12. května 2026 – KB5087539 (build operačního systému 26100.32860)

Vypršení platnosti certifikátu zabezpečeného spouštění systému Windows

Idůležité: Platnost certifikátů zabezpečeného spouštění používaných většinou zařízení s Windows vyprší od června 2026. To může mít vliv na schopnost určitých osobních a firemních zařízení bezpečně se spouštět, pokud se neaktualizují včas. Pokud se chcete vyhnout přerušení služeb, doporučujeme projít si pokyny a podniknout kroky k aktualizaci certifikátů předem. Podrobnosti a přípravné kroky najdete v článku Vypršení platnosti certifikátu zabezpečeného spouštění systému Windows a aktualizace certifikační autority a v blogu playbooku se zabezpečeným systémem Windows Server.

Změnit datum	Popis změny
9 června, 2026	Aktualizovány známé problémy: Přidáno řešení pro "U zařízení s nedoporučenou konfigurací nástroje BitLocker Zásady skupiny může být vyžadováno zadání obnovovacího klíče nástroje BitLocker".
27 května, 2026	Aktualizované příkazy (řetězce MSU) v části Katalog.
15 května, 2026	Přidána aktualizace služby AD CS (Active Directory Certificate Services).
13 května, 2026	Přidána poznámka k vydání zabezpečeného spouštění: Tato aktualizace přidává novou složku SecureBoot v části C:\Windowsna oprávněných zařízeních.

Příznak

Na některých zařízeních s nedoporučenou konfigurací zásad skupiny pro BitLocker může být při prvním restartování po instalaci této aktualizace potřeba zadat obnovovací klíč BitLockeru.

Tento problém se týká jenom omezeného počtu systémů, ve kterých platí VŠECHNY následující podmínky. Tyto podmínky se pravděpodobně nevyskytnou na osobních zařízeních, která nespravují IT oddělení.

1. Na jednotce operačního systému je povolený BitLocker.

2. Zásada skupiny „Konfigurovat profil ověřování platformy TPM pro nativní konfigurace firmwaru UEFI“ je nakonfigurovaná a profil ověřování zahrnuje PCR7 (nebo je ručně nastavený ekvivalentní klíč registru).

3. Systémové informace (msinfo32.exe) u položky Vazba PCR7 ve stavu zabezpečeného spouštění hlásí hodnotu „Není možné“.

4. V databázi podpisů zabezpečeného spouštění (DB) zařízení je certifikát Windows UEFI CA 2023, takže zařízení splňuje podmínky pro nastavení Správce spouštění Windows podepsaného v roce 2023 jako výchozího.

5. Zařízení ještě nepoužívá Správce spouštění Windows podepsaný v roce 2023.

V tomto scénáři stačí obnovovací klíč BitLockeru zadat jen jednou. Další restartování nespustí obrazovku pro obnovení BitLockeru, pokud konfigurace zásad skupiny zůstane beze změny. Pomoc s nalezením obnovovacího klíče nástroje BitLocker naleznete v článku Vyhledání obnovovacího klíče nástroje BitLocker.

Podnikům doporučujeme, aby před instalací této aktualizace zkontrolovaly svoje zásady skupiny pro BitLocker kvůli explicitnímu zahrnutí PCR7 a ověřily stav vazby PCR7 v nástroji msinfo32.exe. (Viz alternativní řešení níže.)

Alternativní řešení 

Tento problém řeší KB5094125. Po instalaci KB5094125  se zařízením s touto nekompatibilní konfigurací zásad skupiny zabrání instalace Správce spouštění Windows podepsaného v roce 2023. Pokud se to týkalo vašeho zařízení, zobrazí se při instalaci aktualizací Windows v protokolu systémových událostí událost s ID 1032: "The Secure Boot update Boot Manager (2023) was not applied due to a known incompatibility with the current BitLocker configuration." (Správce spouštění aktualizace zabezpečeného spouštění (2023) nebyl použit kvůli známé nekompatibilitě s aktuální konfigurací nástroje BitLocker.

Pokud obdržíte událost s ID 1032, Microsoft důrazně doporučuje před instalací aktualizací odebrat konfiguraci Zásady skupiny, abyste mohli nainstalovat Správce spouštění systému Windows podepsaný v roce 2023 a dál dostávat nejnovější ochranu zabezpečeného spouštění.

Před instalací aktualizace odeberte konfiguraci Zásady skupiny (doporučeno). 

1. Otevřete Editor zásad skupiny (gpedit.msc) nebo Konzolu pro správu zásad skupiny.

2. Přejděte sem: Konfigurace počítače > Šablony pro správu > Součásti systému Windows > Šifrování jednotky BitLocker > Jednotky operačního systému.

3. Nastavte „Konfigurovat profil ověřování platformy TPM pro nativní konfigurace firmwaru UEFI“ na „Nenakonfigurováno“.

4. Na ovlivněných zařízeních spusťte následující příkaz, aby se změna zásad promítla: gpupdate /force

5. Pokud chcete pozastavit BitLocker (pokud je BitLocker povolený na jednotce C:), spusťte následující příkaz: manage-bde -protectors -disable C:

6. Spuštěním následujícího příkazu obnovíte BitLocker (pokud je BitLocker povolený na jednotce C:): manage-bde -protectors -enable C:

7. Tím se aktualizují vazby nástroje BitLocker tak, aby používaly výchozí profil PCR vybraný systémem Windows.

Pokud nechcete tuto konfiguraci Zásady skupiny odebrat, můžete nainstalovat nového Správce spouštění systému Windows dočasným pozastavením nástroje BitLocker a instalací aktualizace zabezpečeného spouštění. Postupujte takto:

1. Pokud chcete pozastavit BitLocker (pokud je BitLocker povolený na jednotce C:), spusťte následující příkaz: manage-bde -protectors -disable C:

2. Spusťte následující příkaz: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Zařízení restartujte.

4. Po úspěšné instalaci nového Správce spouštění systému Windows povolte nástroj BitLocker spuštěním příkazu: manage-bde -protectors -enable C:

Služby Windows Server Update Services (WSUS) po instalaci aktualizace KB5070881 nebo novějších aktualizací nezobrazují podrobnosti o chybách synchronizace v rámci zasílání zpráv o chybách. Tato funkce je dočasně odebrána, aby se vyřešilo ohrožení zabezpečení související se vzdáleným spuštěním kódu CVE-2025-59287.