微软面向商业和企业版 Windows 10 设备的扩展安全更新（ESU）第一年计划已于 2026 年 10 月 13 日正式结束。这意味着，未续订第二年服务或未完成系统迁移的组织，将彻底失去来自微软的安全补丁支持。
对于错过续订窗口的企业而言，安全风险已从理论预警转为现实威胁。据安全资产追踪公司 Lansweeper 2026 年 7 月发布的数据，平均每台 Windows 10 设备存在 1,903 个活跃通用漏洞（CVE），是 Windows 11 设备（652 个）的 2.9 倍。其中三分之二被评定为高危或严重级别，且 2.4% 的漏洞已在野外被主动利用。由于缺乏补丁，这些非 ESU 覆盖下的机器正成为攻击者的主要目标。
ESU 机制与成本结构
随着 Windows 10 于 2025 年 10 月 14 日结束主流支持，微软推出了付费的 ESU 计划以延续关键安全补丁。该计划采用累积式顺序购买模式，且成本逐年翻倍：
- 第一年（2025.10-2026.10.13）：每台设备 61 美元（已过期）；
- 第二年（至 2027.10.12）：每台设备 122 美元；
- 第三年（至 2028.10.10）：每台设备 244 美元。
微软明确强调，ESU 仅提供“关键”或“重要”级别的安全修复，不包含新功能、非安全修复或技术支持，且严禁跳年购买——未购买第一年的组织无法直接购买后续年份。
“补丁差异”加剧安全隐患
未打补丁的 Windows 10 设备风险随每月“补丁星期二”递增。攻击者利用“补丁差异分析”技术，逆向工程 Windows 11 的月度安全更新，定位 Windows 10 中相同的底层代码缺陷。由于旧系统不再获得修复，这些缺陷成为永久性的可利用入口。这一机制与此前 Windows XP 停服后的情况类似，前 Gartner 分析师 Brad LaPorte 警告称，未修补设备正成为勒索软件和零日漏洞攻击的脆弱目标。
受冲击最严重的行业包括医疗保健（23% 设备仍运行 Win10）、消费品零售（22.7%）及制造业（18%），这些领域的合规风险显著上升。
升级障碍被高估：仅 2.8% 设备硬件不兼容
尽管 StatCounter 数据显示全球约 28% 的桌面 Windows PC 仍运行 Windows 10，但硬件兼容性并非主要阻碍。Lansweeper 对 2026 年年中企业设备的分析显示，仅有 2.8% 的 Windows 10 机器不符合 Windows 11 硬件要求。惠普 CFO Karen Parkhill 也在财报电话会议上证实，惠普约 30% 的安装基础仍在使用 Windows 10，这更多是组织层面的迁移滞后，而非技术瓶颈。
常被提及的 TPM 2.0 要求可通过 BIOS/UEFI 设置启用（如英特尔 PTT 或 AMD fTPM），无需更换硬件。微软坚持 TPM 2.0 是因为其安全架构（如 BitLocker、Windows Hello）依赖硬件信任根。
消费者与企业政策分化
值得注意的是，消费者与商业用户的截止日期并不相同。微软于 2026 年 6 月悄悄更新政策，将个人用户的 ESU 计划延长至 2027 年 10 月 12 日。已注册用户自动获得延期，费用为每年 30 美元，或通过 OneDrive 备份、Microsoft 奖励积分免费获取。欧洲经济区（EEA）用户则可享受免费注册。
相比之下，商业用户若未在 2026 年 10 月 13 日前续订第二年 ESU（122 美元/台），其设备将立即暴露在无补丁风险中。Windows 10 LTSC 版本不受此影响，其支持结束日期介于 2026 年 10 月至 2029 年 1 月之间。
应对建议
面对商业 ESU 第一年到期，企业可采取以下措施：
- 续订 ESU：通过批量许可或云解决方案提供商购买第二年服务（122 美元/台），有效期至 2027 年 10 月。
- 升级 Windows 11：鉴于绝大多数设备硬件兼容，可通过“设置”或 PC 健康检查应用免费升级。
- 云化替代：考虑 Windows 365 或 Azure Virtual Desktop，后者用户可免费获得 ESU。
- 隔离高风险设备：对无法升级的遗留系统进行网络隔离，禁止其处理敏感数据或访问内网。
- 转向其他系统：评估 Linux 发行版或采购新硬件。
Windows 10 的退役标志着个人计算机历史上规模最大的软件生命周期事件之一。尽管消费者宽限期延长至 2027 年，但未打补丁系统的漏洞风险仍在持续扩大。对于企业和用户而言，迁移的成本与速度已成为必须正视的安全议题。
常见问题解答
商业截止日是否影响家庭用户？
不影响。商业 ESU 第一年于 2026 年 10 月 13 日结束，但消费者 ESU 已延长至 2027 年 10 月 12 日。家庭用户可通过 Microsoft 账户注册，享受每年 30 美元或免费的更新服务。
无 ESU 保护的 Windows 10 有多危险？
风险极高。数据显示其活跃漏洞数量是 Windows 11 的 2.9 倍，且攻击者可通过逆向工程 Win11 补丁来利用 Win10 的未修复缺陷，风险随每月更新发布而加剧。
现在还能注册 ESU 吗？费用多少？
商业用户可购买第二年 ESU（122 美元/台），前提是已购买第一年。个人用户可注册至 2027 年 10 月，费用为 30 美元/年，或通过特定方式免费获取。
提示“不支持 Windows 11”是否需换新机？
通常不需要。仅 2.8% 的企业设备真正硬件不兼容。多数情况下，只需在 BIOS 中启用 TPM 2.0（英特尔 PTT 或 AMD fTPM）即可满足升级要求。