14 באפריל 2026 - KB5082052 (גירסת Build של מערכת ההפעלה 22631.6936)

תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכונים של רשות אישורים

חשוב: אישורי אתחול מאובטח המשמשים את רוב מכשירי Windows מוגדרים כך שתוקפם יפוג החל מיוני 2026. הדבר עשוי להשפיע על היכולת של מכשירים אישיים ועסקיים מסוימים לבצע אתחול מאובטח אם לא יבוצע עדכון שלהם בזמן. כדי למנוע הפרעות, מומלץ לסקור את ההדרכה ולבצע פעולה כדי לעדכן אישורים מראש. לקבלת פרטים על שלבי ההכנה, ראה תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכונים של רשות אישורים.

סימפטום

ייתכן שמכשירים מסוימים עם BitLocker מדיניות קבוצתית שתידרש להזין את מפתח השחזור של BitLocker בהפעלה מחדש הראשונה לאחר התקנת עדכון זה.

בעיה זו משפיעה רק על מספר מוגבל של מערכות שבהן מתקיימים כל התנאים הבאים. לא סביר שתנאים אלה נמצאים במכשירים אישיים שאינם מנוהלים על-ידי מחלקות IT.

1. BitLocker זמין בכונן מערכת ההפעלה.

2. תצורת מדיניות קבוצתית 'קביעת תצורה של פלטפורמת TPM עבור תצורות קושחה מקוריות של UEFI' נקבעה, ו- PCR7 כלול בפרופיל האימות (או שמפתח הרישום המקביל מוגדר באופן ידני).

3. מידע מערכת (msinfo32.exe) מדווח על איגוד PCR7 מצב אתחול מאובטח כ"לא אפשרי".

4. אישור Windows UEFI CA 2023 קיים במסד הנתונים של חתימת האתחול המאובטח (DB) של המכשיר, מה שהפך את המכשיר לזכאי שחתום על-ידי Windows Boot Manager כדי להפוך לברירת המחדל.

5. המכשיר אינו מפעיל עדיין את מנהל האתחול של Windows 2023.

בתרחיש זה, יש להזין את מפתח השחזור של BitLocker פעם אחת בלבד - הפעלות מחדש עוקבות לא יפעילו מסך שחזור של BitLocker, כל עוד תצורת המדיניות הקבוצתית נשארת ללא שינוי. לקבלת עזרה באיתור מפתח השחזור של BitLocker, עיין במאמר איתור מפתח השחזור של BitLocker.

ארגונים מומלצים לביקורת על מדיניות קבוצתית של BitLocker עבור הכללה מפורשת של PCR7 msinfo32.exe את מצב איגוד ה- PCR7 שלהם לפני התקנת עדכון זה. (ראה אפשרות 1 להלן.)

פתרון 

אפשרות 1: הסר את מדיניות קבוצתית התצורה לפני התקנת העדכון (מומלץ) 

1. פתח מדיניות קבוצתית (gpedit.msc) או את מדיניות קבוצתית הניהול שלך.

2. נווט אל: תצורת המחשב > מנהליות > רכיבי Windows > הצפנת כונן של BitLocker > כונני מערכת הפעלה.

3. קבע את התצורה של פרופיל אימות פלטפורמת TPM עבור תצורות קושחה מקוריות של UEFI ל"לא נקבעה תצורה".

4. הפעל את הפקודה הבאה במכשירים המושפעים כדי להוסיף את שינוי המדיניות: gpupdate /force

5. הפעל את הפקודה הבאה כדי להשעות את BitLocker (כאשר BitLocker זמין בכונן C:): manage-bde -protectors -disable C:

6. הפעל את הפקודה הבאה כדי לחדש את BitLocker (כאשר BitLocker זמין בכונן C:): manage-bde -protectors -enable C:

7. פעולה זו מעדעדכן את איגודי BitLocker לשימוש בפרופיל PCR המוגדר כברירת מחדל של Windows שנבחר.

אפשרות 2: החל את ההחזרה למצב קודם של בעיה ידועה (KIR) לפני התקנת העדכון

אפשרות לחזרה למצב קודם (KIR) של בעיות ידועות זמינה עבור לקוחות שאינם יכולים להסיר את המדיניות הקבוצתית של PCR7 לפני פריסת עדכון זה. KIR מונע את המעבר האוטומטי למנהל האתחול של 2023, ומונעת את גורם השחזור של BitLocker. יש לפרוס את KIR לפני התקנת העדכון במכשירים המושפעים. פנה לתמיכה של Microsoft לעסקים כדי להשיג KIR זה.

השלבים הבאים

פתרון קבוע לבעיה זו מתוכנן בעדכון עתידי של Windows. מידע נוסף יצוין כאשר הוא יהיה זמין.