12 май 2026 г. – KB5087544 (компилации на ОС 19045.7291 и 19044.7291)

Отнася се за
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021

Изтичане на сертификата за защитено стартиране на Windows и актуализации на CA

Важно: Сертификатите за защитено стартиране, използвани от повечето устройства с Windows, започнаха да изтичат през юни 2026 г. Това може да засегне способността на определени лични и бизнес устройства да се стартират защитено, ако не се актуализират навреме. За да избегнете прекъсване на работата, ви препоръчваме да прегледате указанията и да предприемете действия за предварително актуализиране на сертификатите. За подробности и стъпки за подготовка вижте изтичането на срока на сертификата за защитено стартиране на Windows и актуализациите на CA.

Обобщение

Тази статия описва проблемите на защитата и подобренията на качеството, включени в тази кумулативна актуализация на защитата.

Важи за: Windows 10 ESU

Важно

Използвайте EKB KB5015684, за да актуализирате до Windows 10, версия 22H2.

Тази актуализация на защитата включва корекции и подобрения на качеството, които са част от следните актуализации:

По-долу е резюме на проблемите, които тази актуализация отстранява, когато инсталирате тази актуализация. Ако има нови функции, той също ги изброява. Получер текст в скобите показва елемента или областта на промяната, която документираме.

  • [Предупреждения за защитата при отдалечен работен плот (известен проблем)] Поправено: Диалоговият прозорец за предупреждение на защитата за връзка с отдалечен работен плот може да се рендира неправилно в конфигурации с няколко монитора с различни настройки за мащабиране на дисплея. Този проблем може да възникне след инсталиране на актуализацията на защитата на Windows, издадена на 14 април 2026 г. (KB5082200).

  • [Защитено зареждане]

    • Тази актуализация позволява отчитане на динамичното състояние за състоянията на защитено стартиране в приложението за Защита в Windows.
    • С тази актуализация актуализациите на качеството на Windows включват допълнителни данни за насочване към устройства с висока достоверност, увеличавайки покритието на устройствата, отговарящи на условията за автоматично получаване на нови сертификати за защитено стартиране. Устройствата получават новите сертификати само след демонстриране на достатъчно сигнали за успешна актуализация, поддържайки контролирано и поетапно внедряване.
    • Тази актуализация добавя нова SecureBoot папка в C:\Windows "На отговарящите на условията устройства". Папката съдържа примерни скриптове, предназначени за организации с ИТ специалисти, които активно управляват актуализациите в целия си парк от устройства. Тези скриптове могат да се използват за откриване на състоянието на актуализация на сертификата за защитено стартиране и за автоматизиране на внедряването чрез механизъм за безопасно внедряване в среда на Active Directory. За повече информация вижте Sample Secure Boot E2E Automation Guide.

  • [Лятно часово време] Актуализация за Арабска република Египет в подкрепа на правителствената процедура за промяна на лятното часово време през 2023 г.

Ако сте инсталирали по-ранни актуализации, на устройството ви ще бъдат изтеглени и инсталирани само новите актуализации, включени в този пакет.

За повече информация относно уязвимостите в защитата вижте новия уеб сайт на ръководството за актуализации на защитата и Актуализации на защитата от май 2026 г.

За повече информация относно терминологията на актуализациите на Windows вижте статията за типовете актуализации на Windows и типовете месечни актуализации на качеството. За общ преглед на версия 22H2 на Windows 10 вижте страницата с хронология на актуализациите.

Известни проблеми в тази актуализация

  • Устройства с непрепоръчителна конфигурация на групови правила на BitLocker може да се наложи да въведат своя ключ за възстановяване на BitLocker

    Симптоми

    Възможно е някои устройства с непрепоръчителна конфигурация на груповите правила за BitLocker да бъдат задължени да въведат своя ключ за възстановяване на BitLocker при първото рестартиране след инсталиране на тази актуализация.

    Този проблем засяга само ограничен брой системи, при които ВСИЧКИ от следните условия са изпълнени. Тези условия е малко вероятно да се срещнат на лични устройства, които не се управляват от ИТ отдели.

