加密磁碟用得越久，越擔心升級時出事。VeraCrypt 1.26.31 幾乎沒加新功能，把力氣全放在讓升級過程不要停住。

2026 年 11 月 2 日，VeraCrypt 推出 1.26.31。上一版 1.26.30 是 10 月 24 日，中間只隔了 9 天，版本號第三段也只跳了 1。看起來像個不起眼的修補，但官方發布說明翻開來看，改動幾乎都落在升級路徑上——那是出錯時會賠掉一台機器的位置，不是少一個按鈕而已。

卡住的那一步，這次單獨處理

從 1.26.30 換上來時，安裝程式必須替換系統服務背後的執行檔。服務還在跑，檔案就被占用，替換失敗，整個安裝也跟著停在那裡。1.26.31 的做法是先等特權服務程序結束，再重試那些被占用的檔案；萬一還是換不掉，就把這一步排到下次重新開機時完成。對一套已經裝好、天天在用的加密工具來說，失敗能被接住並在稍後補完，比多一個選單更有意義。

系統磁碟已加密的機器還有第二層麻煩。用安裝套件升級時，程式要搬移原始引導載入程式的備份、更新引導載入程式本身，還要跑一次安全開機相容性檢查。這三件事只要有其中一件沒成，機器可能就停在開機階段。這一版把整條鏈路一起修掉，同時調整了系統功能更新時的支援設定、備份搬移失敗後的還原方式，以及系統服務更新失敗的處理——失敗時會指出是哪個檔案或哪個登錄檔值出問題，而不是丟一個籠統的錯誤碼。

救援磁碟上的一個時間差，先講清楚

簽章體系正在從舊的 Windows Production PCA 2011 換到 Windows UEFI CA 2023。換的過程中，救援磁碟裡若還留著舊簽章的那份開機管理程式備份，日後可能出現救援磁碟認不出系統的情況。1.26.31 在製作救援磁碟時就直接示警：這份備份不會自動更新，得重新做一片。同一批改動裡，ProgramData 底下舊版系統加密支援目錄的清理也收緊了：唯讀檔案與被重導向的路徑都納入保護，還原的備份會保留，舊驅動程式檔案要等安裝程式註冊資訊的改動驗證通過之後才清掉。

非 Windows 這一側，安靜但偏安全的一刀

Linux、macOS 與 BSD 這次拿到的是不太顯眼、性質卻偏安全的改動：從 VeraCrypt 拉起的外部程式，不再繼承特權服務的管線，也不再繼承其他已開啟的檔案或裝置描述符。官方說明同時提到掛載可靠度提升，翻譯與說明文件也一併更新。這類改動的價值不在介面上，而在於少掉一條可以被利用的控制代碼通路。

它到底在守什麼

VeraCrypt 是一套免費、開放原始碼的磁碟加密軟體，支援 Windows、macOS 與 Linux，程式血統可以追到 TrueCrypt 7.1a。它能在一個檔案裡造出虛擬加密磁碟並掛載成真實磁碟，也能加密整個分區或可攜式儲存裝置，還能加密裝了 Windows 的那顆磁碟，開機前先過一道密碼驗證。加密是即時且透明的，讀寫走平行處理與管線化，在現代處理器上還能吃到硬體加速，日常用起來和未加密的磁碟差別不大。隱藏磁區與隱藏作業系統提供的是一層似是而非的否認空間，用於被要求交出密碼的場合。

安全強度的差別體現在金鑰推導。依官方說明，加密系統分區時預設迭代 20 萬次，標準加密磁碟預設 50 萬次，都可透過自訂 PIM 繼續加碼。代價只是掛載時多等幾秒，使用階段沒有效能損失。而解密後的資料依官方文件描述只在記憶體中暫時存在，不會落回磁碟，關機或斷電後磁碟自動卸載，裡面的檔案重新回到不可讀狀態。

誰該現在就換

三類人受益最直接。第一類是上次從 1.26.30 升級時卡在替換服務檔案這一步、最後靠重裝才恢復的人，這次升級路徑被單獨修過。第二類是系統磁碟已加密、又習慣用安裝套件做部署的人，引導載入程式備份搬移與安全開機檢查的修復正對著他們的場景。第三類是在 Linux 或 BSD 上把 VeraCrypt 當基礎元件用的人，控制代碼繼承的問題與掛載可靠度都更值得跟進。

要提醒的是，這套工具沒有找回通道。密碼忘了、金鑰檔案丟了，加密磁碟裡的東西基本就留在裡面了。所以升級之前先把密碼與金鑰檔案的備份確認一遍，比升級本身更重要。常年不關機、加密磁碟一直掛著的機器，也值得養成用完就卸載的習慣。

1.26.31 不是那種會讓人興奮的版本，它修的都是升級路上最難受的幾處磕碰。加密磁碟這種東西，少一次失敗的重開機，就多一分資料還在的把握。