19 aprile 2026 - KB5091157 (build del sistema operativo 26100.32698) fuori banda

Sintomo

Al primo riavvio dopo l'installazione di questo aggiornamento, alcuni dispositivi con una configurazione non consigliata dei criteri di gruppo di BitLocker potrebbero dover inserire la chiave di ripristino di BitLocker.

Questo problema interessa solo un numero limitato di sistemi in cui tutte le condizioni seguenti sono vere. È improbabile che queste condizioni si trovino nei dispositivi personali non gestiti dai reparti IT.

1. BitLocker è abilitato nell'unità del sistema operativo.

2. I criteri di gruppo "Configura il profilo di convalida della piattaforma TPM per le configurazioni firmware UEFI native" e configurato e PCR7 è incluso nel profilo di convalida (o la chiave del Registro di sistema equivalente è impostata manualmente).

3. System Information (msinfo32.exe) segnala Secure Boot State PCR7 Binding come "Non possibile".

4. Il certificato CA 2023 UEFI di Windows è presente nel database della firma di avvio protetto del dispositivo, rendendo il dispositivo idoneo per l'impostazione predefinita di Windows Boot Manager con firma 2023.

5. Il dispositivo non esegue ancora Windows Boot Manager con firma 2023.

In questo scenario, la chiave di ripristino di BitLocker deve essere immessa una sola volta. I riavvii successivi non attiveranno una schermata di ripristino di BitLocker, purché la configurazione di Criteri di gruppo rimanga invariata. Per informazioni su come trovare la chiave di ripristino di BitLocker, vedi l'articolo Trovare la chiave di ripristino di BitLocker.

È consigliabile che le aziende controllino i criteri di gruppo di BitLocker per l'inclusione esplicita di PCR7 e verifichino msinfo32.exe per lo stato di associazione PCR7 prima di installare questo aggiornamento. Vedere l'opzione 1 di seguito.

Soluzione alternativa 

Questo problema è risolto in KB5094125. Dopo l'installazione di KB5094125,  ai dispositivi con questa configurazione di Criteri di gruppo incompatibile viene impedito di installare Windows Boot Manager firmato 2023. Se il dispositivo è stato interessato, l'ID evento 1032 verrà visualizzato nel registro eventi di sistema durante l'installazione degli aggiornamenti di Windows: "L'aggiornamento di avvio protetto di Boot Manager (2023) non è stato applicato a causa di una nota incompatibilità con la configurazione di BitLocker corrente".

Se ricevi l'ID evento 1032, Microsoft consiglia vivamente di rimuovere la configurazione Criteri di gruppo prima di installare gli aggiornamenti, in modo da poter installare Windows Boot Manager con firma 2023 e continuare a ricevere le protezioni di avvio protetto più recenti.

Rimuovere la configurazione Criteri di gruppo prima di installare l'aggiornamento (scelta consigliata) 

1. Apri l'editor di Criteri di gruppo (gpedit.msc) o la console Gestione Criteri di gruppo.

2. Passa a: Configurazione computer > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker > Unità del sistema operativo.

3. Imposta "Configura profilo di convalida della piattaforma TPM per le configurazioni firmware UEFI native" su "Non configurato".

4. Usa il comando seguente nei dispositivi interessati per propagare la modifica dei criteri: gpupdate /force

5. Esegui il seguente comando per sospendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -disable C:

6. Esegui il seguente comando per riprendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -enable C:

7. In questo modo, le associazioni BitLocker vengono aggiornate in modo da utilizzare il profilo PCR predefinito selezionato da Windows.

Se non desideri rimuovere questa configurazione di Criteri di gruppo, puoi installare il nuovo Windows Boot Manager sospendendo temporaneamente BitLocker e installando l'aggiornamento di avvio protetto. Per eseguire questa operazione:

1. Esegui il seguente comando per sospendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -disable C:

2. Eseguire il comando seguente: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Riavviare il dispositivo.

4. Una volta installato correttamente il nuovo Windows Boot Manager, abilita BitLocker eseguendo il comando: manage-bde -protectors -enable C:

Dopo l'installazione di KB5070881 o degli aggiornamenti più recenti, Windows Server Update Services (WSUS) non visualizza i dettagli degli errori di sincronizzazione nella relativa segnalazione degli errori. Questa funzionalità viene temporaneamente rimossa per risolvere la vulnerabilità di esecuzione di codice remoto, CVE-2025-59287. 

Sintomi

Dopo aver installato questo aggiornamento, l'avviso di sicurezza visualizzato all'apertura dei file di Desktop remoto (RDP) potrebbe non essere visualizzato correttamente in alcuni casi.

Questo problema può verificarsi quando si utilizzano più monitor con impostazioni di ridimensionamento dello schermo diverse (ad esempio, uno schermo impostato su 100% e un altro impostato su 125%). In questo caso, la finestra di avviso potrebbe mostrare pulsanti sovrapposti o parzialmente nascosti, che possono rendere difficile la lettura o l'interazione del messaggio.

Soluzione alternativa

Questo problema è risolto inKB5087539.