Windows 11 KB5127936: Cloud rebuild vervangt de usb-stick

Microsoft heeft KB5127936 uitgebracht, de optionele preview-update van oktober voor Windows 11 25H2 en 26H2. Apparaten komen daarmee op build 26200.9818 respectievelijk 26300.9818. Zoals altijd bij een preview-update: optioneel, zonder securityfixes, bedoeld om te testen voordat de wijzigingen volgende maand met Patch Tuesday breed uitgaan. Twee onderdelen zijn voor beheerders meer dan changelog-ruis. Alle details staan in het supportartikel van Microsoft.

Cloud rebuild: herstellen zonder stick

De grootste toevoeging is Cloud rebuild, een herstelmethode die Windows 11 opnieuw installeert met een image én drivers die rechtstreeks van Windows Update komen. Er is geen usb-stick en geen eigen image nodig. Belangrijker nog: het werkt ook als Windows zelf niet meer wil starten.

Je start het via Instellingen > Systeem > Systeemherstel, met de optie Rebuild PC. Start Windows niet meer, dan komt het apparaat na herhaalde mislukte boots automatisch in WinRE, waar de route loopt via Problemen oplossen > Recovery and uninstall > Cloud rebuild. Een netwerkverbinding via ethernet of wifi is verplicht.

Voor beheer op afstand is er de Recovery CSP: daarmee kan een beheerder Cloud rebuild op afstand configureren en starten, met de huidige build of met een opgegeven doelbuild. Dat scheelt een rit naar een locatie voor een machine die niet meer opstart.

In hetzelfde straatje: WinRE hergebruikt nu automatisch wifi-profielen die al in Windows staan, inclusief ondersteunde certificaatgebaseerde netwerken. Daardoor komt een apparaat tijdens herstel zelf online zonder dat je wifi-gegevens vooraf in WinRE hebt gezet. Dit staat standaard aan en is door beheerders uit te zetten.

Verder ondersteunt Windows nu IPv6 CLAT op wifi- en ethernetadapters: 464XLAT aan de clientkant, zodat applicaties die alleen IPv4 spreken toch IPv4-diensten kunnen bereiken vanaf een IPv6-only netwerk.

De valkuil: boot.stl in je installatiemedia

Hier zit het detail dat pijn kan doen. Rol je dynamic updates zoals deze uit naar een bestaand Windows-image, dan moet het bestand boot.stl onderdeel zijn van de installatiemedia. Ontbreekt het, dan kunnen apparaten niet meer van die media starten, met foutcode 0xc0430001.

Dat bestand wordt gebruikt bij Secure Boot-validatie en moet matchen met de Windows-versie en architectuur van het image dat je bijwerkt. Microsoft raadt aan het Update WinPE-script te gebruiken; het alternatief is boot.stl handmatig uit de map Windows\Boot\EFI van een apparaat naar de bijbehorende map op je media kopiëren.

Secure Boot-certificaten en een open probleem

Microsoft herhaalt in dit artikel de waarschuwing over verlopende Secure Boot-certificaten: die van de meeste Windows-apparaten zijn in juni 2026 begonnen te verlopen. Microsoft werkt ze bij op consumenten- en onbeheerde zakelijke apparaten en blijft de komende maanden nieuwe certificaten via Windows Update leveren. Apparaten die ze nog niet hebben, starten en werken normaal en blijven updates installeren.

Eén bekend probleem staat nog open: sinds de securityupdate van 8 september 2026 kunnen sommige USB Audio Class 1.0-apparaten niet starten, met foutcode 10 in Apparaatbeheer, of geven ze geen geluid. Microsoft werkt aan een oplossing. Wel opgelost in deze update zijn een probleem met Remote Desktop en een probleem waarbij Smart App Control na uitzetten niet meer aan te zetten was.

Voor wie geldt dit

De update geldt voor Windows 11 25H2 en 26H2 in alle edities en wordt deels gefaseerd uitgerold, dus of een functie al zichtbaar is verschilt per apparaat. Voor installatie moet de Windows-update van 10 juni 2025 of later aanwezig zijn, bijvoorbeeld KB5060842. De bijbehorende SSU, KB5132402 (build 26100.9815), zit in het pakket. Omdat het een optionele update is, moet je in Windows Update expliciet op Downloaden en installeren klikken.