12 май 2026 г. – KB5087420 (компилация на ОС 22631.7079)

Промяна на датата	Описание на промяната
09 юни 2026 г.	Ревизия на известен проблем: Актуализирано е заобиколно решение за "Устройства с непрепоръчителна конфигурация на групови правила на BitLocker може да се наложи да въведат своя ключ за възстановяване на BitLocker"
20 май 2026 г.	Коригирана е връзка към каталога на Microsoft Update, така че да сочи към актуализацията от 12 май 2026 г. вместо към актуализацията от 14 април 2026 г.
13 май 2026 г.	Добавена бележка по изданието на защитеното стартиране: Тази актуализация добавя нова папка за SecureBoot под C:\Windowsна отговарящите на изискванията устройства.

Симптом

Възможно е някои устройства с непрепоръчителна конфигурация на груповите правила за BitLocker да бъдат задължени да въведат своя ключ за възстановяване на BitLocker при първото рестартиране след инсталиране на тази актуализация.

Този проблем засяга само ограничен брой системи, в които са изпълнени ВСИЧКИ от следните условия. Тези условия е малко вероятно да се срещнат на лични устройства, които не се управляват от ИТ отдели.

1. BitLocker е разрешен на устройството на операционната система.

2. Груповата политика "Конфигуриране на профил за проверка на платформата TPM за родни UEFI фърмуерни конфигурации" е конфигурирана и PCR7 е включен в профила за проверка (или еквивалентният ключ в системния регистър е зададен ръчно).

3. Системна информация (msinfo32.exe) съобщава състояние на защитено стартиране PCR7 обвързване като "Не е възможно".

4. Сертификатът windows UEFI CA 2023 присъства в базата данни за подписи за защитено стартиране (DB) на устройството, което прави устройството отговарящо на условията за диспечера за зареждане на Windows, подписан с 2023, да стане по подразбиране.

5. Устройството все още не използва диспечера за зареждане на Windows, подписан през 2023 г.

В този случай ключът за възстановяване на BitLocker трябва да бъде въведен само веднъж – следващите рестартирания няма да задействат екрана за възстановяване на BitLocker, стига конфигурацията на груповите правила да остане непроменена. За помощ при намирането на вашия ключ за възстановяване на BitLocker вижте статията "Намиране на вашия ключ за възстановяване на BitLocker".

Препоръчва се предприятията да проверят своите групови правила за BitLocker за изрично включване на PCR7 и да проверят msinfo32.exe за състоянието на обвързване на PCR7 преди инсталиране на тази актуализация. (Вижте заобиколното решение по-долу.)

Заобиколно решение 

Този проблем е решен в KB5093998. След инсталиране на KB5093998 устройствата  с тази несъвместима конфигурация на групови правила няма да могат да инсталират подписания от 2023 г. диспечер за зареждане на Windows. Ако устройството ви е било засегнато, ИД на събитие 1032 ще се появи в регистъра на системните събития при инсталиране на актуализации на Windows: "Актуализацията на защитеното стартиране Boot Manager (2023) не беше приложена поради известна несъвместимост с текущата конфигурация на BitLocker."

Ако получите ИД на събитие 1032, Microsoft силно препоръчва да премахнете конфигурацията на групови правила, преди да инсталирате актуализации, така че да можете да инсталирате подписания от 2023 г. диспечер за зареждане на Windows и да продължите да получавате най-новите защити за защитено стартиране.

Премахнете конфигурацията на групови правила, преди да инсталирате актуализацията (препоръчва се) 

1. Отворете редактора на групови правила (gpedit.msc) или конзолата за управление на групови правила.

2. Навигирайте до: Конфигурация на компютъра > Административни шаблони > Компоненти на Windows > Шифроване на устройства с BitLocker > Устройства на операционната система.

3. Задайте "Конфигуриране на профил за проверка на платформата TPM за родни UEFI фърмуерни конфигурации" на "Не е конфигуриран".

4. Изпълнете следната команда на засегнатите устройства, за да разпространите промяната на правилата: gpupdate /force

5. Изпълнете следната команда, за да преустановите BitLocker (ако BitLocker е разрешен на устройството C:): manage-bde -protectors -disable C:

6. Изпълнете следната команда, за да възобновите BitLocker (ако BitLocker е разрешен на диск C:): manage-bde -protectors -enable C:

7. Това актуализира обвързванията на BitLocker да използват избрания от Windows PCR профил по подразбиране.

Ако не желаете да премахнете тази конфигурация на групови правила, можете да инсталирате новия диспечер за зареждане на Windows, като временно спрете BitLocker и инсталирате актуализацията на защитеното стартиране. За да направите това:

1. Изпълнете следната команда, за да преустановите BitLocker (ако BitLocker е разрешен на устройството C:): manage-bde -protectors -disable C:

2. Изпълнете следната команда: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Извършете рестартиране на устройството.

4. След като новият диспечер за зареждане на Windows е инсталиран успешно, разрешете BitLocker, като изпълните командата: manage-bde -protectors -enable C: