931.msu" - 若为 .cab 格式补丁（常见于 Server 或 LTSC 版本），命令相同，仅路径指向 .cab 文件
- 执行完毕后运行
sfc /scannow验证系统文件完整性
更新前后的关键注意事项
确保补丁真正落地生效，不只是“已下载”或“已安装”。
- 安装后再次进入“Windows 更新”页面，确认提示“你的设备已是最新版本”
- 检查更新历史：设置 → Windows 更新 → 更新历史记录，核实目标 KB 编号是否显示“已安装”
- 累积更新通常包含此前所有安全与可靠性修复，无需重复安装旧编号补丁
- 若反复提示“缺少重要安全更新”，建议先运行 Windows 更新疑难解答，再重置更新组件（停止 wuauserv 等服务 + 清空 SoftwareDistribution 文件夹）
