19 April 2026—KB5091157 (Build OS 26100.32698) Out-of-band

Gejala

Beberapa perangkat dengan konfigurasi Kebijakan Grup BitLocker yang tidak disarankan mungkin diharuskan untuk memasukkan kunci pemulihan BitLocker pada saat menghidupkan ulang pertama kali setelah menginstal pembaruan ini.

Masalah ini hanya memengaruhi sejumlah kecil sistem di mana SEMUA kondisi berikut ini benar. Kondisi ini kemungkinan besar tidak akan ditemukan pada perangkat pribadi yang tidak dikelola oleh departemen TI.

1. BitLocker diaktifkan di drive OS.
2. Kebijakan Grup "Konfigurasikan profil validasi platform TPM untuk konfigurasi firmware UEFI native" telah dikonfigurasi, dan PCR7 disertakan dalam profil validasi (atau kunci registri yang setara diatur secara manual).
3. Informasi Sistem (msinfo32.exe) melaporkan Status Boot Aman Pengikatan PCR7 sebagai "Tidak Mungkin".
4. Sertifikat Windows UEFI CA 2023 ada di Database Tanda Tangan Boot Aman (DB) perangkat sehingga perangkat tersebut memenuhi syarat untuk menjadikan Windows Boot Manager yang ditandatangani pada 2023 menjadi default.
5. Perangkat belum menjalankan Windows Boot Manager yang ditandatangani pada 2023.

Dalam skenario ini, kunci pemulihan BitLocker hanya perlu dimasukkan sekali -- proses hidupkan ulang berikutnya tidak akan memicu layar pemulihan BitLocker, selama konfigurasi kebijakan grup tetap tidak berubah. Untuk bantuan dalam menemukan kunci pemulihan BitLocker, lihat artikel, Menemukan kunci pemulihan BitLocker Anda.

Perusahaan disarankan untuk mengaudit kebijakan grup BitLocker mereka untuk penyertaan PCR7 eksplisit dan memeriksa msinfo32.exe status pengikatan PCR7 sebelum menginstal pembaruan ini. (Lihat Opsi 1 di bawah.)

Solusi

Masalah ini diatasi di KB5094125. Setelah menginstal KB5094125, perangkat dengan konfigurasi kebijakan grup yang tidak kompatibel ini tidak dapat menginstal Windows Boot Manager yang ditandatangani tahun 2023. Jika perangkat Anda terpengaruh, ID Kejadian 1032 akan muncul di log kejadian Sistem saat menginstal pembaruan Windows: "Manajer Boot pembaruan Boot Aman (2023) tidak diterapkan karena ketidakcocokan yang diketahui dengan konfigurasi BitLocker saat ini."

Jika Anda menerima ID Kejadian 1032, Microsoft sangat menyarankan untuk menghapus konfigurasi Kebijakan Grup sebelum menginstal pembaruan agar Anda dapat menginstal Windows Boot Manager yang ditandatangani tahun 2023 dan terus menerima perlindungan Boot Aman terbaru.

Hapus konfigurasi Kebijakan Grup sebelum menginstal pembaruan (Disarankan)

1. Buka Editor Kebijakan Grup (gpedit.msc) atau Konsol Manajemen Kebijakan Grup Anda.
2. Navigasikan ke: Konfigurasi > Komputer Templat Administratif Komponen > Windows Enkripsi >> Drive BitLocker Drive Drive Drive Operasi.
3. Atur "Konfigurasikan profil validasi platform TPM untuk konfigurasi firmware UEFI native" ke "Tidak Dikonfigurasi".
4. Jalankan perintah berikut pada perangkat yang terpengaruh untuk menyebarkan perubahan kebijakan: gpupdate /force
5. Jalankan perintah berikut untuk menangguhkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -disable C:
6. Jalankan perintah berikut untuk melanjutkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -enable C:
7. Tindakan ini memperbarui ikatan BitLocker untuk menggunakan profil PCR default yang dipilih Windows.

Jika tidak ingin menghapus konfigurasi Kebijakan Grup ini, Anda dapat menginstal Windows Boot Manager baru dengan menangguhkan sementara BitLocker dan menginstal pembaruan Boot Aman. Untuk melakukannya:

1. Jalankan perintah berikut untuk menangguhkan BitLocker (jika BitLocker diaktifkan di drive C:): manage-bde -protectors -disable C:
2. Jalankan perintah berikut: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Hidupkan ulang perangkat.
4. Setelah Windows Boot Manager baru berhasil diinstal, aktifkan BitLocker dengan menjalankan perintah: manage-bde -protectors -enable C:

Setelah menginstal pembaruan KB5070881 atau yang lebih baru, Windows Server Update Services (WSUS) tidak menampilkan detail kesalahan sinkronisasi dalam pelaporan kesalahannya. Fungsi ini untuk sementara dihapus untuk mengatasi Kerentanan Eksekusi Kode Jarak Jauh, CVE-2025-59287.

Gejala

Setelah menginstal pembaruan ini, peringatan keamanan yang muncul saat membuka file Desktop Jauh (RDP) mungkin tidak ditampilkan dengan benar dalam beberapa kasus.

Masalah ini mungkin terjadi ketika Anda menggunakan lebih dari satu monitor dengan pengaturan penskalaan tampilan yang berbeda (misalnya, satu tampilan diatur ke 100% dan satu lagi diatur ke 125%). Jika hal ini terjadi, jendela peringatan mungkin menampilkan teks yang tumpang tindih atau tombol yang tersembunyi sebagian, yang dapat membuat pesan sulit dibaca atau berinteraksi.

Solusi

Masalah ini diatasi di KB5087539.