14. travnja 2026—KB5083769 (međuverzije OS-a 26200.8246 i 26100.8246)

Istek certifikata za sigurno pokretanje sustava Windows

Važno: Certifikati za sigurno pokretanje koje koristi većina uređaja sa sustavom Windows postavljeni su da istječu počevši od lipnja 2026. To može utjecati na mogućnost određenih osobnih i poslovnih uređaja za sigurno pokretanje ako se ne ažuriraju na vrijeme. Da biste izbjegli prekide u radu, preporučujemo da pregledate smjernice i prije toga poduzeti radnje za ažuriranje certifikata. Pojedinosti i korake za pripremu potražite u članku Istek certifikata za sigurno pokretanje sustava Windows i ažuriranja ustanove za izdavanje certifikata.

Simptom

Neki uređaji s nepreporučenom konfiguracijom BitLocker pravilnik grupe možda će morati unijeti svoj BitLocker ključ oporavka pri prvom ponovnom pokretanju nakon instalacije ovog ažuriranja.

Taj problem utječe samo na ograničen broj sustava u kojima su ispunjeni SVI sljedeći uvjeti. Ti uvjeti se vjerojatno neće pronaći na osobnim uređajima, kojim ne upravljaju IT odjeli.

1. BitLocker je omogućen na pogonu operacijskog sustava.

2. Konfiguriran je pravilnik grupe „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme”, a PCR7 je obuhvaćen u profil provjere valjanosti (ili se ekvivalentni ključ registra postavlja ručno).

3. Informacije o sustavu (msinfo32.exe) prijavljuje povezivanje PCR7 u stanju sigurnog pokretanja sustava kao "Nije moguće".

4. Certifikat Windows UEFI CA 2023 nalazi se u bazi podataka potpisa sigurnog pokretanja (DB) uređaja, zbog čega uređaj ispunjava uvjete za Windows Boot Manager potpisan s potpisom za 2023. kao zadani.

5. Na uređaju nije već pokrenut Windows Boot Manager potpisan 2023.

U tom scenariju je BitLocker ključ oporavka potrebno unijeti samo jedanput – daljnja ponovna pokretanja neće pokrenuti BitLocker zaslon oporavka, sve dok konfiguracija pravilnika grupe ostane nepromijenjena. Pomoć za pronalaženje BitLocker ključa oporavka potražite u članku Pronalaženje BitLocker ključa oporavka.

Preporučuje se da tvrtke pregledaju pravilnike grupe značajke BitLocker radi izričitog uključivanja registra PCR7 i provjere statusa PCR7 povezivanja u datoteci msinfo32.exe prije instalacije ovog ažuriranja. (Pogledajte zaobilazno rješenje u nastavku.)

Zaobilazno rješenje 

Taj je problem riješen u KB5089549. Nakon instalacije KB5089549,uređajima s ovom nekompatibilnom konfiguracijom pravilnika grupe onemogućuje se instaliranje programa Windows Boot Manager potpisanog 2023. Ako je vaš uređaj pogođen, ID događaja 1032 pojavit će se u zapisniku događaja sustava prilikom instaliranja ažuriranja sustava Windows: "Upravitelj pokretanja ažuriranja sigurnog pokretanja sustava (2023.) nije primijenjen zbog poznate nekompatibilnosti s trenutačnom konfiguracijom značajke BitLocker."

Ako primite ID događaja 1032, Microsoft vam svakako preporučuje uklanjanje konfiguracije pravilnik grupe prije instaliranja ažuriranja kako biste mogli instalirati Windows Boot Manager potpisan za 2023. i nastaviti primati najnovije zaštite sigurnog pokretanja.

Uklonite konfiguraciju pravilnik grupe prije instaliranja ažuriranja (preporučeno) 

1. Otvorite Uređivač pravilnika grupe (gpedit.msc) ili Konzolu za upravljanje pravilima grupe.

2. Idite na: Konfiguracija računala > Administrativni predlošci > Komponente sustava Windows > BitLocker šifriranje pogona > Pogoni operacijskog sustava.

3. Postavite „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme” na „Nije konfigurirano”.

4. Izvršite sljedeću naredbu na zahvaćenim uređajima za provođenje promjene pravilnika: gpupdate /force

5. Pokrenite sljedeću naredbu da biste obustavili BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -onemogući C:

6. Pokrenite sljedeću naredbu za nastavak rada značajke BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -omogući C:

7. Time se ažuriraju BitLocker veze kako bi se koristio zadani PCR profil koji je odabrao Windows.

Ako ne želite ukloniti tu konfiguraciju pravilnik grupe, možete instalirati novi Windows Boot Manager privremeno obustavom BitLocker i instaliranjem ažuriranja sigurnog pokretanja. Da biste to učinili, napravite sljedeće:

1. Pokrenite sljedeću naredbu da biste obustavili BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -onemogući C:

2. Pokrenite sljedeću naredbu: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Ponovno pokrenite uređaj.

4. Kada se novi Windows Boot Manager uspješno instalira, omogućite BitLocker pokretanjem naredbe: manage-bde -protectors -enable C: