12 במאי 2026 - KB5087544 (גירסאות Build 19045.7291 ו- 19044.7291 של מערכת ההפעלה)

ייתכן שמכשירים עם BitLocker לא מדיניות קבוצתית תידרש להזין את מפתח השחזור של BitLocker

הסימפטומים

ייתכן שבמכשירים מסוימים עם תצורת מדיניות קבוצתית לא מומלצת של BitLocker יהיה צורך להזין את מפתח השחזור של BitLocker בהפעלה מחדש הראשונה לאחר התקנת עדכון זה.

בעיה זו משפיעה רק על מספר מוגבל של מערכות שבהן מתקיימים כל התנאים הבאים. לא סביר שתנאים אלה יימצאו במכשירים אישיים שאינם מנוהלים על-ידי מחלקות IT.

1. ‏BitLocker מופעל בכונן מערכת ההפעלה.

2. המדיניות הקבוצתית 'קביעת תצורת פרופיל אימות הפלטפורמה של TPM עבור תצורות קושחת UEFI מקוריות' מוגדרת, ו- PCR7 נכלל בפרופיל האימות (או שמפתח הרישום המקביל הוגדר ידנית).

3. התוכנה 'מידע מערכת' (msinfo32.exe) מדווחת שאיגוד PCR7 של מצב אתחול מאובטח הוא 'לא אפשרי'.

4. אישור Windows UEFI CA 2023 קיים במסד הנתונים של חתימות האתחול המאובטח (DB) של המכשיר, מה שהופך את המכשיר לזכאי לכך ש- Windows Boot Manager החתום ל- 2023 יוגדר כברירת מחדל.

5. ‏Windows Boot Manager עם חתימת 2023 עדיין לא מופעל במכשיר הזה.

בתרחיש זה, צריך להזין את מפתח השחזור של BitLocker פעם אחת בלבד – בהפעלות מחדש העוקבות לא יופעל מסך שחזור של BitLocker, כל עוד תצורת המדיניות הקבוצתית לא משתנה. לקבלת עזרה במציאת מפתח השחזור של BitLocker, יש לעיין במאמר 'איתור מפתח השחזור של BitLocker'.

מומלץ לארגונים לבצע ביקורת של המדיניות הקבוצתית של BitLocker כדי לזהות ש- PCR7 נכלל במפורש, ולבדוק ב- msinfo32.exe מהו מצב האיגוד של PCR7 לפני התקנת עדכון זה.

פתרון

אנו עובדים על פתרון ונספק מידע נוסף כשהוא יהיה זמין.

כדי לעקוף את הבעיה הזו באופן זמני, יש להסיר את תצורת המדיניות הקבוצתית לפני התקנת העדכון (מומלץ) 

1. פותחים את עורך המדיניות הקבוצתית (gpedit.msc) או את מסוף ניהול המדיניות הקבוצתית.

2. מנווטים אל: תצורת המחשב > תבניות מנהליות > רכיבי Windows > הצפנת כונן של BitLocker > כונני מערכת הפעלה.

3. מגדירים את האפשרות 'קביעת התצורה של פרופיל אימות פלטפורמת TPM בהגדרות קושחה מקוריות של UEFI' ל'לא הוגדר'.

4. מפעילים את הפקודה הבאה במכשירים המושפעים כדי להוסיף את שינוי המדיניות: gpupdate /force

5. מפעילים את הפקודה הבאה כדי להשעות את BitLocker (כש- BitLocker זמין בכונן C:): manage-bde -protectors -disable C:

6. מפעילים את הפקודה הבאה כדי לחדש את BitLocker (כאשר BitLocker זמין בכונן C:): manage-bde -protectors -enable C:

7. הפעולה הזו מעדכנת את איגודי BitLocker לשימוש בפרופיל ברירת המחדל של PCR ב- Windows.

ייתכן שמכשירים עם BitLocker לא מדיניות קבוצתית תידרש להזין את מפתח השחזור של BitLocker

הסימפטומים

ייתכן שבמכשירים מסוימים עם תצורת מדיניות קבוצתית לא מומלצת של BitLocker יהיה צורך להזין את מפתח השחזור של BitLocker בהפעלה מחדש הראשונה לאחר התקנת עדכון זה.

בעיה זו משפיעה רק על מספר מוגבל של מערכות שבהן מתקיימים כל התנאים הבאים. לא סביר שתנאים אלה יימצאו במכשירים אישיים שאינם מנוהלים על-ידי מחלקות IT.

1. ‏BitLocker מופעל בכונן מערכת ההפעלה.

2. המדיניות הקבוצתית 'קביעת תצורת פרופיל אימות הפלטפורמה של TPM עבור תצורות קושחת UEFI מקוריות' מוגדרת, ו- PCR7 נכלל בפרופיל האימות (או שמפתח הרישום המקביל הוגדר ידנית).

3. התוכנה 'מידע מערכת' (msinfo32.exe) מדווחת שאיגוד PCR7 של מצב אתחול מאובטח הוא 'לא אפשרי'.

4. אישור Windows UEFI CA 2023 קיים במסד הנתונים של חתימות האתחול המאובטח (DB) של המכשיר, מה שהופך את המכשיר לזכאי לכך ש- Windows Boot Manager החתום ל- 2023 יוגדר כברירת מחדל.

5. ‏Windows Boot Manager עם חתימת 2023 עדיין לא מופעל במכשיר הזה.

בתרחיש זה, צריך להזין את מפתח השחזור של BitLocker פעם אחת בלבד – בהפעלות מחדש העוקבות לא יופעל מסך שחזור של BitLocker, כל עוד תצורת המדיניות הקבוצתית לא משתנה. לקבלת עזרה במציאת מפתח השחזור של BitLocker, יש לעיין במאמר 'איתור מפתח השחזור של BitLocker'.

מומלץ לארגונים לבצע ביקורת של המדיניות הקבוצתית של BitLocker כדי לזהות ש- PCR7 נכלל במפורש, ולבדוק ב- msinfo32.exe מהו מצב האיגוד של PCR7 לפני התקנת עדכון זה.

פתרון

אנו עובדים על פתרון ונספק מידע נוסף כשהוא יהיה זמין.

כדי לעקוף את הבעיה הזו באופן זמני, יש להסיר את תצורת המדיניות הקבוצתית לפני התקנת העדכון (מומלץ) 

1. פותחים את עורך המדיניות הקבוצתית (gpedit.msc) או את מסוף ניהול המדיניות הקבוצתית.

2. מנווטים אל: תצורת המחשב > תבניות מנהליות > רכיבי Windows > הצפנת כונן של BitLocker > כונני מערכת הפעלה.

3. מגדירים את האפשרות 'קביעת התצורה של פרופיל אימות פלטפורמת TPM בהגדרות קושחה מקוריות של UEFI' ל'לא הוגדר'.

4. מפעילים את הפקודה הבאה במכשירים המושפעים כדי להוסיף את שינוי המדיניות: gpupdate /force

5. מפעילים את הפקודה הבאה כדי להשעות את BitLocker (כש- BitLocker זמין בכונן C:): manage-bde -protectors -disable C:

6. מפעילים את הפקודה הבאה כדי לחדש את BitLocker (כאשר BitLocker זמין בכונן C:): manage-bde -protectors -enable C:

7. הפעולה הזו מעדכנת את איגודי BitLocker לשימוש בפרופיל ברירת המחדל של PCR ב- Windows.