2026년 4월 19일 — KB5091157(OS 빌드 26100.32698) 대역 외

증상

이 업데이트를 설치한 후 첫 번째 다시 시작에서 BitLocker 복구 키를 입력하려면 커밋되지 않은 BitLocker 그룹 정책 구성이 있는 일부 디바이스가 필요할 수 있습니다.

이 문제는 다음 조건 모두에 해당하는 제한된 수의 시스템에만 영향을 줍니다. 이러한 조건은 IT 부서에서 관리하지 않는 개인 디바이스에서 찾을 수 없습니다.

1. BitLocker는 OS 드라이브에서 사용하도록 설정됩니다.

2. "네이티브 UEFI 펌웨어 구성에 대한 TPM 플랫폼 유효성 검사 프로필 구성"그룹 정책 구성되고 PCR7이 유효성 검사 프로필에 포함됩니다(또는 해당하는 레지스트리 키가 수동으로 설정됨).

3. 시스템 정보(msinfo32.exe)는 보안 부팅 상태 PCR7 바인딩을 "불가능"으로 보고합니다.

4. Windows UEFI CA 2023 인증서는 디바이스의 DB(보안 부팅 서명 데이터베이스)에 있으므로 디바이스가 2023 서명된 Windows 부팅 관리자를 기본값으로 사용할 수 있습니다.

5. 디바이스가 2023 서명된 Windows 부팅 관리자를 아직 실행하고 있지 않습니다.

이 시나리오에서는 BitLocker 복구 키를 한 번만 입력하면 됩니다. 그룹 정책 구성이 변경되지 않는 한 후속 다시 시작은 BitLocker 복구 화면을 트리거하지 않습니다. BitLocker 복구 키를 찾는 데 도움이 되는 내용은 BitLocker 복구 키 찾기 문서를 참조하세요.

엔터프라이즈는 이 업데이트를 설치하기 전에 명시적 PCR7 포함 및 PCR7 바인딩 상태 대한 검사 msinfo32.exe BitLocker 그룹 정책을 감사하는 것이 좋습니다. (아래 옵션 1을 참조하세요.)

해결 방법 

옵션 1: 업데이트를 설치하기 전에 그룹 정책 구성 제거(권장) 

1. 그룹 정책 편집기(gpedit.msc) 또는 그룹 정책 관리 콘솔을 엽니다.

2. 탐색: 컴퓨터 구성 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화 > 운영 체제 드라이브.

3. "네이티브 UEFI 펌웨어 구성에 대한 TPM 플랫폼 유효성 검사 프로필 구성"을 "구성되지 않음"으로 설정합니다.

4. 영향을 받는 디바이스에서 다음 명령을 실행하여 정책 변경을 전파합니다. gpupdate /force

5. 다음 명령을 실행하여 BitLocker를 일시 중단합니다(여기서 BitLocker는 C: 드라이브에서 사용하도록 설정됨): manage-bde -protectors -disable C:

6. 다음 명령을 실행하여 BitLocker를 다시 시작합니다(여기서 BitLocker는 C: 드라이브에서 사용하도록 설정됨): manage-bde -protectors -enable C:

7. 이렇게 하면 Windows에서 선택한 기본 PCR 프로필을 사용하도록 BitLocker 바인딩이 업데이트됩니다.

옵션 2: 업데이트를 설치하기 전에 KIR(알려진 문제 롤백)을 적용합니다.

이 업데이트를 배포하기 전에 PCR7 그룹 정책을 제거할 수 없는 고객은 KIR(알려진 문제 롤백) 을 사용할 수 있습니다. KIR은 2023 부팅 관리자로 자동 전환을 방지하여 BitLocker 복구 트리거를 방지합니다. 영향을 받는 디바이스에 업데이트를 설치하기 전에 KIR을 배포해야 합니다. 이 KIR을 얻으려면 Microsoft의 비즈니스 지원에 문의하세요.

이 문제에 대한 영구적인 해결 방법은 향후 Windows 업데이트에서 계획됩니다. 추가 정보는 사용 가능한 경우 제공됩니다.

KB5070881 이상 업데이트를 설치한 후 WSUS(Windows Server Update Services)는 오류 보고 내에 동기화 오류 세부 정보를 표시하지 않습니다. 이 기능은 원격 코드 실행 취약성 CVE-2025-59287을 해결하기 위해 일시적으로 제거됩니다.