14 avril 2026 – KB5083769 (builds du système d’exploitation 26200.8246 et 26100.8246)

Expiration du certificat de démarrage sécurisé Windows

Important : Les certificats de démarrage sécurisé utilisés par la plupart des appareils Windows sont configurés pour expirer à partir du mois de juin 2026. Cela peut affecter la capacité de certains appareils personnels et professionnels à démarrer en toute sécurité s’ils ne sont pas mis à jour à temps. Pour éviter toute interruption, nous vous recommandons de consulter l’aide et de prendre des mesures pour mettre à jour les certificats à l’avance. Pour plus d’informations et les étapes de préparation, consultez Expiration du certificat de démarrage sécurisé Windows et mises à jour de l’autorité de certification.

Symptôme

Certains appareils avec une configuration BitLocker stratégie de groupe non recommandée peuvent être tenus d’entrer leur clé de récupération BitLocker au premier redémarrage après l’installation de cette mise à jour.

Ce problème affecte uniquement un nombre limité de systèmes dans lesquels toutes les conditions suivantes sont remplies. Ces conditions sont peu probables sur les appareils personnels qui ne sont pas gérés par les services informatiques.

1. BitLocker est activé sur le lecteur du système d’exploitation.

2. Le stratégie de groupe « Configurer le profil de validation de plateforme TPM pour les configurations de microprogramme UEFI natives » est configuré et LE PROTOCOLE PCR7 est inclus dans le profil de validation (ou la clé de Registre équivalente est définie manuellement).

3. Les informations système (msinfo32.exe) indiquent que la liaison PCR7 de l’état de démarrage sécurisé est « non possible ».

4. Le certificat Windows UEFI CA 2023 est présent dans la base de données de signature de démarrage sécurisé de l’appareil, ce qui rend l’appareil éligible pour le Gestionnaire de démarrage Windows 2023 signé par défaut.

5. L’appareil n’exécute pas déjà le Gestionnaire de démarrage Windows signé 2023.

Dans ce scénario, la clé de récupération BitLocker ne doit être entrée qu’une seule fois : les redémarrages suivants ne déclenchent pas d’écran de récupération BitLocker, tant que la configuration de la stratégie de groupe reste inchangée. Pour obtenir de l’aide sur la recherche de votre clé de récupération BitLocker, consultez l’article Rechercher votre clé de récupération BitLocker.

Avant d’installer cette mise à jour, il est recommandé aux entreprises d’auditer leurs stratégies de groupe BitLocker pour l’inclusion explicite de PCR7 et de case activée msinfo32.exe pour leur status de liaison PCR7. (Voir l’option 1 ci-dessous.)

Solution de contournement 

Option 1 : Supprimer la configuration stratégie de groupe avant d’installer la mise à jour (recommandé) 

1. Ouvrez l’Éditeur stratégie de groupe (gpedit.msc) ou votre console de gestion stratégie de groupe.

2. Accédez à : Configuration ordinateur > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker > lecteurs du système d’exploitation.

3. Définissez « Configurer le profil de validation de plateforme TPM pour les configurations de microprogramme UEFI natives » sur « Non configuré ».

4. Exécutez la commande suivante sur les appareils affectés pour propager la modification de stratégie : gpupdate /force

5. Exécutez la commande suivante pour suspendre BitLocker (où BitLocker est activé sur le lecteur C :) : manage-bde -protectors -disable C :

6. Exécutez la commande suivante pour reprendre BitLocker (où BitLocker est activé sur le lecteur C :) : manage-bde -protectors -enable C :

7. Cela met à jour les liaisons BitLocker pour utiliser le profil PCR par défaut sélectionné par Windows.

Option 2 : appliquer la restauration du problème connu (KIR) avant d’installer la mise à jour

Une restauration de problème connu (KIR) est disponible pour les clients qui ne peuvent pas supprimer la stratégie de groupe PCR7 avant de déployer cette mise à jour. Le KIR empêche le basculement automatique vers le Gestionnaire de démarrage 2023, ce qui évite le déclencheur de récupération BitLocker. Le kir doit être déployé avant d’installer la mise à jour sur les appareils affectés. Pour obtenir ce KIR, contactez le support technique microsoft pour les entreprises .

Étapes suivantes

Une résolution définitive de ce problème est prévue dans une prochaine mise à jour windows. Plus d’informations seront fournies lorsqu’elles seront disponibles.