Pembaruan kumulatif untuk Windows Server 2025 (KB5082063) ini mencakup perbaikan dan penyempurnaan keamanan terbaru, bersama dengan pembaruan non-keamanan dari rilis pratinjau opsional bulan lalu. Untuk mempelajari selengkapnya tentang perbedaan antara pembaruan keamanan, pembaruan pratinjau non-keamanan opsional, pembaruan out-of-band (OOB), dan inovasi berkelanjutan, lihat penjelasan pembaruan bulanan Windows. Untuk informasi tentang terminologi pembaruan Windows, lihat berbagai jenis pembaruan perangkat lunak Windows.
Untuk melihat pembaruan terbaru tentang rilis ini, kunjungi dasbor kesehatan rilis Windows atau halaman riwayat pembaruan untuk Windows Server 2025.
Pengumuman dan pesan
Bagian ini menyediakan pemberitahuan penting yang terkait dengan rilis ini, termasuk pengumuman, log perubahan, dan pemberitahuan akhir dukungan.
Kedaluwarsa sertifikat Boot Aman Windows
Kedaluwarsa sertifikat Boot Aman Windows
Catatan: Sertifikat Boot Aman yang digunakan oleh sebagian besar perangkat Windows diatur kedaluwarsa mulai Juni 2026. Hal ini dapat memengaruhi kemampuan perangkat pribadi dan bisnis tertentu untuk melakukan boot dengan aman jika tidak diperbarui tepat waktu. Untuk menghindari gangguan, sebaiknya tinjau panduan dan lakukan tindakan untuk memperbarui sertifikat terlebih dahulu. Untuk detail dan langkah persiapan, lihat kedaluwarsa sertifikat Windows Secure Boot dan pembaruan CA serta blog playbook Windows Server Secure.
Log perubahan
| Ubah tanggal | Ubah deskripsi |
|---|---|
| 9 Juni 2026 |
|
| 12 Mei 2026 | Mengetahui revisi masalah: Solusi yang diperbarui untuk "Peringatan terkait Desktop Jauh mungkin tidak ditampilkan dengan benar". |
| 1 Mei 2026 | Peningkatan ditambahkan: [Daftar blokir driver yang rentan] |
| 27 April 2026 | Pembaruan masalah ketahui: Revisi judul untuk masalah umum "Peringatan terkait Desktop Jauh mungkin tidak ditampilkan dengan benar". |
| 23 April. 2026 | Masalah umum ditambahkan: "Peringatan yang terkait dengan Desktop Jauh mungkin tidak ditampilkan dengan benar". |
| April 21, 2026 | Masalah umum diperbarui: "Perangkat dengan konfigurasi Kebijakan Grup BitLocker yang tidak direkomendasikan mungkin diperlukan untuk memasukkan kunci pemulihan BitLocker mereka". |
| 20 April 2026 | Masalah umum, "Penginstalan pembaruan ini mungkin gagal dengan kesalahan 0x800F0983 atau 0x80073712", telah diedit untuk klarifikasi. |
| 19 April 2026 |
|
| 17 April 2026 | Masalah umum, "Pengontrol domain mungkin dihidupkan ulang kali setelah menginstal pembaruan ini", diperbarui untuk klarifikasi. |
| 16 April 2026 | Masalah umum ditambahkan: "Pengontrol domain mungkin dihidupkan ulang kali setelah menginstal pembaruan ini" |
| 14 April 2026 | Masalah umum ditambahkan: "Perangkat dengan konfigurasi Kebijakan Grup BitLocker yang tidak direkomendasikan mungkin diperlukan untuk memasukkan kunci pemulihan BitLocker mereka" |
Penyempurnaan
Pembaruan keamanan ini berisi perbaikan dan peningkatan kualitas dari KB5078740 (dirilis 10 Maret 2026). Ringkasan berikut menguraikan masalah utama yang ditangani oleh pembaruan ini. Juga termasuk fitur baru yang tersedia. Teks tebal dalam tanda kurung menunjukkan item atau area perubahan.
