April 19, 2026 – KB5091157 (OS Build 26100.32698) Out-of-band

Symptom

Nogle enheder med en ikke-anbefalet konfiguration af BitLocker-gruppepolitik kan være påkrævet for at angive deres BitLocker-genoprettelsesnøgle ved første genstart efter installation af denne opdatering.

Dette problem påvirker kun et begrænset antal systemer, hvor ALLE følgende betingelser gælder. Det er usandsynligt, at disse betingelser findes på personlige enheder, der ikke administreres af it-afdelinger.

1. BitLocker er aktiveret på OS-drevet.

2. Gruppepolitikken "Konfigurer TPM-platformsvalideringsprofilen for oprindelige UEFI-firmwarekonfigurationer" er konfigureret, og PCR7 er inkluderet i valideringsprofilen (eller den tilsvarende registreringsdatabasenøgle angives manuelt).

3. Systemoplysninger (msinfo32.exe) rapporterer Secure Boot State PCR7 Binding som "Ikke muligt".

4. Windows UEFI CA 2023-certifikatet findes i enhedens Secure Boot Signature Database (DB), hvilket gør enheden kvalificeret til, at den 2023-signerede Windows Boot Manager gøres til standard.

5. Enheden kører ikke allerede den 2023-signerede Windows Boot Manager.

I dette scenarie skal BitLocker-genoprettelsesnøglen kun angives én gang – efterfølgende genstarter udløser ikke en BitLocker-genoprettelsesskærm, så længe konfigurationen af gruppepolitik forbliver uændret. Du kan finde hjælp til at finde din BitLocker-genoprettelsesnøgle i artiklen Find din BitLocker-genoprettelsesnøgle.

Virksomheder anbefales at overvåge deres BitLocker-gruppepolitikker for eksplicit PCR7-inklusion og kontrollere msinfo32.exe for deres PCR7-bindingsstatus, før de installerer denne opdatering. (Se valgmulighed 1 nedenfor).

Løsning 

Dette problem er løst i KB5094125. Når du har installeret KB5094125,forhindres  enheder med denne inkompatible konfiguration af gruppepolitik i at installere Den 2023-signerede Windows Boot Manager. Hvis enheden blev påvirket, vises hændelses-id 1032 i systemhændelsesloggen, når du installerer Windows-opdateringer: "Boot Manager til sikker bootstart (2023) blev ikke anvendt på grund af en kendt manglende kompatibilitet med den aktuelle BitLocker-konfiguration."

Hvis du modtager hændelses-id 1032, anbefaler Microsoft på det kraftigste, at du fjerner Gruppepolitik-konfigurationen, før du installerer opdateringer, så du kan installere den 2023-signerede Windows Boot Manager og fortsat modtage den nyeste beskyttelse mod sikker bootstart.

Fjern Gruppepolitik-konfigurationen, før du installerer opdateringen (anbefales) 

1. Åbn Gruppepolitik Editor (gpedit.msc) eller administrationskonsollen til Gruppepolitik.

2. Gå til: Computerkonfiguration > Administrative skabeloner > Windows-komponenter > BitLocker-drevkryptering > Operativsystemdrev.

3. Angiv "Konfigurer TPM-platformsvalideringsprofilen for oprindelige UEFI-firmwarekonfigurationer" til "ikke konfigureret".

4. Kør følgende kommando på berørte enheder for at overføre politikændringen: gpupdate /force

5. Kør følgende kommando for at afbryde BitLocker midlertidigt (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -disable C:

6. Kør følgende kommando for at fortsætte BitLocker (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -enable C:

7. Dette opdaterer BitLocker-bindingerne til at bruge den Windows-valgte standard-PCR-profil.

Hvis du ikke vil fjerne denne Gruppepolitik konfiguration, kan du installere den nye Windows Boot Manager ved midlertidigt at afbryde BitLocker og installere opdateringen til sikker bootstart. Sådan gør du:

1. Kør følgende kommando for at afbryde BitLocker midlertidigt (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -disable C:

2. Kør følgende kommando: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Genstart enheden.

4. Når den nye Windows Boot Manager er installeret, skal du aktivere BitLocker ved at køre kommandoen: manage-bde -protectors -enable C:

Når du har installeret KB5070881 eller nyere opdateringer, viser WSUS (Windows Server Update Services) ikke oplysninger om synkroniseringsfejl i fejlrapportering. Denne funktionalitet fjernes midlertidigt for at løse sårbarheden i forbindelse med fjernudførelse af kode, CVE-2025-59287. 

Symptomer

Når du har installeret denne opdatering, vises den sikkerhedsadvarsel, der vises, når du åbner RDP-filer (Fjernskrivebord), muligvis ikke korrekt i nogle tilfælde.

Dette problem kan opstå, når du bruger mere end én skærm med forskellige skærmskaleringsindstillinger (f.eks. én skærm, der er indstillet til 100 %, og en anden er indstillet til 125 %). Når dette sker, kan advarselsvinduet vise overlappende tekst eller delvist skjulte knapper, hvilket kan gøre meddelelsen svær at læse eller interagere med.

Løsning

Dette problem er løst iKB5087539.