19 באפריל 2026 - KB5091157 (גרסת Build מס' 26100.32698 של מערכת ההפעלה)

סימפטום

ייתכן שבמכשירים מסוימים עם תצורת מדיניות קבוצתית לא מומלצת של BitLocker יהיה צורך להזין את מפתח השחזור של BitLocker בהפעלה מחדש הראשונה לאחר התקנת עדכון זה.

בעיה זו משפיעה רק על מספר מוגבל של מערכות שבהן מתקיימים כל התנאים הבאים. לא סביר שתנאים אלה יימצאו במכשירים אישיים שאינם מנוהלים על-ידי מחלקות IT.

1. ‏BitLocker מופעל בכונן מערכת ההפעלה.

2. המדיניות הקבוצתית 'קביעת תצורת פרופיל אימות הפלטפורמה של TPM עבור תצורות קושחת UEFI מקוריות' מוגדרת, ו- PCR7 נכלל בפרופיל האימות (או שמפתח הרישום המקביל הוגדר ידנית).

3. התוכנה 'מידע מערכת' (msinfo32.exe) מדווחת שאיגוד PCR7 של מצב אתחול מאובטח הוא 'לא אפשרי'.

4. אישור Windows UEFI CA 2023 קיים במסד הנתונים של חתימות האתחול המאובטח (DB) של המכשיר, מה שהופך את המכשיר לזכאי לכך ש- Windows Boot Manager החתום ל- 2023 יוגדר כברירת מחדל.

5. ‏Windows Boot Manager עם חתימת 2023 עדיין לא מופעל במכשיר הזה.

בתרחיש זה, צריך להזין את מפתח השחזור של BitLocker פעם אחת בלבד – בהפעלות מחדש העוקבות לא יופעל מסך שחזור של BitLocker, כל עוד תצורת המדיניות הקבוצתית לא משתנה. לקבלת עזרה באיתור מפתח השחזור של BitLocker, עיין במאמר איתור מפתח השחזור של BitLocker.

מומלץ לארגונים לבצע ביקורת של המדיניות הקבוצתית של BitLocker כדי לזהות ש- PCR7 נכלל במפורש, ולבדוק ב- msinfo32.exe מהו מצב האיגוד של PCR7 לפני התקנת עדכון זה. (ראה אפשרות 1 להלן.)

פתרון 

בעיה זו טופלה ב- KB5094125. לאחר התקנת KB5094125,  מכשירים בעלי תצורת מדיניות קבוצתית לא תואמת זו נמנעים מהתקנת מנהל האתחול של Windows 2023 החתום. אם המכשיר שלך הושפע, מזהה אירוע 1032 יופיע ביומן האירועים של המערכת בעת התקנת עדכוני Windows: "מנהל האתחול של עדכון האתחול המאובטח (2023) לא הוחל עקב חוסר תאימות ידוע עם התצורה הנוכחית של BitLocker."

אם אתה מקבל את מזהה האירוע 1032, Microsoft ממליצה מאוד להסיר את תצורת מדיניות קבוצתית לפני התקנת עדכונים כך שתוכל להתקין את מנהל האתחול של Windows 2023 ולהמשיך לקבל את הגנות האתחול המאובטח העדכניות ביותר.

הסר את מדיניות קבוצתית התצורה לפני התקנת העדכון (מומלץ) 

1. פותחים את עורך המדיניות הקבוצתית (gpedit.msc) או את מסוף ניהול המדיניות הקבוצתית.

2. מנווטים אל: תצורת המחשב > תבניות מנהליות > רכיבי Windows > הצפנת כונן של BitLocker > כונני מערכת הפעלה.

3. מגדירים את האפשרות 'קביעת התצורה של פרופיל אימות פלטפורמת TPM בהגדרות קושחה מקוריות של UEFI' ל'לא הוגדר'.

4. מפעילים את הפקודה הבאה במכשירים המושפעים כדי להוסיף את שינוי המדיניות: gpupdate /force

5. הפעל את הפקודה הבאה כדי להשעות את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -disable C:

6. הפעל את הפקודה הבאה כדי לחדש את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -enable C:

7. פעולה זו מעדעדכן את איגודי BitLocker לשימוש בפרופיל PCR המוגדר כברירת מחדל של Windows שנבחר.

אם אינך מעוניין להסיר תצורה מדיניות קבוצתית זו, באפשרותך להתקין את מנהל האתחול החדש של Windows על-ידי השהיה זמנית של BitLocker והתקנה של עדכון האתחול המאובטח. לשם כך:

1. הפעל את הפקודה הבאה כדי להשעות את BitLocker (אם BitLocker זמין בכונן C:): manage-bde -protectors -disable C:

2. הפעל את הפקודה הבאה: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. הפעל מחדש את המכשיר.

4. לאחר שמנהל האתחול החדש של Windows הותקן בהצלחה, הפוך את BitLocker לזמין על-ידי הפעלת הפקודה: manage-bde -protectors -enable C:

לאחר התקנת KB5070881 או עדכונים מאוחרים יותר, Windows Server Update Services (WSUS) לא מציג פרטים על שגיאות סנכרון בדיווח השגיאות שלו. פונקציונליות זו הוסרה זמנית כדי לטפל בפגיעות של ביצוע קוד מרחוק, CVE-2025-59287. 

סימפטומים

לאחר התקנת עדכון זה, ייתכן שתופיע אזהרת האבטחה שמופיעה בעת פתיחת קבצי שולחן עבודה מרוחק (RDP) במקרים מסוימים.

בעיה זו עלולה להתרחש כאשר אתה משתמש ביותר מצג אחד עם הגדרות שונות של שינוי קנה מידה של תצוגה (לדוגמה, תצוגה אחת מוגדרת ל- 100% וצג אחר מוגדר ל- 125%). במקרה כזה, חלון האזהרה עשוי להציג טקסט חופף או לחצנים מוסתרים חלקית, דבר שעלול להקריא את ההודעה או לקיים אתם אינטראקציה.

פתרון

בעיה זו טופלה ב-KB5087539.