2027 年 3 月强制执行！微软 WHCP 驱动签名新增 SBOM/VEX 要求

　　系统之家 9 月 3 日最新消息，微软宣布自 2027 年 3 月起，面向 Windows 11 25H2/26H1 及 Windows Server 2025 等新版本提交的驱动程序，必须附带 SPDX 3.0 格式 SBOM 和 VEX 声明。进一步强化 Windows 驱动供应链安全。

　　微软当地时间 9 月 2 日发布公告称，这项调整属于 Windows 硬件兼容性计划（WHCP）政策的一部分，旨在提高 Windows 驱动生态的安全性与完整性，同时满足欧盟《网络韧性法案》（CRA）的合规要求。

　　从 2027 年 3 月开始，针对 Windows 11 25H2、26H1 以及 Windows Server 2025 及后续版本的驱动提交，必须包含符合 SPDX 3.0 格式的 SBOM，以及用于说明该驱动是否受到已知 CVE 漏洞影响的 VEX 声明。

　　如果提交内容缺少要求的 SBOM 或 VEX，或者相关文件未通过验证，微软将不会为该驱动提供 WHCP 签名。新要求同时适用于通过硬件实验室工具包（HLK）认证以及通过 Attestation 方式签名的驱动。

　　微软表示，2027 年 3 月之前提交的驱动无需提供 SBOM 和 VEX。针对 Windows 11 25H2、26H1 及 Windows Server 2025 之前版本的 Windows 系统，其认证要求同样不会包含这两项材料。

　　此次政策调整适用于所有加入 WHCP 计划，并通过硬件开发者中心（HDC）开发、签署或提交驱动以获取 WHCP 签名的合作伙伴。如果企业计划在 2027 年 3 月之后为上述系统提交驱动，就需要遵守新要求。

　　微软计划在 2026 年 12 月通过新版 Windows 驱动程序工具包（WDK）提供生成和验证 SBOM，以及生成 VEX 声明所需的工具，并同步发布相关技术文档。

　　开发商也可以使用第三方或行业标准工具生成 SBOM 和 VEX 文件，但最终文件必须严格符合 SPDX 3.0 格式。微软同时表示，现有工具可用于提前熟悉相关流程，但 2026 年 12 月发布的新工具将取代当前版本。

　　微软建议开发和合规团队提前了解 SBOM、VEX 及 SPDX 格式，并开始整理驱动二进制文件中使用的第三方和开源组件，为 2027 年 3 月的新提交窗口做好准备。

　　按照微软公布的提交规范，SBOM 和 VEX 文件需要放置在驱动程序包目录下的专用子文件夹中。每个驱动都必须分别提供一份 SBOM 和一份 VEX 声明，不能用一套文件覆盖包含多个驱动的整个提交内容。

　　这里所说的单个驱动，是指一个 INF 文件及其对应的一组二进制文件组成的驱动程序包。例如提交中包含 N 个驱动文件夹、每个文件夹包含 M 个驱动，就需要提供 N×M 份独立的 SBOM 和 VEX 文件。

　　SBOM 文件的名称需要与 INF 文件名称对应，格式为“<inf_name>.spdx.json”；配套 VEX 文件则应命名为“<inf_name>.vex.json”。这些文件不应放入补充文档目录，也不会作为驱动程序包的一部分提供给最终用户。

　　在技术要求方面，SBOM 需要采用签名的 SPDX 格式，并列出驱动涉及的第一方和第三方组件，包括工具、库、框架及依赖项，同时提供准确的版本和软件包标识符，以便进行漏洞追踪。

　　此外，SBOM 还必须包含传递依赖关系，而不只是直接依赖项；SBOM 和 VEX 声明需要通过 COSE 签名保障完整性。相关 SBOM 至少需要保存 10 年，或者按照欧盟 GPSR 及其他适用法规要求的产品生命周期期限保存，以较长者为准。

　　系统之家注：SBOM 即软件物料清单（Software Bill of Materials），用于记录软件及其依赖组件；VEX 则用于说明特定软件组件是否实际受到已知漏洞影响。

　　相关阅读

　　《微软优化 Win11 更新逻辑！整合驱动、固件、.NET 更新，每月仅需一次重启》

　　《接近七成！2026 年 8 月全球 Win11 份额 68.60% 占据榜首》

　　《Windows 为何不再预装扫雷纸牌？维护成本与兼容性是主因》

　　以上是系统之家提供的最新资讯，感谢您的阅读，更多精彩内容请关注系统之家官网。