    1. BitLocker е разрешен на устройството на операционната система.
    2. групови правила Конфигуриране на профил за проверка на платформа TPM за основни конфигурации на фърмуера на UEFI е конфигуриран и PCR7 е включен в профила за проверка (или еквивалентният ключ от системния регистър е зададен ръчно).
    3. Системната информация (msinfo32.exe) съобщава, че PCR7 обвързването на състоянието на защитено стартиране е невъзможно.
    4. Сертификатът windows UEFI CA 2023 присъства в базата данни за подписи за защитено стартиране (DB) на устройството, което прави устройството отговарящо на условията за диспечера за зареждане на Windows, подписан с 2023, да стане по подразбиране.
    5. Устройството все още не използва диспечера за зареждане на Windows, подписан през 2023 г.

    В този случай ключът за възстановяване на BitLocker трябва да бъде въведен само веднъж – следващите рестартирания няма да задействат екрана за възстановяване на BitLocker, стига конфигурацията на груповите правила да остане непроменена. За помощ при намирането на вашия ключ за възстановяване на BitLocker вижте [Намиране на вашия ключ за възстановяване на BitLocker](https://support.microsoft.com/Windows/Security/Encryption/find-your-bitlocker-recovery-key).

    Препоръчва се предприятията да проверят своите групови правила за BitLocker за изрично включване на PCR7 и да проверят msinfo32.exe за състоянието на обвързване на PCR7 преди инсталиране на тази актуализация.

    Решение

    Този проблем е решен в актуализация KB5122878. След инсталиране на актуализация KB5122878 устройствата с тази несъвместима конфигурация на груповите правила няма да могат да инсталират подписания от 2023 г. диспечер за зареждане на Windows. Ако устройството ви е било засегнато, ИД на събитие 1032 ще се появи в регистъра на системните събития при инсталиране на актуализации на Windows: "Актуализацията на защитеното стартиране Boot Manager (2023) не беше приложена поради известна несъвместимост с текущата конфигурация на BitLocker."

    Ако получите ИД на събитие 1032, Microsoft силно препоръчва да премахнете конфигурацията на групови правила, преди да инсталирате актуализации, така че да можете да инсталирате подписания от 2023 г. диспечер за зареждане на Windows и да продължите да получавате най-новата защита на защитеното стартиране.

    Премахнете конфигурацията на групови правила, преди да инсталирате актуализацията (препоръчва се)

    1. Отворете редактора на групови правила (gpedit.msc) или конзолата за управление на групови правила.
    2. Навигирайте до: Компютърна конфигурация > Административни шаблони Компоненти > > на Windows Шифроване > на устройства с BitLockerУстройства на операционната система.
    3. Задайте "Конфигуриране на профил за проверка на платформа TPM" за основни конфигурации на фърмуера на UEFIна "Неконфигуриран".
    4. Изпълнете следната команда на засегнатите устройства, за да разпространите промяната на правилата: gpupdate /force
    5. Изпълнете следната команда, за да преустановите BitLocker (ако BitLocker е разрешен на устройство C:): manage-bde -protectors -disable C:
    6. Изпълнете следната команда, за да възобновите BitLocker (ако BitLocker е разрешен на устройството C:): manage-bde -protectors -enable C:
    7. Това актуализира обвързванията на BitLocker да използват избрания от Windows PCR профил по подразбиране.

    Ако не желаете да премахнете тази конфигурация на групови правила, можете да инсталирате новия диспечер за зареждане на Windows, като временно спрете BitLocker и инсталирате актуализацията на защитеното стартиране. За да направите това:
    1. Изпълнете следната команда, за да преустановите BitLocker (ако BitLocker е разрешен на устройство C:): manage-bde -protectors -disable C:
    2. Изпълнете следната команда: Start-ScheduledTask -TaskName \\Microsoft\\Windows\\PI\\Secure-Boot-Update
    3. Извършете рестартиране на устройството.
    4. След като новият диспечер за зареждане на Windows е инсталиран успешно, разрешете BitLocker, като изпълните командата: manage-bde -protectors -enable C:

Windows 10 Servicing Stack Update (KB5084130) – версия 19041.7183

Microsoft сега комбинира най-новата групова актуализация на услуги (SSU) за вашата операционна система с най-новата кумулативна актуализация (LCU). SSU подобрява надеждността на процеса на актуализация и включва корекции към групата от услуги – компонента, който инсталира актуализациите на Windows.

Забележка: Тази групова актуализация на услуги (SSU) включва подобрена логика за проверка дали устройството се хоства в Azure, като използва актуализирана сертификационна верига за валидиране. За да гарантирате, че устройството има достъп до изискваните домейни за актуализиране на сертификата за успешно изтегляне и инсталиране на актуализации на сертификати, вижте списъците за изтегляне и анулиране на сертификати и подробните данни за сертифициращите органи на Azure. За да научите повече за SSUs, вижте Групови актуализации на услуги.

