19. travnja 2026. – KB5091157 (međuverzija OS-a 26100.32698) izvan redovnog rasporeda

Simptom

Neki uređaji s nepreporučenom konfiguracijom BitLocker pravilnik grupe možda će morati unijeti svoj BitLocker ključ oporavka pri prvom ponovnom pokretanju nakon instalacije ovog ažuriranja.

Taj problem utječe samo na ograničen broj sustava u kojima su ispunjeni SVI sljedeći uvjeti. Ti uvjeti se vjerojatno neće pronaći na osobnim uređajima, kojim ne upravljaju IT odjeli.

1. BitLocker je omogućen na pogonu operacijskog sustava.

2. Konfiguriran je pravilnik grupe „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme”, a PCR7 je obuhvaćen u profil provjere valjanosti (ili se ekvivalentni ključ registra postavlja ručno).

3. Informacije o sustavu (msinfo32.exe) prijavljuje povezivanje PCR7 u stanju sigurnog pokretanja sustava kao "Nije moguće".

4. Certifikat Windows UEFI CA 2023 nalazi se u bazi podataka potpisa sigurnog pokretanja (DB) uređaja, zbog čega uređaj ispunjava uvjete za Windows Boot Manager potpisan s potpisom za 2023. kao zadani.

5. Na uređaju nije već pokrenut Windows Boot Manager potpisan 2023.

U tom scenariju je BitLocker ključ oporavka potrebno unijeti samo jedanput – daljnja ponovna pokretanja neće pokrenuti BitLocker zaslon oporavka, sve dok konfiguracija pravilnika grupe ostane nepromijenjena. Pomoć za pronalaženje BitLocker ključa oporavka potražite u članku Pronalaženje BitLocker ključa oporavka.

Preporučuje se da tvrtke pregledaju pravilnike grupe značajke BitLocker radi izričitog uključivanja registra PCR7 i provjere statusa PCR7 povezivanja u datoteci msinfo32.exe prije instalacije ovog ažuriranja. (Pogledajte 1. mogućnost u nastavku.)

Zaobilazno rješenje 

Taj je problem riješen u KB5094125. Nakon instalacije KB5094125,uređajima  s ovom nekompatibilnom konfiguracijom pravilnika grupe onemogućeno je instaliranje programa Windows Boot Manager potpisanog 2023. Ako je vaš uređaj pogođen, ID događaja 1032 pojavit će se u zapisniku događaja sustava prilikom instaliranja ažuriranja sustava Windows: "Upravitelj pokretanja ažuriranja sigurnog pokretanja sustava (2023.) nije primijenjen zbog poznate nekompatibilnosti s trenutačnom konfiguracijom značajke BitLocker."

Ako primite ID događaja 1032, Microsoft vam svakako preporučuje uklanjanje konfiguracije pravilnik grupe prije instaliranja ažuriranja kako biste mogli instalirati Windows Boot Manager potpisan za 2023. i nastaviti primati najnovije zaštite sigurnog pokretanja.

Uklonite konfiguraciju pravilnik grupe prije instaliranja ažuriranja (preporučeno) 

1. Otvorite Uređivač pravilnika grupe (gpedit.msc) ili Konzolu za upravljanje pravilima grupe.

2. Idite na: Konfiguracija računala > Administrativni predlošci > Komponente sustava Windows > BitLocker šifriranje pogona > Pogoni operacijskog sustava.

3. Postavite „Konfiguriranje profila provjere valjanosti TPM platforme za konfiguracije nativne UEFI opreme” na „Nije konfigurirano”.

4. Izvršite sljedeću naredbu na zahvaćenim uređajima za provođenje promjene pravilnika: gpupdate /force

5. Pokrenite sljedeću naredbu da biste obustavili BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -onemogući C:

6. Pokrenite sljedeću naredbu za nastavak rada značajke BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -omogući C:

7. Time se ažuriraju BitLocker veze kako bi se koristio zadani PCR profil koji je odabrao Windows.

Ako ne želite ukloniti tu konfiguraciju pravilnik grupe, možete instalirati novi Windows Boot Manager privremeno obustavom BitLocker i instaliranjem ažuriranja sigurnog pokretanja. Da biste to učinili, napravite sljedeće:

1. Pokrenite sljedeću naredbu da biste obustavili BitLocker (ako je BitLocker omogućen na pogonu C:): upravljanje-bde -zaštitnici -onemogući C:

2. Pokrenite sljedeću naredbu: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Ponovno pokrenite uređaj.

4. Kada se novi Windows Boot Manager uspješno instalira, omogućite BitLocker pokretanjem naredbe: manage-bde -protectors -enable C:

Nakon instalacije ažuriranja KB5070881 ili novijih ažuriranja, Windows Server Update Services (WSUS) ne prikazuje pojedinosti o pogreškama sinkronizacije u izvješćivanju o pogreškama. Ta je funkcionalnost privremeno uklonjena radi rješavanja ranjivosti izvršavanja udaljenog koda, CVE-2025-59287. 

Simptomi

Nakon instalacije ovog ažuriranja sigurnosno upozorenje koje se pojavljuje prilikom otvaranja datoteka Udaljene radne površine (RDP) možda se u nekim slučajevima neće ispravno prikazivati.

Taj se problem može pojaviti kada koristite više monitora s različitim postavkama skaliranja prikaza (na primjer, jedan zaslon postavljen na 100 %, a drugi na 125 %). Kada se to dogodi, prozor upozorenja može prikazati preklapajući tekst ili djelomično skrivene gumbe, što može otežati čitanje poruke ili interakciju s njom.

Zaobilazno rješenje

Taj je problem riješen uKB5087539.