19 avril 2026 — KB5091157 (build du système d’exploitation 26100.32698) Hors bande

Symptôme

Certains appareils avec une configuration BitLocker stratégie de groupe non recommandée peuvent être tenus d’entrer leur clé de récupération BitLocker au premier redémarrage après l’installation de cette mise à jour.

Ce problème affecte uniquement un nombre limité de systèmes dans lesquels toutes les conditions suivantes sont remplies. Ces conditions sont peu probables sur les appareils personnels qui ne sont pas gérés par les services informatiques.

1. BitLocker est activé sur le lecteur du système d’exploitation.

2. Le stratégie de groupe « Configurer le profil de validation de plateforme TPM pour les configurations de microprogramme UEFI natives » est configuré et LE PROTOCOLE PCR7 est inclus dans le profil de validation (ou la clé de Registre équivalente est définie manuellement).

3. Les informations système (msinfo32.exe) indiquent que la liaison PCR7 de l’état de démarrage sécurisé est « non possible ».

4. Le certificat Windows UEFI CA 2023 est présent dans la base de données de signature de démarrage sécurisé de l’appareil, ce qui rend l’appareil éligible pour le Gestionnaire de démarrage Windows 2023 signé par défaut.

5. L’appareil n’exécute pas déjà le Gestionnaire de démarrage Windows signé 2023.

Dans ce scénario, la clé de récupération BitLocker ne doit être entrée qu’une seule fois : les redémarrages suivants ne déclenchent pas d’écran de récupération BitLocker, tant que la configuration de la stratégie de groupe reste inchangée. Pour obtenir de l’aide sur la recherche de votre clé de récupération BitLocker, consultez l’article Rechercher votre clé de récupération BitLocker.

Avant d’installer cette mise à jour, il est recommandé aux entreprises d’auditer leurs stratégies de groupe BitLocker pour l’inclusion explicite de PCR7 et de case activée msinfo32.exe pour leur status de liaison PCR7. (Voir l’option 1 ci-dessous.)

Solution de contournement 

Option 1 : Supprimer la configuration stratégie de groupe avant d’installer la mise à jour (recommandé) 

1. Ouvrez l’Éditeur stratégie de groupe (gpedit.msc) ou votre console de gestion stratégie de groupe.

2. Accédez à : Configuration ordinateur > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker > lecteurs du système d’exploitation.

3. Définissez « Configurer le profil de validation de plateforme TPM pour les configurations de microprogramme UEFI natives » sur « Non configuré ».

4. Exécutez la commande suivante sur les appareils affectés pour propager la modification de stratégie : gpupdate /force

5. Exécutez la commande suivante pour suspendre BitLocker (où BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :

6. Exécutez la commande suivante pour reprendre BitLocker (où BitLocker est activé sur le lecteur C :) : manage-bde -protectors -enable C :

7. Cela met à jour les liaisons BitLocker pour utiliser le profil PCR par défaut sélectionné par Windows.

Option 2 : appliquer la restauration du problème connu (KIR) avant d’installer la mise à jour

Une restauration de problème connu (KIR) est disponible pour les clients qui ne peuvent pas supprimer la stratégie de groupe PCR7 avant de déployer cette mise à jour. Le KIR empêche le basculement automatique vers le Gestionnaire de démarrage 2023, ce qui évite le déclencheur de récupération BitLocker. Le kir doit être déployé avant d’installer la mise à jour sur les appareils affectés. Pour obtenir ce KIR, contactez le support technique microsoft pour les entreprises .

Une résolution définitive de ce problème est prévue dans une prochaine mise à jour windows. Plus d’informations seront fournies lorsqu’elles seront disponibles.

Après avoir installé KB5070881 ou des mises à jour ultérieures, Windows Server Update Services (WSUS) n’affiche pas les détails des erreurs de synchronisation dans son rapport d’erreurs. Cette fonctionnalité est temporairement supprimée pour résoudre la vulnérabilité d’exécution de code à distance, CVE-2025-59287.