Как да изтеглите тази актуализация

Преди да инсталирате тази актуализация

Важно Трябва да имате инсталирана най-новата групова актуализация на услуги (SSU). Ако не инсталирате най-новата SSU преди прилагане на актуализациите на Windows, може да доведе до това, че актуализацията на Windows не се предлага, докато не се инсталира най-новата SSU.

Разполагане

Ако разположите тази актуализация, изберете едно от следните в зависимост от вашия сценарий за инсталиране:

За офлайн обслужване на изображения на ОС

  • Ако изображението ви няма LCU от 25 юли 2023 г. (KB5028244) или по-нова версия, трябва да инсталирате специалната самостоятелна SSU от 13 октомври 2023 г. (KB5031539), преди да инсталирате тази актуализация.

За внедряване на Windows Server Update Services (WSUS) или при инсталиране на самостоятелния пакет от каталога на Microsoft Update

  • Ако вашите устройства нямат LCU от 11 май 2021 г. (KB5003173) или по-нова версия, трябва да инсталирате специалната самостоятелна SSU (KB5005260), преди да инсталирате тази актуализация.

Изтегляне и инсталиране на тази актуализация

За да изтеглите и инсталирате тази актуализация, използвайте един от следните канали за издание на Windows и Microsoft.

Налично Следваща стъпка
Налично Тази актуализация ще се изтегли и инсталира автоматично от Windows Update.

Информация за файлове

Списък на файловете, които са включени в тази актуализация, се предоставят в CSV (разделен със запетаи) файл (*.csv). Файлът може да бъде отворен в текстов редактор, като например Notepad, или в Microsoft Excel.

Забележка: Версията на английски език (САЩ) на тази актуализация на софтуера може да съдържа файлове за допълнителни езици.

Икона за изтегляне Изтеглете информацията за файловете за тази кумулативна актуализация KB5087544.

Икона за изтегляне Изтеглете информацията за файловете за актуализацията SSU (KB5084130) – версии 19041.7183 .

Ако искате да премахнете тази актуализация

Забележка

Бележка относно актуализации на приложения на Microsoft Store

Забележка

Актуализациите на Windows не инсталират актуализации на приложения от Microsoft Store. Ако сте корпоративен потребител, вижте Приложения от Microsoft Store – Configuration Manager. Ако сте частен потребител, вижте Получаване на актуализации за приложения и игри в Microsoft Store.

Информация за край на поддръжката

Край на поддръжката

Microsoft вече няма да предоставя безплатни актуализации на софтуера от актуализиране на Windows, техническа помощ или корекции на защитата на следните крайни дати. За да продължите да получавате важни и важни актуализации на защитата за Windows 10, вж. Windows 10 Разширени Актуализации на защитата (ESU). В противен случай ви препоръчваме да надстроите до по-нова версия на Windows.

Регистър на промените

Промяна на датата Описание на промяната
8 септември 2026 г.
  • Известен проблем е актуализиран: "Устройства с непрепоръчително конфигуриране на групови правила на BitLocker може да се наложи да въведат своя ключ за възстановяване на BitLocker"
17 август 2026 г.
  • Записът от 14 юли 2026 г. е неправилен. Известният проблем "Устройства с непрепоръчителна конфигурация на групови правила на BitLocker може да се наложи да въведат своя ключ за възстановяване на BitLocker" не е разрешен. Решението ще бъде включено в бъдеща актуализация.
14 юли 2026 г.
  • Решението е актуализирано за известния проблем "Устройства с непрепоръчителна конфигурация на групови правила на BitLocker може да се наложи да въведат своя ключ за възстановяване на BitLocker"
13 май 2026 г.
  • Добавена е следната бележка по изданието за защитено стартиране:

    Тази актуализация добавя нова SecureBoot папка в C:\Windows "На отговарящите на условията устройства". Папката съдържа примерни скриптове, предназначени за организации с ИТ специалисти, които активно управляват актуализациите в целия си парк от устройства. Тези скриптове могат да се използват за откриване на състоянието на актуализация на сертификата за защитено стартиране и за автоматизиране на внедряването чрез механизъм за безопасно внедряване в среда на Active Directory. За повече информация вижте Sample Secure Boot E2E Automation Guide.