19. huhtikuuta 2026—KB5091157 (käyttöjärjestelmän koontiversio 26100.32698) Kaistan ulkopuoli lisäpäivitys

Ongelma

Joissakin laitteissa, joiden BitLocker-ryhmäkäytäntöasetukset eivät ole suositusten mukaiset, saatetaan joutua syöttämään BitLocker-palautusavain ensimmäisen uudelleenkäynnistyksen yhteydessä tämän päivityksen asentamisen jälkeen.

Tämä ongelma koskee vain rajoitettua määrää järjestelmiä, joissa KAIKKI seuraavista ehdoista täyttyvät. Näitä olosuhteita ei todennäköisesti esiinny henkilökohtaisissa laitteissa, joita IT-osastot eivät hallinnoi.

1. BitLocker on otettu käyttöön käyttöjärjestelmäasemalla.

2. Ryhmäkäytäntö Määritä TPM-alustan vahvistusprofiili alkuperäisille UEFI-laiteohjelmistokokoonpanoille on määritetty, ja PCR7 on sisällytetty vahvistusprofiiliin (tai vastaava rekisteriavain on määritetty manuaalisesti).

3. Järjestelmätiedot (msinfo32.exe) ilmoittaa Secure Boot State PCR7 -sidonnan tilaksi Ei mahdollinen.

4. Laitteen Secure Boot -allekirjoitustietokannassa (DB) on Windows UEFI CA 2023 -varmenne, minkä ansiosta laitteeseen voidaan asettaa oletukseksi 2023-allekirjoitettu Windowsin käynnistyksen hallintaohjelma.

5. Laitteessa ei ole vielä käytössä vuonna 2023 allekirjoitettua Windowsin käynnistyksen hallintaohjelmaa.

Tässä tilanteessa BitLocker-palautusavain on syötettävä vain kerran – myöhemmät uudelleenkäynnistykset eivät avaa BitLocker-palautusnäyttöä, kunhan ryhmäkäytäntöasetukset pysyvät ennallaan. Lisätietoja BitLocker-palautusavaimen löytämisestä on artikkelissa BitLocker-palautusavaimen etsiminen.

Yrityksille suositellaan, että ne tarkistavat BitLocker-ryhmäkäytäntöjensä sisältävän nimenomaisen PCR7-määritteen ja tarkistavat msinfo32.exe-ohjelmalla PCR7-sidonnan tilan ennen tämän päivityksen asentamista. (Katso vaihtoehto 1 alla.)

Vaihtoehtoinen menetelmä 

Tämä ongelma on korjattu KB5094125. Kun olet asentanut KB5094125,laitteet,  joissa on tämä yhteensopimaton ryhmäkäytäntömääritys, eivät voi asentaa 2023-allekirjoitettua Windowsin käynnistyksen hallintaa. Jos tämä vaikutti laitteeseesi, tapahtumatunnus 1032 näkyy Järjestelmän tapahtumalokissa, kun asennat Windows-päivityksiä: "Suojatun käynnistyksen päivityksen käynnistyksen hallintaa (2023) ei otettu käyttöön, koska bitlocker-määritysten tiedetään olevan ristiriidassa senhetkisen BitLocker-määrityksen kanssa."

Jos saat tapahtumatunnuksen 1032, Microsoft suosittelee vahvasti ryhmäkäytäntö määrityksen poistamista ennen päivitysten asentamista, jotta voit asentaa 2023-allekirjoitetun Windowsin käynnistyksen hallinnan ja saada uusimmat suojatun käynnistyksen suojaukset.

Ryhmäkäytäntö määrityksen poistaminen ennen päivityksen asentamista (suositus) 

1. Avaa ryhmäkäytäntöeditori (gpedit.msc) tai ryhmäkäytäntöjen hallintakonsoli.

2. Siirry kohtaan: Tietokoneen asetukset > Hallintamallit > Windows-komponentit > BitLocker-aseman salaus > Käyttöjärjestelmäasemat.

3. Aseta asetus Määritä TPM-alustan vahvistusprofiili natiiveille UEFI-laiteohjelmistokokoonpanoille arvoon Ei määritetty.

4. Suorita seuraava komento kyseisillä laitteilla, jotta käytäntömuutos otetaan käyttöön: gpupdate /force

5. Keskeytä BitLocker suorittamalla seuraava komento (jos BitLocker on käytössä C:-asemassa): manage-bde -protectors -disable C:

6. Suorita seuraava komento jatkaaksesi BitLockeria (jos BitLocker on käytössä C:-asemassa): manage-bde -protectors -enable C:

7. Tämä päivittää BitLocker-sidonnat käyttämään Windowsin valitsemaa PCR-oletusprofiilia.

Jos et halua poistaa tätä ryhmäkäytäntö määritystä, voit asentaa uuden Windowsin käynnistyksen hallinnan keskeyttämällä BitLockerin tilapäisesti ja asentamalla suojatun käynnistyksen päivityksen. Toimi seuraavasti:

1. Keskeytä BitLocker suorittamalla seuraava komento (jos BitLocker on käytössä C:-asemassa): manage-bde -protectors -disable C:

2. Suorita seuraava komento: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Käynnistä laite uudelleen.

4. Kun uusi Windowsin käynnistyksen hallinta on asennettu onnistuneesti, ota BitLocker käyttöön suorittamalla komento: manage-bde -protectors -enable C:

Päivityksen KB5070881 tai uudempien päivitysten asentamisen jälkeen Windows Server Update Services (WSUS) ei näytä synkronointivirheiden tietoja virheraporteissa. Tämä toiminto poistetaan tilapäisesti käytöstä koodin etäsuorittamisen haavoittuvuuden CVE-2025-59287 korjaamiseksi. 

Ongelman ilmenemistapa

Tämän päivityksen asentamisen jälkeen etätyöpöytätiedostoja avattaessa näkyviin tulevaa suojausvaroitusta ei välttämättä näytetä oikein joissakin tapauksissa.

Tämä ongelma voi ilmetä, kun käytät useampaa kuin yhtä näyttöä, jossa on erilaiset näytön skaalausasetukset (esimerkiksi yhden näytön arvoksi on määritetty 100 % ja toisen arvoksi 125 %). Kun näin tapahtuu, varoitusikkunassa voi näkyä päällekkäisiä tekstejä tai osittain piilotettuja painikkeita, mikä voi vaikeuttaa viestin lukemista tai käsittelemistä.

Vaihtoehtoinen menetelmä

Tämä ongelma on korjattuKB5087539.