微软确认：Windows 10/Server 12月更新致MSMQ失效，两种修复方式实测有效

上个星期发布的12月“补丁星期二”，不少企业IT管理员就陷入了困境——微软为Windows 10推送的2025年12月扩展安全更新（KB5071546），意外导致关键组件MSMQ（消息队列）全面失效。目前微软已正式确认该问题，且受影响范围还波及多款Windows Server服务器系统。

谁会受影响？普通用户可安心，企业用户需警惕

首先明确范围：此次故障几乎不影响个人消费者。MSMQ作为微软开发的“程序间通信工具”，核心作用是让应用程序将任务（消息）暂存到队列中，等待后续处理或跨设备传输，相当于程序间的“电子邮箱”。这类组件主要用于企业后台系统，比如电商订单处理、物流信息同步、财务数据批量运算等场景，普通家用电脑通常不会安装或启用。

但对企业用户而言，影响堪称“致命”：依赖MSMQ的后台任务会直接中断，进而导致主应用程序或网站瘫痪。最典型的症状包括：

• IIS（互联网信息服务）托管的网站崩溃，返回“500错误”；
• 系统弹出错误提示：System.Messaging.MessageQueueException: 资源不足，无法执行操作。；
• MSMQ队列直接显示“非活动”状态，无法接收或发送消息；
• 系统日志误报“磁盘空间或内存不足”，但实际硬件资源充足。重点提示：除Windows 10 22H2（需ESU许可）的KB5071546外，Windows Server 2019的KB5071544、Windows Server 2016的KB5071543等同期更新，也出现了完全相同的MSMQ故障。仅Windows Server 2022经测试未受影响。

故障根源：安全权限调整“误伤”核心组件

经过微软技术社区和第三方机构排查，故障根源已明确——更新补丁修改了MSMQ的安全模型和存储文件夹权限，且这种修改并非预期设计。

MSMQ的核心数据存储在C:\Windows\System32\MSMQ\storage路径下，更新前该文件夹默认仅对管理员开放写入权限，但企业实际部署中，MSMQ通常由IIS应用程序池标识、LocalService或NetworkService等受限账户调用。此次KB5071546更新强制调整了该文件夹的NTFS安全描述符，从原来的“D:P”格式改为“D:PAI”格式，新增的“AI”（自动继承）标志导致原有权限失效。

简单说：更新后系统突然要求调用MSMQ的账户必须拥有storage文件夹的写入权限，但企业常用的服务账户根本没有这个权限，导致MSMQ无法创建或写入消息文件，直接“罢工”。更棘手的是，重启服务、重新安装MSMQ组件等常规修复手段都无法解决问题。

值得注意的是，此次出问题的KB5071546并非普通更新——它是Windows 10退出主流支持后，面向企业用户的扩展安全更新（ESU），核心目的是修复包括3个“零日漏洞”在内的57个安全隐患，其中就有可通过恶意脚本执行远程代码的PowerShell高危漏洞。这也让后续的故障处理陷入“安全与功能”的两难。

紧急应对：两种方案可选，各有风险需权衡

目前微软仍在紧急调查，尚未发布官方修复补丁，但受影响企业可通过以下两种方式临时解决问题，需根据自身情况权衡风险：

方案一：卸载更新（快速恢复，有安全风险）

这是目前验证有效的快速恢复方式，操作步骤如下：

1. 打开系统“设置”，依次进入“更新和安全”→“Windows更新”→“更新历史记录”；
2. 点击页面顶部的“卸载更新”，跳转至控制面板的更新管理界面；
3. 在列表中找到对应KB编号（Windows 10为KB5071546，Server 2019为KB5071544等），选中后点击“卸载”；
4. 重启电脑，MSMQ服务即可恢复正常。风险提示：KB5071546包含多个高危漏洞修复，卸载后系统会暴露在远程代码执行、数据泄露等风险中。建议卸载后立即暂停更新（在Windows更新设置中开启“暂停更新7天”），并密切关注微软官方修复公告。

方案二：手动调整权限（维持安全，需专业操作）

若企业无法接受系统暴露在安全风险中，可尝试手动为服务账户添加存储文件夹权限（需IT管理员操作，非专业人员不建议尝试）：

1. 打开文件资源管理器，定位到C:\Windows\System32\MSMQ\storage文件夹，右键选择“属性”；
2. 切换至“安全”选项卡，点击“编辑”→“添加”，输入需要授权的账户（如IIS_IUSRS、LocalService等）；
3. 为添加的账户勾选“写入”和“修改”权限，点击“确定”保存；
4. 重启MSMQ服务（在“服务”控制台中找到“Message Queuing”，右键“重启”）。

需注意：微软官方不建议随意放宽该文件夹权限，可能引发未授权访问风险。且有用户反馈，手动设置的权限可能会被系统自动还原，需定期检查。

最新进展：微软确认调查，修复何时到来？

截至12月16日，微软已在官方支持文档和技术社区中正式确认该问题，明确“安装相关更新后，用户可能遇到MSMQ功能问题，集群MSMQ环境在高负载下受影响更严重”。但尚未公布具体修复时间表，仅表示“正在紧急调查，将在有解决方案后同步”。

从以往案例来看，微软针对企业级关键故障的修复周期通常为1-2周，建议受影响企业：

• 未安装KB5071546等相关更新的企业，暂时暂停部署，等待官方修复公告；
• 已受影响的企业，根据业务优先级选择恢复方案——核心业务中断优先卸载更新，高安全需求场景尝试权限调整；
• 关注微软“Windows发布健康仪表板”和官方技术社区，获取实时修复进展。

Windows 10已进入扩展安全支持阶段，本应仅推送安全补丁而不做功能变更，却因权限调整“误伤”旧组件。这也提醒企业IT团队，在部署关键更新前，务必在测试环境中验证兼容性。