Denne OOB-opdatering (out-of-band) til Windows Server 2025 (KB5091157) er en ikke-sikkerhedsrelateret kumulativ opdatering.
Forbedringer
Denne out of band-opdatering indeholder kvalitetsforbedringer fra KB5082063 (udgivet 14. april 2026). I følgende oversigt beskrives de vigtigste problemer, der er løst med denne opdatering uden for båndet. Den fede tekst i de kantede parenteser angiver elementet eller området for ændringen.
-
[Domænecontrollere (kendt problem)] Løst: Når du har installeret Sikkerhedsopdatering til Windows (KB5082063) og genstart den 14. april 2026, kan domænecontrollere med områder med flere domæner, der bruger PAM (Privileged Access Management), opleve startproblemer. I nogle tilfælde kan LSASS (Local Security Authority Subsystem Service) holde op med at svare, hvilket fører til gentagne genstarter og forhindre godkendelse og katalogtjenester, hvilket kan gøre domænet utilgængeligt.
-
[Installation af Windows Update] Løst: Et lille antal Windows Server 2025-enheder kan muligvis ikke installere sikkerhedsopdateringen til Windows (KB5082063) d. 14. april 2026. Når dette problem opstår, kan berørte enheder vise en af følgende fejlmeddelelser: "Installationsfejl: 0x800F0983" eller "Nogle opdateringsfiler mangler eller har problemer. Vi forsøger at downloade opdateringen igen senere. Fejlkode: 0x80073712."
Hvis du har installeret tidligere opdateringer, downloader og installerer enheden kun de nye opdateringer, der er indeholdt i denne pakke.
Bemærk! Hotpatch-opdaterede Windows Server 2025-enheder, der er påvirket af problemet med KB5082063 installation, kan installere denne OOB-opdatering for at få den samme beskyttelse. Det kræver dog en genstart, og opdateringer til hotpatch genoptages ikke før den oprindelige opdatering fra juli 2026.
Opdatering til behandlingsstakken i Windows Sever 2025 (KB5082062) -26100.32692
Denne opdatering foretager kvalitetsforbedringer til behandlingsstakken, som er den komponent, der installerer Windows-opdateringer. Opdateringer til behandlingsstakken (SSU– servicing stack updates) sikrer, at du har en robust og pålidelig behandlingsstak, så dine enheder kan modtage og installere Microsoft-opdateringer. Du kan få mere at vide om SSU'er under Forenkle den lokale installation af opdateringer til behandlingsstakken.
Kendte problemer i denne opdatering
Symptom
Nogle enheder med en ikke-anbefalet BitLocker-Gruppepolitik konfiguration kan være nødvendige for at angive bitlocker-genoprettelsesnøglen på den første genstart, når du har installeret denne opdatering.
Dette problem påvirker kun et begrænset antal systemer, hvor ALLE følgende betingelser gælder. Det er usandsynligt, at disse betingelser findes på personlige enheder, der ikke administreres af it-afdelinger.
-
BitLocker er aktiveret på os-drevet.
-
Den Gruppepolitik "Configure TPM platform validation profile for native UEFI firmware configurations" er konfigureret, og PCR7 er inkluderet i valideringsprofilen (eller den tilsvarende registreringsdatabasenøgle angives manuelt).
-
Systemoplysninger (msinfo32.exe) rapporterer Secure Boot State PCR7 Binding som "Ikke muligt".
-
Windows UEFI CA 2023-certifikatet findes i enhedens DB-database (Secure Boot Signature Database), hvilket gør enheden berettiget til, at den 2023-signerede Windows Boot Manager gøres til standard.
-
Enheden kører ikke allerede den 2023-signerede Windows Boot Manager.
I dette scenarie skal BitLocker-genoprettelsesnøglen kun angives én gang – efterfølgende genstarter udløser ikke en BitLocker-genoprettelsesskærm, så længe konfigurationen af gruppepolitik forbliver uændret. Du kan finde hjælp til at finde din BitLocker-genoprettelsesnøgle i artiklen Find din BitLocker-genoprettelsesnøgle.
Virksomheder anbefales at overvåge deres BitLocker-gruppepolitikker for eksplicit at medtage PCR7 og kontrollere msinfo32.exe for deres PCR7-bindingsstatus, før du installerer denne opdatering. (Se valgmulighed 1 nedenfor).
Løsning
Mulighed 1: Fjern Gruppepolitik-konfigurationen, før du installerer opdateringen (anbefales)
-
Åbn Gruppepolitik Editor (gpedit.msc) eller administrationskonsollen til Gruppepolitik.
-
Naviger til: Computerkonfiguration > administrative skabeloner > Windows-komponenter > BitLocker-drevkryptering > operativsystemdrev.
-
Angiv "Configure TPM platform validation profile for native UEFI firmware configurations" to "Not Configured".
-
Kør følgende kommando på berørte enheder for at overføre politikændringen: gpupdate /force
-
Kør følgende kommando for at afbryde BitLocker midlertidigt (hvor BitLocker er aktiveret på C:-drevet): manage-bde -protectors -disable C:
-
Kør følgende kommando for at fortsætte BitLocker (hvor BitLocker er aktiveret på C:-drevet): manage-bde -protectors -enable C:
-
Dette opdaterer BitLocker-bindingerne til at bruge den Windows-valgte standard-PCR-profil.
