12 במאי 2026—KB5087420 (גרסת Build של מערכת ההפעלה 22631.7079)

תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכונים של רשות אישורים

חשוב: תוקפם של אישורי אתחול מאובטח המשמשים את רוב מכשירי Windows החל לפוג ביוני 2026. בחודשים האחרונים ‏Microsoft מעדכנת את האישורים האלה במכשירים עסקיים שאינם מנוהלים על-ידי צרכנים ובמכשירים עסקיים שאינם מנוהלים. מכשירים שלא קיבלו את האישורים החדשים יותר ימשיכו לפעול ולפעול כרגיל, ועדכונים רגילים של Windows ימשיכו להיות מותקנים. אנו נמשיך להתקין את האישורים החדשים יותר באמצעות עדכוני Windows בחודשים הקרובים.

באפשרותך לבדוק את מצב המחשב באפליקציה 'אבטחת Windows'. אם אתה מנהל IT, פעל בהתאם להנחיות המפורטות במדריך אתחול מאובטח עבור לקוחות Windows ו-Windows Server.

תסמין

ייתכן שבמכשירים מסוימים עם תצורת מדיניות קבוצתית לא מומלצת של BitLocker יהיה צורך להזין את מפתח השחזור של BitLocker בהפעלה מחדש הראשונה לאחר התקנת עדכון זה.

בעיה זו משפיעה רק על מספר מוגבל של מערכות שבהן כל התנאים הבאים מתקיימים. לא סביר שתנאים אלה יימצאו במכשירים אישיים שאינם מנוהלים על-ידי מחלקות IT.

1. ‏BitLocker מופעל בכונן מערכת ההפעלה.
2. המדיניות הקבוצתית 'קביעת תצורת פרופיל אימות הפלטפורמה של TPM עבור תצורות קושחת UEFI מקוריות' מוגדרת, ו- PCR7 נכלל בפרופיל האימות (או שמפתח הרישום המקביל הוגדר ידנית).
3. התוכנה 'מידע מערכת' (msinfo32.exe) מדווחת שאיגוד PCR7 של מצב אתחול מאובטח הוא 'לא אפשרי'.
4. אישור Windows UEFI CA 2023 קיים במסד הנתונים של חתימות האתחול המאובטח (DB) של המכשיר, מה שהופך את המכשיר לזכאי לכך ש- Windows Boot Manager החתום ל- 2023 יוגדר כברירת מחדל.
5. ‏Windows Boot Manager עם חתימת 2023 עדיין לא מופעל במכשיר הזה.

בתרחיש זה, צריך להזין את מפתח השחזור של BitLocker פעם אחת בלבד – בהפעלות מחדש העוקבות לא יופעל מסך שחזור של BitLocker, כל עוד תצורת המדיניות הקבוצתית לא משתנה. לקבלת עזרה במציאת מפתח השחזור של BitLocker שלך, עיין במאמר מצא את מפתח השחזור של BitLocker שלך.

מומלץ לארגונים לבצע ביקורת של המדיניות הקבוצתית של BitLocker כדי לזהות ש- PCR7 נכלל במפורש, ולבדוק ב- msinfo32.exe מהו מצב האיגוד של PCR7 לפני התקנת עדכון זה. (עיין בפתרון להלן.)

פתרון

בעיה זו טופלה ב KB5093998. לאחר התקנת KB5093998, מכשירים עם תצורת מדיניות קבוצתית לא תואמת זו מנועים מלהתקין את מנהל האתחול של Windows החתום ב- 2023. אם המכשיר שלך הושפע, מזהה אירוע 1032 יופיע ביומן אירועי המערכת בעת התקנת עדכונים של Windows: "מנהל האתחול של עדכון אתחול מאובטח (2023) לא הוחל עקב חוסר תאימות ידוע עם תצורת BitLocker הנוכחית."

אם אתה מקבל מזהה אירוע 1032, Microsoft ממליצה מאוד להסיר את תצורת מדיניות קבוצתית לפני התקנת עדכונים כדי שתוכל להתקין את מנהל האתחול של Windows החתום ב-2023 ולהמשיך לקבל את הגנות האתחול המאובטח העדכניות ביותר.

הסר את תצורת מדיניות קבוצתית לפני התקנת העדכון (מומלץ)

1. פותחים את עורך המדיניות הקבוצתית (gpedit.msc) או את מסוף ניהול המדיניות הקבוצתית.
2. נווט אל: תצורת > מחשב, תבניות מנהליות>, רכיבי Windows, הצפנת >> כונן של BitLocker, כונני מערכת הפעלה.
3. מגדירים את האפשרות 'קביעת התצורה של פרופיל אימות פלטפורמת TPM בהגדרות קושחה מקוריות של UEFI' ל'לא הוגדר'.
4. מפעילים את הפקודה הבאה במכשירים המושפעים כדי להוסיף את שינוי המדיניות: gpupdate /force
5. הפעל את הפקודה הבאה כדי להשעות את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -disable C:
6. הפעל את הפקודה הבאה כדי לחדש את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -enable C:
7. פעולה זו מעדכנת את איגודי BitLocker כך שישתמשו בפרופיל PCR המוגדר כברירת מחדל על-ידי Windows.

אם אינך מעוניין להסיר תצורה זו של מדיניות קבוצתית, תוכל להתקין את מנהל האתחול החדש של Windows על-ידי השעיה זמנית של BitLocker והתקנת עדכון האתחול המאובטח. לשם כך:

1. הפעל את הפקודה הבאה כדי להשעות את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -disable C:
2. הפעל את הפקודה הבאה: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. הפעל מחדש את המכשיר.
4. לאחר שמנהל האתחול החדש של Windows הותקן בהצלחה, הפעל את BitLocker על-ידי הפעלת הפקודה: manage-bde -protectors -enable C: