2026년 4월 14일 - KB5082063(OS 빌드 26100.32690)

Windows 보안 부팅 인증서 만료

I mportant: 대부분의 Windows 디바이스에서 사용하는 보안 부팅 인증서는 2026년 6월부터 만료되도록 설정됩니다. 적절한 시기에 업데이트하지 않으면 일부 개인 및 비즈니스 디바이스가 안전하게 부팅되지 않을 수 있습니다. 중단을 방지하려면 지침을 검토하고 사전에 인증서를 업데이트하는 조치를 취하는 것이 좋습니다. 자세한 내용 및 준비 단계는 Windows 보안 부팅 인증서 만료 및 CA 업데이트 및Windows Server 보안 플레이북 블로그를 참조하세요.

증상

소수의 디바이스가 다음 오류 메시지 중 하나를 사용하여 이 업데이트를 설치하지 못할 수 있습니다.

• "설치 오류 - 0x800F0983"
• "일부 업데이트 파일이 누락되었거나 문제가 있습니다. 나중에 업데이트를 다시 다운로드해 보겠습니다. 오류 코드: (0x80073712)"

해결 방법

이 문제는 대역 외 업데이트 KB5091157 해결됩니다.

증상

이 업데이트를 설치하고 다시 시작한 후 PAM( Privileged Access Management )을 사용하는 포리스트에 여러 도메인이 있는 환경의 DC(도메인 컨트롤러)는 시작 중에 LSASS 크래시가 발생할 수 있습니다. 따라서 영향을 받는 도메인 컨트롤러가 반복적으로 다시 시작되어 인증 및 디렉터리 서비스가 작동하지 않고 도메인을 사용할 수 없게 될 수 있습니다.

해결 방법

이 문제는 대역 외 업데이트 KB5091157 해결됩니다.

증상

이 업데이트를 설치한 후 처음으로 재시작할 때 권장되지 않는 BitLocker 그룹 정책 구성이 적용된 일부 디바이스에서 BitLocker 복구 키를 입력해야 할 수 있습니다.

이 문제는 다음 조건 모두에 해당하는 제한된 수의 시스템에만 영향을 줍니다. 이러한 조건은 IT 부서에서 관리하지 않는 개인 디바이스에서는 거의 발생하지 않습니다.

1. OS 드라이브에서 BitLocker를 사용할 수 있습니다.
2. 그룹 정책 '네이티브 UEFI 펌웨어 구성을 위한 TPM 플랫폼 유효성 검사 프로필 구성'이 설정되어 있고, PCR7이 유효성 검사 프로필에 포함되어 있거나(또는 해당 레지스트리 키가 수동으로 설정된 경우) 해당됩니다.
3. 시스템 정보(msinfo32.exe)에서 보안 부팅 상태 PCR7 바인딩이 '불가능'으로 보고됩니다.
4. Windows UEFI CA 2023 인증서가 디바이스의 보안 부팅 서명 데이터베이스(DB)에 있어 디바이스가 2023년 서명된 Windows 부팅 관리자를 기본값으로 사용할 수 있습니다.
5. 디바이스가 아직 2023년 서명된 Windows 부팅 관리자를 실행하고 있지 않습니다.

이 시나리오에서는 BitLocker 복구 키를 한 번만 입력하면 됩니다. 이후에 다시 시작하면 그룹 정책 구성이 변경되지 않는 한 BitLocker 복구 화면이 트리거되지 않습니다. BitLocker 복구 키를 찾는 데 도움이 되는 내용은 BitLocker 복구 키 찾기 문서를 참조하세요.

엔터프라이즈에서는 이 업데이트를 설치하기 전에 BitLocker 그룹 정책에서 명시적으로 PCR7 포함 여부를 감사하고 msinfo32.exe로 PCR7 바인딩 상태를 확인하는 것이 좋습니다. (아래 해결 방법을 참조하세요.)

해결 방법

이 문제는 KB5094125 해결되었습니다.  KB5094125 설치한 후 이 호환되지 않는 그룹 정책 구성이 있는 디바이스는 2023 서명된 Windows 부팅 관리자를 설치할 수 없습니다. 디바이스에 영향을 받은 경우 Windows 업데이트를 설치할 때 시스템 이벤트 로그에 이벤트 ID 1032 가 표시됩니다. "현재 BitLocker 구성과의 호환성이 알려진 비호환성으로 인해 보안 부팅 업데이트 부팅 관리자(2023)가 적용되지 않았습니다."

이벤트 ID 1032를 수신하는 경우 2023 서명된 Windows 부팅 관리자를 설치하고 최신 보안 부팅 보호를 계속 받을 수 있도록 업데이트를 설치하기 전에 그룹 정책 구성을 제거하는 것이 좋습니다.

업데이트를 설치하기 전에 그룹 정책 구성 제거(권장)

1. 그룹 정책 편집기(gpedit.msc) 또는 그룹 정책 관리 콘솔을 엽니다.
2. 탐색: 컴퓨터 구성 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화 > 운영 체제 드라이브.
3. '기본 UEFI 펌웨어 구성에 대한 TPM 플랫폼 유효성 검사 프로필 구성'을 '구성되지 않음'으로 설정합니다.
4. 영향을 받는 디바이스에서 다음 명령을 실행하여 정책 변경 사항을 적용합니다. gpupdate /force
5. 다음 명령을 실행하여 BitLocker를 일시 중단합니다(C: 드라이브에서 BitLocker를 사용하는 경우): manage-bde -protectors -disable C:
6. 다음 명령을 실행하여 BitLocker를 다시 시작합니다(C: 드라이브에서 BitLocker를 사용하는 경우): manage-bde -protectors -enable C:
7. 이렇게 하면 Windows에서 선택한 기본 PCR 프로필을 사용하도록 BitLocker 바인딩이 업데이트됩니다.

이 그룹 정책 구성을 제거하지 않으려면 BitLocker를 일시적으로 일시 중단하고 보안 부팅 업데이트를 설치하여 새 Windows 부팅 관리자를 설치할 수 있습니다. 그렇게 하려면 다음과 같이 하세요.

1. 다음 명령을 실행하여 BitLocker를 일시 중단합니다(C: 드라이브에서 BitLocker를 사용하는 경우): manage-bde -protectors -disable C:
2. Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 명령을 실행합니다.
3. 디바이스를 다시 시작합니다.
4. 새 Windows 부팅 관리자가 성공적으로 설치되면 manage-bde -protectors -enable C: 명령을 실행하여 BitLocker를 사용하도록 설정합니다.

KB5070881 이상 업데이트를 설치한 후 WSUS(Windows Server Update Services)는 오류 보고 내에 동기화 오류 세부 정보를 표시하지 않습니다. 이 기능은 원격 코드 실행 취약성 CVE-2025-59287을 해결하기 위해 일시적으로 제거됩니다.

증상

이 업데이트를 설치한 후 RDP(원격 데스크톱) 파일을 열 때 표시되는 보안 경고 가 경우에 따라 올바르게 표시되지 않을 수 있습니다.

이 문제는 서로 다른 디스플레이 크기 조정 설정(예: 하나의 디스플레이가 100%로 설정되고 다른 디스플레이가 125%로 설정된 모니터)을 둘 이상 사용하는 경우에 발생할 수 있습니다. 이 경우 경고 창에 겹치는 텍스트 또는 부분적으로 숨겨진 단추가 표시되어 메시지를 읽거나 상호 작용하기 어려울 수 있습니다.

해결 방법

이 문제는 KB5087539 해결되었습니다.