19 април 2026 г. – KB5091157 (компилация на ОС 26100.32698) – извън групата

Симптом

Възможно е да се наложи някои устройства с неразрешена конфигурация на BitLocker групови правила да въведат своя ключ за възстановяване на BitLocker при първото рестартиране след инсталиране на тази актуализация.

Този проблем засяга само ограничен брой системи, в които всички от следните условия са изпълнени. Възможно е тези условия да бъдат открити на лични устройства, които не се управляват от ИТ отдели.

1. BitLocker е разрешен на устройството на операционната система.

2. Конфигуриран е групови правила "Конфигуриране на профил за проверка на платформата на TPM за основни конфигурации на UEFI фърмуер" и PCR7 е включен в профила за проверка (или еквивалентният ключ от системния регистър се задава ръчно).

3. Системна информация (msinfo32.exe) съобщава състояние на защитено стартиране PCR7 обвързване като "Не е възможно".

4. Сертификатът windows UEFI CA 2023 присъства в базата данни за подписи за защитено стартиране (DB) на устройството, което прави устройството отговарящо на условията за диспечера за зареждане на Windows, подписан с 2023, да стане по подразбиране.

5. Устройството все още не работи с диспечера за зареждане на Windows, подписан с 2023.

В този случай ключът за възстановяване на BitLocker трябва да бъде въведен само веднъж – следващите рестартирания няма да задействат екрана за възстановяване на BitLocker, стига конфигурацията на груповите правила да остане непроменена. За помощ при намирането на вашия ключ за възстановяване на BitLocker вж. статията Намиране на вашия ключ за възстановяване на BitLocker.

На предприятията се препоръчва да проверяват своите групови правила на BitLocker за изрично включване на PCR7 и да проверяват msinfo32.exe за състоянието на обвързване на PCR7, преди да инсталират тази актуализация. (Вижте опция 1 по-долу.)

Заобиколно решение 

Опция 1: Премахнете конфигурацията на групови правила, преди да инсталирате актуализацията (препоръчва се) 

1. Отворете редактора на групови правила (gpedit.msc) или конзолата за управление на групови правила.

2. Отидете на: Конфигурация на компютъра > Административни шаблони > компоненти на Windows > шифроване на устройства с BitLocker > устройствата на операционната система.

3. Задайте "Конфигуриране на TPM профил за проверка на платформа за местни UEFI фърмуерни конфигурации" на "Не е конфигуриран".

4. Изпълнете следната команда на засегнатите устройства, за да разпространите промяната на правилата: gpupdate /force

5. Изпълнете следната команда, за да преустановите BitLocker (където BitLocker е разрешен на устройството C:): manage-bde -protectors -disable C:

6. Изпълнете следната команда, за да възобновите BitLocker (където BitLocker е разрешен на устройството C:): manage-bde -protectors -enable C:

7. Това актуализира обвързванията на BitLocker, за да използва избрания от Windows профил на PCR по подразбиране.

Опция 2: Приложете връщане към стабилно състояние на известен проблем (KIR), преди да инсталирате актуализацията

Известно връщане към стабилно състояние на проблема (KIR) е налично за клиенти, които не могат да премахнат груповите правила на PCR7, преди да разположат тази актуализация. KIR предотвратява автоматично превключване към диспечера за зареждане 2023, като избягва превключвателя за възстановяване на BitLocker. KIR трябва да се разположи, преди да инсталирате актуализацията на засегнатите устройства. Свържете се с поддръжката на Microsoft за бизнеса, за да получите този KIR.

Постоянно решение на този проблем е планирано в бъдеща актуализация на Windows. Допълнителна информация ще бъде предоставена, когато е налична.

След инсталирането на KB5070881 или по-нови актуализации, Windows Server Update Services (WSUS) не показва подробни данни за грешката при синхронизиране в своя отчет за грешки. Тази функционалност е временно премахната, за да се обърне внимание на уязвимостта при отдалечено изпълнение на код CVE-2025-59287.