[Boot Aman]
- Dengan pembaruan ini, pembaruan kualitas Windows menyertakan data penargetan perangkat tambahan kepercayaan tinggi, meningkatkan cakupan perangkat yang memenuhi syarat untuk menerima sertifikat Boot Aman baru secara otomatis. Perangkat menerima sertifikat baru hanya setelah menunjukkan sinyal pembaruan yang berhasil memadai, mempertahankan peluncuran yang terkontrol dan bertahap.
- Pembaruan ini mengatasi masalah di mana perangkat mungkin masuk ke Pemulihan BitLocker setelah pembaruan Boot Aman.
[Protokol Kerberos] Pembaruan ini mengubah nilai default DefaultDomainSupportedEncTypes untuk operasi Pusat Distribusi Kunci Kerberos (KDC) untuk memanfaatkan AES-SHA1 untuk akun yang tidak memiliki atribut MSDS-SupportedEncryptionTypes Direktori Aktif eksplisit yang ditentukan. Untuk informasi selengkapnya, lihat, Cara mengelola penggunaan Kerberos KDC RC4 untuk perubahan penerbitan tiket akun layanan terkait CVE-2026-20833.
[Autentikasi] Pembaruan ini meningkatkan cara Windows menggunakan kebijakan enkripsi Kerberos selama autentikasi. Setelah Anda menginstal pembaruan ini, Windows membaca pengaturan kebijakan yang dikonfigurasi seperti yang diharapkan, yang membantu memastikan perilaku enkripsi diterapkan secara konsisten di seluruh domain.
[Bluetooth] Pembaruan ini meningkatkan manajemen perangkat Bluetooth di Pengaturan dan Pengaturan Cepat, membantu perangkat yang terhubung tampak konsisten dan membuatnya lebih mudah ditambahkan dan dikelola.
[Grafis] Pembaruan ini meningkatkan perenderan warna saat mencetak dari aplikasi desktop Win32.
[Jaringan] Pembaruan ini meningkatkan keandalan saat Windows menggunakan kompresi SMB daripada QUIC. Setelah Anda menginstal pembaruan ini, permintaan kompresi SMB melalui QUIC diselesaikan dengan lebih konsisten, mengurangi kemungkinan waktu habis dan mendukung kinerja yang lebih lancar dan lebih dapat diandalkan.
[PowerShell] Pembaruan ini meningkatkan cara cmdlet Set-GPPrefRegistryValue di PowerShell mengimpor nilai preferensi registri. Cmdlet kini mempertahankan setiap nilai yang diimpor secara penuh, termasuk karakter akhir.
[Desktop Jauh] Pembaruan ini meningkatkan perlindungan terhadap serangan pengelabuan yang menggunakan file Desktop Jauh (.rdp). Saat Anda membuka file .rdp, Desktop Jauh menampilkan semua pengaturan koneksi yang diminta sebelum tersambung, dengan setiap pengaturan dinonaktifkan secara default. Peringatan keamanan satu kali juga muncul saat pertama kali Anda membuka file .rdp di perangkat. Untuk informasi selengkapnya, lihat Memahami peringatan keamanan saat membuka file Desktop Jauh (RDP).
[Teks dan font] Pembaruan ini meningkatkan font Windows dengan menambahkan simbol mata uang Riyal Saudi yang baru. Perubahan ini membantu menjaga teks tetap jelas, akurat, dan konsisten secara visual di seluruh aplikasi dan pengalaman Windows Anda.
[Daftar blokir driver yang rentan] Pembaruan ini memperkenalkan perubahan pengerasan keamanan yang menambahkan driver kernel yang diketahui rentan ke daftar blokir driver rentan Microsoft. Aplikasi cadangan yang mengandalkan driver yang diblokir mungkin mengalami kegagalan saat mencoba memasang atau mengelola citra disk.
