加密盘用得越久，越怕升级出事。VeraCrypt 1.26.31 这次几乎没加新功能，把力气全花在让升级过程别卡住。

2026 年 11 月 2 日，VeraCrypt 发布 1.26.31。距离上一版 1.26.30（10 月 24 日）只隔了九天，版本号的第三段只跳了一位，看起来是个不起眼的修补。但翻开官方发布说明会发现，这一版改的东西恰好落在最容易出问题的位置——升级本身。

升级卡住的那一步，被单独拎出来修了

从 1.26.30 升级上来时，VeraCrypt 需要替换系统服务的可执行文件。如果这个服务还在跑，文件被占用，替换就会失败，安装流程随即中断。1.26.31 的做法是先等特权服务进程退出，再重试替换那些被占用的文件；如果实在替换不掉，就把这一步挂到 Windows 重启时完成。对一个已经装好、天天在用的加密工具来说，这种"失败也能兜住"的处理比新增功能更有意义。

系统盘已经加密的机器还有另一层麻烦。用 MSI 安装包升级时，程序要处理原始引导加载程序的备份迁移、引导加载程序自身的更新，还要跑一遍安全启动兼容性检查。这三件事任何一件没做成，机器就可能停在引导阶段。1.26.31 把这条链路上的问题一并修掉，同时改进了 Windows 功能更新的支持配置、备份迁移的恢复方式，以及系统服务更新失败时的处理——失败时会明确指出是哪个文件或哪个注册表值出了问题，而不是丢一个笼统的错误码。

救援盘上的一个时间窗，被提前警告了

微软正在把安全启动的签名体系从旧的 Windows Production PCA 2011 迁到 Windows UEFI CA 2023。迁移过程中，如果救援盘里存的仍是旧签名的那份启动管理器备份，将来可能出现救援盘认不出系统的情况。1.26.31 在创建救援盘时会直接给出警告，提醒用户这份备份不会被自动刷新，需要重新制作救援盘。同一批改动里，程序对 ProgramData 下旧版系统加密支持目录的清理也收紧了：只读文件和重定向路径都纳入保护，恢复备份会保留，旧驱动文件要等安装程序注册信息的改动验证通过之后才清理。

Linux、macOS 与 BSD 一侧的顺手一刀

非 Windows 平台这次拿到的是一个不太显眼但性质偏安全的改动：从 VeraCrypt 拉起的外部程序，不再继承特权服务的管道，也不再继承其他已经打开的文件或设备描述符。同时官方说明里提到挂载的可靠性有所提升，翻译与文档也同步更新。这类改动的价值不在界面上，而在于减少一条可以被利用的句柄通路。

它到底在守什么

VeraCrypt 是一款免费开源的磁盘加密软件，支持 Windows、macOS 与 Linux，代码血统可以追到 TrueCrypt 7.1a。它能在一个文件里造出虚拟加密盘并挂载成真实磁盘，也能加密整个分区或移动存储设备，还能加密装了 Windows 的那块盘，开机前先要过一道密码验证。加密是实时且透明的，读写走并行处理与流水线，在现代处理器上还能吃到硬件加速，日常用起来和未加密的盘差别不大。隐藏卷与隐藏操作系统提供的是一层似是而非的否认空间，用于应对被要求交出密码的场景。

安全强度上的差别体现在密钥推导。按官方说明，加密系统分区时默认迭代 20 万次，标准加密卷默认 50 万次，都可通过自定义 PIM 继续加码。代价只是挂载时多等几秒，使用阶段没有性能损失。而解密后的数据据官方文档描述只在内存中临时存在，不会落回磁盘，关机或断电后卷自动卸载，里面的文件重新回到不可读状态。

谁应该现在就更新

三类人收益最直接。第一类是上次从 1.26.30 升级时卡在替换服务文件这一步、最后靠重装才恢复的人，这次升级路径被单独修过。第二类是系统盘已经加密、又习惯用 MSI 包做部署的人，引导加载程序备份迁移与安全启动检查的修复正对着他们的场景。第三类是在 Linux 或 BSD 上把 VeraCrypt 当基础组件用的人，句柄继承的问题与挂载可靠性都更值得跟进。

需要提醒的是，这个工具没有找回通道。密码忘了、密钥文件丢了，加密卷里的东西基本就留在里面了。所以升级之前先把密码与密钥文件的备份确认一遍，比升级本身更重要。常年不关机、加密盘一直挂着的机器，也值得养成用完就卸载的习惯。

1.26.31 不是那种会让人兴奋的版本，它修的都是升级路上最难受的几处磕碰。加密盘这种东西，少一次失败的重启，就多一分数据还在的把握。