12. svibnja 2026. – KB5087420. (međuverzija OS-a 22631.7079)

Istek certifikata za sigurno pokretanje sustava Windows

Važno: Certifikati za sigurno pokretanje koje koristi većina uređaja sa sustavom Windows postavljeni su da istječu počevši od lipnja 2026. To može utjecati na mogućnost određenih osobnih i poslovnih uređaja za sigurno pokretanje ako se ne ažuriraju na vrijeme. Da biste izbjegli prekide u radu, preporučujemo da pregledate smjernice i prije toga poduzeti radnje za ažuriranje certifikata. Pojedinosti i korake za pripremu potražite u članku Istek certifikata za sigurno pokretanje sustava Windows i ažuriranja ustanove za izdavanje certifikata.

Simptom

Neki uređaji s nepreporučenom konfiguracijom BitLocker pravilnik grupe možda će morati unijeti svoj BitLocker ključ oporavka pri prvom ponovnom pokretanju nakon instalacije ovog ažuriranja.

Taj problem utječe samo na ograničen broj sustava u kojima su ispunjeni SVI sljedeći uvjeti. Ti uvjeti se vjerojatno neće pronaći na osobnim uređajima, kojim ne upravljaju IT odjeli.

1. BitLocker je omogućen na pogonu operacijskog sustava.

2. Konfiguriran je pravilnik grupe „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme”, a PCR7 je obuhvaćen u profil provjere valjanosti (ili se ekvivalentni ključ registra postavlja ručno).

3. Informacije o sustavu (msinfo32.exe) prijavljuje povezivanje PCR7 u stanju sigurnog pokretanja sustava kao "Nije moguće".

4. Certifikat Windows UEFI CA 2023 nalazi se u bazi podataka potpisa sigurnog pokretanja (DB) uređaja, zbog čega uređaj ispunjava uvjete za Windows Boot Manager potpisan s potpisom za 2023. kao zadani.

5. Na uređaju nije već pokrenut Windows Boot Manager potpisan 2023.

U tom scenariju je BitLocker ključ oporavka potrebno unijeti samo jedanput – daljnja ponovna pokretanja neće pokrenuti BitLocker zaslon oporavka, sve dok konfiguracija pravilnika grupe ostane nepromijenjena. Pomoć za pronalaženje BitLocker ključa oporavka potražite u članku Pronalaženje BitLocker ključa oporavka.

Preporučuje se da tvrtke pregledaju pravilnike grupe značajke BitLocker radi izričitog uključivanja registra PCR7 i provjere statusa PCR7 povezivanja u datoteci msinfo32.exe prije instalacije ovog ažuriranja. (Pogledajte zaobilazno rješenje u nastavku.)

Zaobilazno rješenje 

Uklonite konfiguraciju pravilnik grupe prije instaliranja ažuriranja (preporučeno) 

1. Otvorite Uređivač pravilnika grupe (gpedit.msc) ili Konzolu za upravljanje pravilima grupe.

2. Idite na: Konfiguracija računala > Administrativni predlošci > Komponente sustava Windows > BitLocker šifriranje pogona > Pogoni operacijskog sustava.

3. Postavite „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme” na „Nije konfigurirano”.

4. Izvršite sljedeću naredbu na zahvaćenim uređajima za provođenje promjene pravilnika: gpupdate /force

5. Izvršite sljedeću naredbu za obustavljanje značajke BitLocker (pri čemu je BitLocker omogućen na pogonu C:): manage-bde -protectors -disable C: 

6. Izvršite sljedeću naredbu za nastavljanje značajke BitLocker (pri čemu je BitLocker omogućen na pogonu C:): manage-bde -protectors -enable C: 

7. Time se ažuriraju BitLocker povezivanja za upotrebu zadanog PCR profila odabranog u sustavu Windows.

Trajno rješenje tog problema planirano je u budućem ažuriranju sustava Windows. Dodatne informacije bit će dostupne kada budu dostupne.