Aplikasi yang mengandalkan driver yang diblokir ini mungkin menampilkan pesan kesalahan, termasuk "Pencadangan gagal karena Microsoft VSS telah habis waktu selama pembuatan snapshot" atau VSS_E_BAD_STATE. Pengguna yang terpengaruh harus memperbarui ke versi aplikasi yang lebih baru yang menggunakan driver yang lebih baru yang menyertakan perlindungan yang diperlukan. Untuk informasi selengkapnya, lihat April 2026 Pembaruan keamanan Windows memperkenalkan perlindungan bagi driver kernel yang diketahui rentan.[Layanan Penyebaran Windows (WDS)] Pembaruan ini menonaktifkan fitur "Penyebaran Hands-Free" di WDS secara default dan tidak lagi menjadi fitur yang didukung. Untuk informasi selengkapnya tentang perubahan ini, lihat Panduan Pengerasan Penyebaran Hands-Free Layanan Penyebaran Windows (WDS) yang terkait dengan CVE-2026-0386.
Jika Anda telah menginstal pembaruan sebelumnya, perangkat Anda hanya akan mengunduh dan menginstal pembaruan baru yang disertakan dalam paket ini.
Untuk informasi selengkapnya tentang kerentanan keamanan, lihat Panduan Pembaruan Keamanan dan Updates Keamanan April 2026.
Windows Server 2025 pembaruan tumpukan pelayanan (KB5082062) - 26100.32692
Pembaruan ini membuat peningkatan kualitas pada tumpukan layanan, yang merupakan komponen yang menginstal pembaruan Windows. Pembaruan tumpukan pelayanan (SSU) memastikan bahwa Anda memiliki tumpukan layanan yang kuat dan andal sehingga perangkat Anda dapat menerima dan menginstal pembaruan Microsoft. Untuk mempelajari selengkapnya tentang SSU, lihat Menyederhanakan penyebaran pembaruan tumpukan layanan secara lokal.
Masalah umum dalam pembaruan ini
Penginstalan pembaruan ini mungkin gagal dengan kesalahan 0x800F0983 atau 0x80073712
Gejala
Sejumlah kecil perangkat mungkin gagal menginstal pembaruan ini dengan salah satu pesan kesalahan berikut:
- "Kesalahan penginstalan - 0x800F0983"
- "Beberapa file pembaruan hilang atau bermasalah. Kami akan mencoba mengunduh pembaruan lagi nanti. Kode kesalahan: (0x80073712)"
Resolusi
Masalah ini diatasi di KB5091157 pembaruan out-of-band.
Catatan
Perangkat yang terdaftar Windows Server Hotpatch 2025 yang terpengaruh oleh masalah ini dapat menginstal KB5091157 pembaruan out-of-band untuk menerima perlindungan yang sama seperti pembaruan keamanan April (KB5082063). Namun, menginstal KB5091157 memerlukan restart dan menjeda hotpatching. Pembaruan Hotpatch akan dilanjutkan setelah pembaruan dasar Juli 2026.
Pengontrol domain mungkin dihidupkan ulang kali setelah menginstal pembaruan ini
Gejala
Setelah menginstal pembaruan ini dan memulai ulang, pengontrol domain (DC) di lingkungan dengan beberapa domain di hutan yang menggunakan Privileged Access Management (PAM), mungkin mengalami crash LSASS selama pengaktifan. Akibatnya, pengontrol domain yang terpengaruh mungkin dimulai ulang berulang kali, mencegah autentikasi dan layanan direktori berfungsi, dan berpotensi membuat domain tidak tersedia.
Resolusi
Masalah ini diatasi di KB5091157 pembaruan out-of-band.
Catatan
Jika perangkat Windows Server 2025 terdaftar dalam hotpatching, sebaiknya Anda menginstal KB5091470 pembaruan hotpatch OOB. Pembaruan OOB hotpatch ini dirilis melalui Windows Update dan tidak mengharuskan perangkat dihidupkan ulang.
