April 19, 2026 – KB5091157 (OS Build 26100.32698) Out-of-band

Symptom

Nogle enheder med en ikke-anbefalet konfiguration af BitLocker-gruppepolitik kan være påkrævet for at angive deres BitLocker-genoprettelsesnøgle ved første genstart efter installation af denne opdatering.

Dette problem påvirker kun et begrænset antal systemer, hvor ALLE følgende betingelser er sande. Det er usandsynligt, at disse betingelser findes på personlige enheder, der ikke administreres af it-afdelinger.

1. BitLocker er aktiveret på OS-drevet.
2. Gruppepolitikken "Konfigurer TPM-platformsvalideringsprofilen for oprindelige UEFI-firmwarekonfigurationer" er konfigureret, og PCR7 er inkluderet i valideringsprofilen (eller den tilsvarende registreringsdatabasenøgle angives manuelt).
3. Systemoplysninger (msinfo32.exe) rapporterer Secure Boot State PCR7 Binding som "Ikke muligt".
4. Windows UEFI CA 2023-certifikatet findes i enhedens Secure Boot Signature Database (DB), hvilket gør enheden kvalificeret til, at den 2023-signerede Windows Boot Manager gøres til standard.
5. Enheden kører ikke allerede den 2023-signerede Windows Boot Manager.

I dette scenarie skal BitLocker-genoprettelsesnøglen kun angives én gang – efterfølgende genstarter udløser ikke en BitLocker-genoprettelsesskærm, så længe konfigurationen af gruppepolitik forbliver uændret. Du kan finde hjælp til at finde din BitLocker-genoprettelsesnøgle i artiklen Find din BitLocker-genoprettelsesnøgle.

Virksomheder anbefales at overvåge deres BitLocker-gruppepolitikker for eksplicit PCR7-inklusion og kontrollere msinfo32.exe for deres PCR7-bindingsstatus, før de installerer denne opdatering. (Se valgmulighed 1 nedenfor).

Midlertidig løsning

Dette problem er løst i KB5094125. Når du har installeret KB5094125, forhindres enheder med denne inkompatible gruppepolitikkonfiguration i at installere den 2023-signerede Windows Boot Manager. Hvis din enhed blev påvirket, vises hændelses-id 1032 i systemhændelsesloggen, når du installerer Windows-opdateringer: "Secure Boot-opdateringen Boot Manager (2023) blev ikke anvendt på grund af en kendt inkompatibilitet med den aktuelle BitLocker-konfiguration."

Hvis du modtager hændelses-id 1032, anbefaler Microsoft på det kraftigste, at du fjerner konfigurationen af Gruppepolitik, før du installerer opdateringer, så du kan installere den 2023-signerede Windows Boot Manager og fortsætte med at modtage den nyeste Secure Boot-beskyttelse.

Fjern konfigurationen af Gruppepolitik, før du installerer opdateringen (anbefales)

1. Åbn Gruppepolitik Editor (gpedit.msc) eller administrationskonsollen til Gruppepolitik.
2. Naviger til: Administrative skabeloner > til computerkonfiguration > Windows-komponenter>, BitLocker-drevkryptering>, operativsystemdrev.
3. Angiv "Konfigurer TPM-platformsvalideringsprofilen for oprindelige UEFI-firmwarekonfigurationer" til "ikke konfigureret".
4. Kør følgende kommando på berørte enheder for at overføre politikændringen: gpupdate /force
5. Kør følgende kommando for at afbryde BitLocker midlertidigt (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -disable C:
6. Kør følgende kommando for at fortsætte BitLocker (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -enable C:
7. Dette opdaterer BitLocker-bindingerne til at bruge den Windows-valgte standard-PCR-profil.

Hvis du ikke vil fjerne denne konfiguration af Gruppepolitik, kan du installere den nye Windows Boot Manager ved midlertidigt at afbryde BitLocker og installere Secure Boot-opdateringen. Sådan gør du:

1. Kør følgende kommando for at afbryde BitLocker midlertidigt (hvis BitLocker er aktiveret på C:-drevet): manage-bde -protectors -disable C:
2. Kør følgende kommando: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Genstart enheden.
4. Når den nye Windows Boot Manager er installeret, skal du aktivere BitLocker ved at køre kommandoen: manage-bde -protectors -enable C:

Når du har installeret KB5070881 eller nyere opdateringer, viser WSUS (Windows Server Update Services) ikke oplysninger om synkroniseringsfejl i fejlrapportering. Denne funktionalitet fjernes midlertidigt for at løse sårbarheden i forbindelse med fjernudførelse af kode, CVE-2025-59287.

Symptomer

Når du har installeret denne opdatering, vises den sikkerhedsadvarsel , der vises, når du åbner Fjernskrivebord-filer (RDP), muligvis ikke korrekt i nogle tilfælde.

Dette problem kan opstå, når du bruger mere end én skærm med forskellige indstillinger for skærmskalering (f.eks. én skærm, der er indstillet til 100 %, og en anden indstillet til 125 %). Når dette sker, kan advarselsvinduet vise overlappende tekst eller delvist skjulte knapper, hvilket kan gøre meddelelsen svær at læse eller arbejde med.

Midlertidig løsning

Dette problem er løst i KB5087539.