Mulighed 2: Anvend annullering af opdatering af kendt problem, før du installerer opdateringen
En annullering af kendt problem (KIR) er tilgængelig for kunder, der ikke kan fjerne pcR7-gruppepolitik, før denne opdatering installeres. KIR forhindrer automatisk skift til 2023 Boot Manager, så BitLocker-genoprettelsesudløseren undgås. KIR'en skal installeres, før opdateringen installeres på berørte enheder. Kontakt Microsofts support til virksomheder for at få denne KIR.
Der er planlagt en permanent løsning på dette problem i en fremtidig Windows-opdatering. Der vil blive givet flere oplysninger, når de er tilgængelige.
Når du har installeret KB5070881 eller nyere opdateringer, viser WSUS (Windows Server Update Services) ikke oplysninger om synkroniseringsfejl i fejlrapportering. Denne funktionalitet fjernes midlertidigt for at løse sårbarheden i forbindelse med fjernudførelse af kode, CVE-2025-59287.
Sådan henter du denne opdatering
Før du installerer denne opdatering
Microsoft kombinerer nu den seneste opdatering til behandlingsstakken (SSU – servicing stack update) til dit operativsystem med den seneste akkumulerede opdatering (LCU – latest cumulative update). Du kan finde generelle oplysninger om SSU'er under Opdateringer til behandlingsstakken.
Installér denne opdatering
Hvis du vil installere denne opdatering, skal du bruge en af følgende Windows- og Microsoft-udgivelseskanaler.
|
Tilgængelig |
Næste trin |
|
|
Se de andre indstillinger. |
|
Tilgængelig |
Næste trin |
|
|
Se de andre indstillinger. |
|
Tilgængelig |
Næste trin |
|||||
|
|
Hvis du vil installere denne version fra Microsoft Update-kataloget, skal du følge disse instruktioner: Før du installerer denne opdatering, den eller de separate pakker til denne opdatering, skal du gå til webstedet Microsoft Update-katalog. Denne KB indeholder en eller flere MSU-filer, der kræver installation i en bestemt rækkefølge. Du kan installere denne opdatering ved hjælp af metode 1 (installér alle MSU-filer sammen) eller metode 2 (installér hver MSU-fil individuelt i rækkefølge). Metode 1: Installér alle MSU-filer sammen Download alle MSU-filer til KB5091157 fra Microsoft Update-kataloget, og placer dem i den samme mappe (f.eks. C:/Pakker). Brug Vedligeholdelse og administration af installationsafbildning (DISM.exe) til at installere målopdateringen. DISM bruger den mappe, der er angivet i PackagePath , til at finde og installere en eller flere nødvendige MSU-filer efter behov. Opdatering af Windows-pc Hvis du vil anvende denne opdatering på en kørende Windows-pc, skal du køre følgende kommando fra en kommandoprompt med administratorrettigheder:
Eller kør følgende kommando fra en prompt med administratorrettigheder Windows PowerShell:
Eller brug Windows Update enkeltstående installationsprogram til at installere målopdateringen. Opdatering af Windows-installationsmedier Hvis du vil anvende denne opdatering på Windows-installationsmedier, skal du se Opdater Windows-installationsmedier med Dynamisk opdatering. Bemærk! Når du downloader andre dynamiske opdateringspakker, skal du sikre dig, at de svarer til den samme måned som denne KB. Hvis SafeOS Dynamic Update eller Setup Dynamic Update ikke er tilgængelig for den samme måned som denne KB, skal du bruge den senest udgivne version af hver. Hvis du vil føje denne opdatering til en tilsluttet afbildning, skal du køre følgende kommando fra en kommandoprompt med administratorrettigheder:
Eller kør følgende kommando fra en prompt med administratorrettigheder Windows PowerShell:
Metode 2: Installér hver MSU-fil enkeltvis, i rækkefølge Download og installér hver MSU-fil individuelt enten ved hjælp af DISM eller Windows Update enkeltstående installationsprogram i følgende rækkefølge:
|
|
Tilgængelig |
Næste trin |
|
|
Se de andre indstillinger. |
Hvis du vil fjerne denne opdatering
Forsigtig! Før du beslutter dig for at fjerne denne opdatering, skal du se Forstå risiciene: Derfor bør du ikke fjerne sikkerhedsopdateringer.
Hvis du vil fjerne denne opdatering efter installation af den kombinerede SSU- og LCU-pakke, skal du bruge kommandolinjeindstillingen DISM/Remove-Package med LCU-pakkenavnet som argument. Du kan finde pakkenavnet ved hjælp af denne kommando: DISM /online /get-packages.
Kørsel af Windows Update enkeltstående installationsprogram (wusa.exe) med parameteren /uninstall på den kombinerede pakke fungerer ikke, fordi den kombinerede pakke indeholder SSU' en. Du kan ikke fjerne SSU'en fra systemet efter installationen.
Filoplysninger
Du kan få en liste over de filer, som denne opdatering leverer, ved at downloade filoplysninger for opdatering uden for båndet 5091157.
Du kan få en liste over de filer, som opdateringen til behandlingsstakken leverer, ved at downloade filoplysninger for SSU (KB5082062) – version 26100.32692.
