2026 m. balandžio 19 d. – KB5091157 (OS komponavimo versija 26100.32698) nepatenka į diapazoną

Požymis

Kai kuriuose įrenginiuose, kuriuose nustatyta nerekomenduojama „BitLocker“ grupės strategija, gali tekti įvesti „BitLocker“ atkūrimo raktą pirmą kartą paleidus įrenginį iš naujo po šio naujinimo įdiegimo.

Ši problema turi įtakos tik ribotam skaičiui sistemų, kuriose atitinka VISOS toliau nurodytos sąlygos. Mažai tikėtina, kad šios sąlygos bus rastos asmeniniuose įrenginiuose, kurių nevaldo IT skyriai.

1. „BitLocker“ įjungtas OS diske.

2. Grupės strategija „Konfigūruoti TPM platformos tikrinimo profilį vietinėms UEFI programinės-aparatinės įrangos konfigūracijoms” yra sukonfigūruota, o PCR7 įtrauktas į tikrinimo profilį (arba atitinkamas registro raktas nustatomas rankiniu būdu).

3. Sistemos informacijos (msinfo32.exe) praneša saugiosios įkrovos būsenos PCR7 susiejimą kaip „Neįmanoma“.

4. „Windows UEFI CA 2023“ sertifikatas yra įrenginio saugiosios įkrovos parašo duomenų bazėje (DB), todėl įrenginys gali gauti 2023 m. pasirašytą „Windows“ įkrovos tvarkytuvą kaip numatytąjį.

5. Įrenginyje dar nėra 2023 m. pasirašyto „Windows“ įkrovos tvarkytuvo.

Tokiu atveju „BitLocker“ atkūrimo raktą reikia įvesti tik vieną kartą – paskesni paleidimai iš naujo nesuaktyvins „BitLocker“ atkūrimo ekrano, kol grupės strategijos konfigūracija liks nepakitusi. Jei reikia pagalbos ieškant "BitLocker" atkūrimo rakto, žr. straipsnį "BitLocker" atkūrimo rakto radimas".

Įmonėms rekomenduojama prieš diegiant šį naujinimą patikrinti savo „BitLocker“ grupės strategijas dėl PCR7 įtraukimo ir patikrintimsinfo32.exe ar nėra PCR7 susiejimo būsenos. (Žr. 1 variantą toliau.)

Sprendimo būdas 

Ši problema išspręsta KB5094125. Įdiegus KB5094125,  įrenginiams su šia nesuderinama grupės strategijos konfigūracija neleidžiama įdiegti 2023 m. pasirašyto "Windows" įkrovos tvarkytuvo. Jei jūsų įrenginys buvo paveiktas, diegiant "Windows" naujinimus, sistemos įvykių žurnale bus rodomas įvykis ID 1032: "Saugiosios įkrovos naujinimo įkrovos tvarkytuvas (2023) nebuvo pritaikytas dėl žinomo nesuderinamumo su dabartine "BitLocker" konfigūracija".

Jei gaunate įvykio ID 1032, "Microsoft" primygtinai rekomenduoja prieš diegdami naujinimus pašalinti Grupės strategijos konfigūraciją, kad galėtumėte įdiegti 2023 m. pasirašytą "Windows" įkrovos tvarkytuvą ir toliau gauti naujausią saugiosios įkrovos apsaugą.

Prieš diegdami naujinimą, pašalinkite Grupės strategijos konfigūraciją (rekomenduojama) 

1. Atidarykite Grupės strategijos rengyklę (gpedit.msc) arba Grupės strategijos valdymo konsolę.

2. Eikite į: Kompiuterio konfigūracija > Administravimo šablonai > „Windows“ komponentai > „BitLocker“ disko šifravimas > Operacinės sistemos diskai.

3. Nustatykite „Konfigūruoti TPM platformos tikrinimo profilį vietinėms UEFI programinės-aparatinės įrangos konfigūracijoms“ reikšmę į „Nesukonfigūruota“.

4. Paveiktuose įrenginiuose vykdykite šią komandą, kad pritaikytumėte strategijos pakeitimą: gpupdate /force

5. Vykdykite šią komandą, kad laikinai sustabdytumėte "BitLocker" (jei C: diske įjungta "BitLocker"): manage-bde -protectors -disable C:

6. Vykdykite šią komandą, kad tęstumėte "BitLocker" naudojimą (jei "BitLocker" įgalinta C: diske): manage-bde -protectors -enable C:

7. Tai atnaujina "BitLocker" susiejimus, kad būtų naudojamas "Windows" pasirinktas numatytasis PGR profilis.

Jei nenorite pašalinti šios Grupės strategijos konfigūracijos, galite įdiegti naują "Windows" įkrovos tvarkytuvą laikinai sustabdydami "BitLocker" ir įdiegdami saugiosios įkrovos naujinimą. Norėdami tai atlikti:

1. Vykdykite šią komandą, kad laikinai sustabdytumėte "BitLocker" (jei C: diske įjungta "BitLocker"): manage-bde -protectors -disable C:

2. Vykdykite šią komandą: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Iš naujo paleiskite įrenginį.

4. Sėkmingai įdiegę naują "Windows" įkrovos tvarkytuvą, įgalinkite "BitLocker" paleisdami komandą: manage-bde -protectors -enable C:

Įdiegus KB5070881 ar naujesnius naujinimus, „Windows Server“ naujinimo tarnybos (WSUS) klaidų ataskaitose nerodo sinchronizavimo klaidos informacijos. Ši funkcija laikinai pašalinama siekiant išspręsti nuotolinio kodo vykdymo pažeidžiamumą, CVE-2025-59287. 

Požymiai

Įdiegus šį naujinimą, saugos įspėjimas, kuris rodomas atidarant nuotolinio darbalaukio (RDP) failus, kai kuriais atvejais gali būti rodomas netinkamai.

Ši problema gali kilti, kai naudojate daugiau nei vieną monitorių su skirtingais ekrano mastelio keitimo parametrais (pavyzdžiui, vienas nustatytas kaip 100 %, o kitas – kaip 125 %). Tokiu atveju įspėjimo lange gali būti rodomas persidengiantis tekstas arba iš dalies paslėpti mygtukai, dėl kurių gali būti sunku perskaityti pranešimą ar su juo sąveikauti.

Sprendimo būdas

Ši problema išspręstaKB5087539.