19 avril 2026—KB5091157 (build du système d’exploitation 26100.32698) hors bande

Symptôme

Certains appareils présentant une configuration de stratégie de groupe BitLocker non recommandée pourraient être amenés à saisir leur clé de récupération BitLocker lors du premier redémarrage suivant l'installation de cette mise à jour.

Ce problème affecte uniquement un nombre limité de systèmes dans lesquels toutes les conditions suivantes sont remplies. Il est peu probable que ces conditions se retrouvent sur des appareils personnels non gérés par les services informatiques.

1. BitLocker est activé sur le lecteur du système d'exploitation.

2. La stratégie de groupe « Configurer le profil de validation de la plateforme TPM pour les configurations de firmware UEFI natives » est configurée, et le PCR7 est inclus dans le profil de validation (ou la clé de Registre équivalente est définie manuellement).

3. Les informations système (msinfo32.exe) indiquent que l'état de liaison PCR7 du démarrage sécurisé est « Impossible ».

4. Le certificat Windows UEFI CA 2023 est présent dans la base de données de signatures Secure Boot (DB) de l'appareil, rendant ce dernier éligible pour que le Gestionnaire de démarrage Windows signé en 2023 soit défini par défaut.

5. L'appareil n'exécute pas encore le Gestionnaire de démarrage Windows signé en 2023.

Dans ce scénario, la clé de récupération BitLocker ne doit être saisie qu'une seule fois ; les redémarrages ultérieurs ne déclencheront pas l'écran de récupération BitLocker, tant que la configuration de la stratégie de groupe demeure inchangée. Pour obtenir de l’aide sur la recherche de votre clé de récupération BitLocker, consultez l’article Rechercher votre clé de récupération BitLocker.

Il est recommandé aux entreprises d'auditer leurs stratégies de groupe BitLocker afin de vérifier l'inclusion explicite de PCR7, et de consulter msinfo32.exe pour vérifier l'état de liaison de PCR7, avant d'installer cette mise à jour. (Voir l’option 1 ci-dessous.)

Solution de contournement 

Ce problème est résolu dans KB5094125. Après avoir installé KB5094125,  les appareils avec cette configuration de stratégie de groupe incompatible ne peuvent pas installer le Gestionnaire de démarrage Windows signé 2023. Si votre appareil a été affecté, l’ID d’événement 1032 s’affiche dans le journal des événements système lors de l’installation des mises à jour Windows : « Le Gestionnaire de démarrage de la mise à jour de démarrage sécurisé (2023) n’a pas été appliqué en raison d’une incompatibilité connue avec la configuration BitLocker actuelle. »

Si vous recevez l’ID d’événement 1032, Microsoft recommande vivement de supprimer la configuration stratégie de groupe avant d’installer les mises à jour afin que vous puissiez installer le Gestionnaire de démarrage Windows signé 2023 et continuer à recevoir les dernières protections de démarrage sécurisé.

Supprimer la configuration stratégie de groupe avant d’installer la mise à jour (recommandé) 

1. Ouvrez l'Éditeur de stratégie de groupe (gpedit.msc) ou votre Console de gestion des stratégies de groupe.

2. Accédez à : Configuration ordinateur > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker > Lecteurs du système d’exploitation.

3. Définissez « Configurer le profil de validation de la plateforme TPM pour les configurations de firmware UEFI natives » sur « Non configuré ».

4. Exécutez la commande suivante sur les appareils concernés pour propager la modification de la stratégie : gpupdate /force

5. Exécutez la commande suivante pour suspendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :

6. Exécutez la commande suivante pour reprendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -enable C :

7. Cela met à jour les liaisons BitLocker pour utiliser le profil PCR par défaut sélectionné par Windows.

Si vous ne souhaitez pas supprimer cette configuration stratégie de groupe, vous pouvez installer le nouveau Gestionnaire de démarrage Windows en suspendant temporairement BitLocker et en installant la mise à jour de démarrage sécurisé. Pour ce faire :

1. Exécutez la commande suivante pour suspendre BitLocker (si BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :

2. Exécutez la commande suivante : Start-ScheduledTask -TaskName « \Microsoft\Windows\PI\Secure-Boot-Update »

3. Redémarrez lʼappareil.

4. Une fois le nouveau Gestionnaire de démarrage Windows installé, activez BitLocker en exécutant la commande manage-bde -protectors -enable C :

Après avoir installé KB5070881 ou des mises à jour ultérieures, Windows Server Update Services (WSUS) n’affiche pas les détails des erreurs de synchronisation dans son rapport d’erreurs. Cette fonctionnalité est temporairement supprimée pour résoudre la vulnérabilité d’exécution de code à distance, CVE-2025-59287. 

Symptômes

Après l’installation de cette mise à jour, l’avertissement de sécurité qui s’affiche lors de l’ouverture des fichiers Bureau à distance (RDP) peut ne pas s’afficher correctement dans certains cas.

Ce problème peut se produire lorsque vous utilisez plusieurs moniteurs avec des paramètres de mise à l’échelle d’affichage différents (par exemple, un écran défini sur 100 % et un autre sur 125 %). Dans ce cas, la fenêtre d’avertissement peut afficher du texte qui se chevauche ou des boutons partiellement masqués, ce qui peut rendre le message difficile à lire ou à interagir avec.

Solution de contournement

Ce problème est résolu dansKB5087539.