Perangkat dengan konfigurasi Kebijakan Grup BitLocker yang tidak direkomendasikan mungkin diperlukan untuk memasukkan kunci pemulihan BitLocker mereka
Gejala
Beberapa perangkat dengan konfigurasi Kebijakan Grup BitLocker yang tidak disarankan mungkin diharuskan untuk memasukkan kunci pemulihan BitLocker pada saat menghidupkan ulang pertama kali setelah menginstal pembaruan ini.
Masalah ini hanya memengaruhi sejumlah kecil sistem di mana SEMUA kondisi berikut ini benar. Kondisi ini kemungkinan besar tidak akan ditemukan pada perangkat pribadi yang tidak dikelola oleh departemen TI.
- BitLocker diaktifkan di drive OS.
- Kebijakan Grup "Konfigurasikan profil validasi platform TPM untuk konfigurasi firmware UEFI native" telah dikonfigurasi, dan PCR7 disertakan dalam profil validasi (atau kunci registri yang setara diatur secara manual).
- Informasi Sistem (msinfo32.exe) melaporkan Status Boot Aman Pengikatan PCR7 sebagai "Tidak Mungkin".
- Sertifikat Windows UEFI CA 2023 ada di Database Tanda Tangan Boot Aman (DB) perangkat sehingga perangkat tersebut memenuhi syarat untuk menjadikan Windows Boot Manager yang ditandatangani pada 2023 menjadi default.
- Perangkat belum menjalankan Windows Boot Manager yang ditandatangani pada 2023.
Dalam skenario ini, kunci pemulihan BitLocker hanya perlu dimasukkan sekali -- proses hidupkan ulang berikutnya tidak akan memicu layar pemulihan BitLocker, selama konfigurasi kebijakan grup tetap tidak berubah. Untuk bantuan dalam menemukan kunci pemulihan BitLocker, lihat artikel, Menemukan kunci pemulihan BitLocker Anda.
Perusahaan disarankan untuk mengaudit kebijakan grup BitLocker mereka untuk penyertaan PCR7 eksplisit dan memeriksa msinfo32.exe status pengikatan PCR7 sebelum menginstal pembaruan ini. (Lihat solusi di bawah ini.)
Solusi
Masalah ini diatasi di KB5094125. Setelah menginstal KB5094125, perangkat dengan konfigurasi kebijakan grup yang tidak kompatibel ini tidak dapat menginstal Windows Boot Manager yang ditandatangani tahun 2023. Jika perangkat Anda terpengaruh, ID Kejadian 1032 akan muncul di log kejadian Sistem saat menginstal pembaruan Windows: "Manajer Boot pembaruan Boot Aman (2023) tidak diterapkan karena ketidakcocokan yang diketahui dengan konfigurasi BitLocker saat ini."
Jika Anda menerima ID Kejadian 1032, Microsoft sangat menyarankan untuk menghapus konfigurasi Kebijakan Grup sebelum menginstal pembaruan agar Anda dapat menginstal Windows Boot Manager yang ditandatangani tahun 2023 dan terus menerima perlindungan Boot Aman terbaru.
Hapus konfigurasi Kebijakan Grup sebelum menginstal pembaruan (Disarankan)
- Buka Editor Kebijakan Grup (gpedit.msc) atau Konsol Manajemen Kebijakan Grup Anda.
- Navigasikan ke: Konfigurasi > Komputer Templat Administratif Komponen > Windows Enkripsi >> Drive BitLocker Drive Drive Drive Operasi.
- Atur "Konfigurasikan profil validasi platform TPM untuk konfigurasi firmware UEFI native" ke "Tidak Dikonfigurasi".
