19 aprile 2026 - KB5091157 (build del sistema operativo 26100.32698) fuori banda

Sintomo

Al primo riavvio dopo l'installazione di questo aggiornamento, alcuni dispositivi con una configurazione non consigliata dei criteri di gruppo di BitLocker potrebbero dover inserire la chiave di ripristino di BitLocker.

Questo problema interessa solo un numero limitato di sistemi in cui tutte le condizioni seguenti sono vere. È improbabile che queste condizioni si trovino nei dispositivi personali non gestiti dai reparti IT.

1. BitLocker è abilitato nell'unità del sistema operativo.
2. I criteri di gruppo "Configura il profilo di convalida della piattaforma TPM per le configurazioni firmware UEFI native" e configurato e PCR7 è incluso nel profilo di convalida (o la chiave del Registro di sistema equivalente è impostata manualmente).
3. System Information (msinfo32.exe) segnala Secure Boot State PCR7 Binding come "Non possibile".
4. Il certificato CA 2023 UEFI di Windows è presente nel database della firma di avvio protetto del dispositivo, rendendo il dispositivo idoneo per l'impostazione predefinita di Windows Boot Manager con firma 2023.
5. Il dispositivo non esegue ancora Windows Boot Manager con firma 2023.

In questo scenario, la chiave di ripristino di BitLocker deve essere immessa una sola volta. I riavvii successivi non attiveranno una schermata di ripristino di BitLocker, purché la configurazione di Criteri di gruppo rimanga invariata. Per informazioni su come trovare la chiave di ripristino di BitLocker, vedere l'articolo Trovare la chiave di ripristino di BitLocker.

È consigliabile che le aziende controllino i criteri di gruppo di BitLocker per l'inclusione esplicita di PCR7 e verifichino msinfo32.exe per lo stato di associazione PCR7 prima di installare questo aggiornamento. (Vedi l'opzione 1 di seguito.)

Soluzione alternativa

Questo problema è stato risolto in KB5094125. Dopo l'installazione di KB5094125.5089549 dispositivi con questa configurazione incompatibile di Criteri di gruppo non possono installare Windows Boot Manager firmato 2023. Se il dispositivo è stato interessato, l'ID evento 1032 verrà visualizzato nel registro eventi di sistema durante l'installazione degli aggiornamenti di Windows: "L'aggiornamento di avvio protetto Boot Manager (2023) non è stato applicato a causa di un'incompatibilità nota con la configurazione corrente di BitLocker".

Se si riceve l'ID evento 1032, Microsoft consiglia vivamente di rimuovere la configurazione dei Criteri di gruppo prima di installare gli aggiornamenti, in modo da poter installare Windows Boot Manager firmato 2023 e continuare a ricevere le protezioni Secure Boot più recenti.

Rimuovere la configurazione dei Criteri di gruppo prima di installare l'aggiornamento (scelta consigliata)

1. Apri l'editor di Criteri di gruppo (gpedit.msc) o la console Gestione Criteri di gruppo.
2. Passare a: Configurazione > computer Modelli > amministrativi Componenti > di Windows Crittografia > unità BitLocker Unità del sistema operativo.
3. Imposta "Configura profilo di convalida della piattaforma TPM per le configurazioni firmware UEFI native" su "Non configurato".
4. Usa il comando seguente nei dispositivi interessati per propagare la modifica dei criteri: gpupdate /force
5. Eseguire il comando seguente per sospendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -disable C:
6. Eseguire il comando seguente per riprendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -enable C:
7. Questa operazione consente di aggiornare le associazioni di BitLocker in modo da usare il profilo PCR predefinito selezionato da Windows.

Se non si desidera rimuovere questa configurazione dei criteri di gruppo, è possibile installare il nuovo Windows Boot Manager sospendendo temporaneamente BitLocker e installando l'aggiornamento di avvio protetto. Per eseguire questa operazione:

1. Eseguire il comando seguente per sospendere BitLocker (se BitLocker è abilitato nell'unità C:): manage-bde -protectors -disable C:
2. Eseguire il comando seguente: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Riavviare il dispositivo.
4. Dopo aver installato correttamente il nuovo Windows Boot Manager, abilita BitLocker eseguendo il comando: manage-bde -protectors -enable C:

Dopo l'installazione di KB5070881 o degli aggiornamenti più recenti, Windows Server Update Services (WSUS) non visualizza i dettagli degli errori di sincronizzazione nella relativa segnalazione degli errori. Questa funzionalità viene temporaneamente rimossa per risolvere la vulnerabilità di esecuzione di codice remoto, CVE-2025-59287.

Sintomi

Dopo aver installato questo aggiornamento, in alcuni casi l'avviso di sicurezza visualizzato all'apertura di file Desktop remoto (RDP) potrebbe non essere visualizzato correttamente.

Questo problema può verificarsi quando usi più monitor con impostazioni di ridimensionamento dello schermo diverse (ad esempio, uno schermo impostato su 100% e un altro impostato su 125%). In questo caso, la finestra di avviso potrebbe mostrare sovrapposizioni di testo o pulsanti parzialmente nascosti, che possono rendere difficile la lettura o l'interazione con il messaggio.

Soluzione alternativa

Questo problema è stato risolto in KB5087539.