2026-05-05，Wiz CSPM 扫描发现 EMS 服务器存在 6 个 CVE，其中 CVE-2026-25185（Windows Shell Link Processing 欺骗漏洞）为操作系统层漏洞，需通过 Windows 累积更新修复。
KB5078752 包含 Secure Boot 证书续期更新。Windows Secure Boot 证书将于 2026年6月 到期。如不及时安装，设备可能无法正常启动。此补丁需优先安排。
Fortinet TAC 工程师唐子聪确认：KB5078752 与 EMS 7.2.14 无兼容性冲突，可直接安装，不影响 EMS 正常运行。
| 风险项 | 等级 | 说明 | 应对措施 |
|---|---|---|---|
| EMS 服务中断 | 中 | 重启期间 EMS 服务停止，终端无法通信 | 选择业务低峰窗口，重启前确认无大批量终端任务 |
| 补丁安装失败 | 低 | CBS 组件损坏或磁盘空间不足 | 提前检查磁盘空间 ≥5GB，确认无其他安装任务 |
| EMS 启动异常 | 低 | 补丁与 EMS 组件冲突（TAC 已排除） | 卸载补丁 → 或 trigger 云平台同事做阿里云快照恢复 + 联系 TAC |
| SQL Server 异常 | 低 | 系统更新后 SQL 服务未自动启动 | 卸载补丁重启；如不行 trigger 云平台同事做快照恢复 |
C:\Users\Administrator\Desktop\9dce98bd2132ac8dcf4ae644ff36ec1ac7a734.msu（799MB）winver → OS Build 17763.xxxx| 检查项 | 记录命令 | 当前值 |
|---|---|---|
| OS 版本 | winver / systeminfo | findstr Build | 10.0.17763.8389 |
| 已安装补丁 | dism /online /get-packages | findstr KB | （变更当天填写） |
建议选择 工作日晚间 22:00–次日 02:00 或 周末，避开终端活跃时段。预计总耗时 30–60 分钟。
双击桌面上的 9dce98bd2132ac8dcf4ae644ff36ec1ac7a734.msu 文件（799MB），按 Windows Update Standalone Installer 向导完成安装：
文件路径：C:\Users\Administrator\Desktop\9dce98bd2132ac8dcf4ae644ff36ec1ac7a734.msu
验证补丁已成功安装：
应看到状态为 Installed。如果看不到，检查日志：
带 60 秒倒计时的重启命令（给其他管理员缓冲时间）：
如需取消重启：shutdown /a
通过 RDP 或控制台等待系统重启完成。预计 3–8 分钟。
应显示 OS Build 17763.8511
浏览器打开 EMS 管理页面，确认能正常登录、页面加载正常。检查设备连接状态，确认 Fabric 连接正常。抽查 2–3 台终端的 FortiClient 连接状态，确认能正常注册到 EMS。
检查是否有异常关机、蓝屏或严重错误事件。
以上 3 项全部通过后，在变更记录中签核完成。如有任何一项异常，立即执行回退方案。
重启后出现以下任一情况，立即执行回退：
通过 DISM 直接卸载 KB5078752，无需其他团队协助：
卸载后重启服务器：
⚠️ 此方案仅在补丁安装后、重启前执行更安全。如果重启后才发现问题，Secure Boot 证书更新可能已生效，此时优先尝试方案二。
如果卸载补丁无法解决问题，需要通过阿里云快照恢复整个服务器。
EMS 服务器托管在阿里云，网络组账号无快照恢复权限。需要 trigger 云平台/运维组同事协助操作：
恢复后确认 EMS 服务正常、终端可连接。
确认系统版本回到变更前，EMS Web GUI 可正常访问，终端可连接。在变更记录中标注回退原因。
wusa.exe 安装补丁（~5-15 min）预计总耗时：30–60 分钟（含验证）。如需回退，额外 15–30 分钟。
| 补丁下载 | KB5078752 — Microsoft Support |
| FortiCare Case | #11794617 (P4) |
| TAC 工程师 | 唐子聪 (Aaron Tang) — tanga@fortinet.com |
| EMS 序列号 | FCTEMS8823004700 |
| FortiGuard PSIRT | https://fortiguard.fortinet.com/psirt |