- Jalankan perintah berikut pada perangkat yang terpengaruh untuk menyebarkan perubahan kebijakan: gpupdate /force
- Jalankan perintah berikut untuk menangguhkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -disable C:
- Jalankan perintah berikut untuk melanjutkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -enable C:
- Tindakan ini memperbarui ikatan BitLocker untuk menggunakan profil PCR default yang dipilih Windows.
Jika tidak ingin menghapus konfigurasi Kebijakan Grup ini, Anda dapat menginstal Windows Boot Manager baru dengan menangguhkan sementara BitLocker dan menginstal pembaruan Boot Aman. Untuk melakukannya:
- Jalankan perintah berikut untuk menangguhkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -disable C:
- Jalankan perintah berikut: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
- Hidupkan ulang perangkat.
- Setelah Windows Boot Manager baru berhasil diinstal, aktifkan BitLocker dengan menjalankan perintah: manage-bde -protectors -enable C:
Windows Server Update Services (WSUS) tidak menampilkan detail kesalahan
Setelah menginstal pembaruan KB5070881 atau yang lebih baru, Windows Server Update Services (WSUS) tidak menampilkan detail kesalahan sinkronisasi dalam pelaporan kesalahannya. Fungsi ini untuk sementara dihapus untuk mengatasi Kerentanan Eksekusi Kode Jarak Jauh, CVE-2025-59287.
Peringatan terkait Desktop Jauh mungkin tidak ditampilkan dengan benar
Gejala
Setelah menginstal pembaruan ini, peringatan keamanan yang muncul saat membuka file Desktop Jauh (RDP) mungkin tidak ditampilkan dengan benar dalam beberapa kasus.
Masalah ini mungkin terjadi ketika Anda menggunakan lebih dari satu monitor dengan pengaturan penskalaan tampilan yang berbeda (misalnya, satu tampilan diatur ke 100% dan satu lagi diatur ke 125%). Jika hal ini terjadi, jendela peringatan mungkin menampilkan teks yang tumpang tindih atau tombol yang tersembunyi sebagian, yang dapat membuat pesan sulit dibaca atau berinteraksi.
Solusi
Masalah ini diatasi di KB5087539.
Cara mendapatkan pembaruan ini
Sebelum menginstal pembaruan ini
Microsoft menggabungkan pembaruan tumpukan layanan (SSU) terbaru untuk sistem operasi Anda dengan pembaruan kumulatif (LCU) terbaru. Untuk informasi umum tentang SSU, lihat Pembaruan tumpukan pelayanan.
Instal pembaruan ini
Untuk menginstal pembaruan ini, gunakan salah satu saluran rilis Windows dan Microsoft berikut.
| Tersedia | Langkah berikutnya | |
|---|---|---|
|
Pembaruan ini diunduh dan diinstal secara otomatis dari Windows Update dan Microsoft Update. |
Catatan
- Jika Anda ingin menghapus pembaruan ini
- Peringatan: Sebelum Anda memutuskan untuk menghapus pembaruan ini, lihat Memahami risikonya: Mengapa Anda tidak boleh menghapus instalan pembaruan keamanan.
- Untuk menghapus LCU setelah menginstal paket SSU dan LCU gabungan, gunakan opsi baris perintah DISM/Remove-Package dengan nama paket LCU sebagai argumen. Anda dapat menemukan nama paket dengan menggunakan perintah ini: DISM /online /get-packages.
- Menjalankan Windows Update Standalone Installer (wusa.exe) dengan sakelar /uninstall pada paket gabungan tidak akan berfungsi karena paket gabungan berisi SSU. Anda tidak dapat melepas SSU dari sistem setelah penginstalan.
Informasi berkas
Untuk melihat daftar file yang disediakan dalam pembaruan ini, unduh informasi file untuk pembaruan kumulatif 5082063.
Untuk daftar file yang disediakan dalam pembaruan tumpukan pelayanan, unduh informasi file untuk SSU (KB5082062) - versi 26100.32692.