14. april 2026 – KB5083769 (OS-bygg 26200.8246 og 26100.8246)

Utløp av sertifikatet for sikker oppstart av Windows

Viktig: Sertifikater for sikker oppstart som brukes av de fleste Windows-enheter, er satt til å utløpe fra og med juni 2026. Dette kan påvirke muligheten for bestemte personlige enheter og forretningsenheter til å starte opp sikkert hvis de ikke oppdateres i tide. For å unngå forstyrrelser anbefaler vi at du går gjennom veiledningen og iverksetter tiltak for å oppdatere sertifikater på forhånd. Hvis du vil ha mer informasjon og klargjøringstrinn, kan du se Utløp og CA-oppdateringer for Windows Secure Boot-sertifikater.

Symptom

Noen enheter med en ikke-anbefalt BitLocker-gruppepolicy kan bli bedt om å oppgi BitLocker-gjenopprettingsnøkkelen ved første omstart etter installasjon av denne oppdateringen.

Dette problemet påvirker bare et begrenset antall systemer der ALLE av følgende betingelser er oppfylt. Disse betingelsene finnes sannsynligvis ikke på personlige enheter som ikke administreres av IT-avdelinger.

1. BitLocker er aktivert på operativsystemstasjonen.

2. Gruppepolicyen «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» er satt, og PCR7 er inkludert i valideringsprofilen (eller tilsvarende registernøkkel er manuelt konfigurert).

3. Systeminformasjon (msinfo32.exe) viser Secure Boot State PCR7 Binding som «Ikke mulig».

4. Windows UEFI CA 2023-sertifikatet finnes i enhetens Secure Boot Signature Database (DB), noe som gjør enheten kvalifisert for at den 2023-signerte Windows Boot Manager skal settes som standard.

5. Enheten kjører ikke allerede den 2023-signerte Windows Boot Manager.

I dette scenarioet trenger BitLocker-gjenopprettingsnøkkelen bare å angis én gang – etterfølgende omstarter utløser ikke et BitLocker-gjenopprettingsskjermbilde så lenge gruppepolicykonfigurasjonen forblir uendret. Hvis du vil ha hjelp til å finne BitLocker-gjenopprettingsnøkkelen, kan du se artikkelen Finn BitLocker-gjenopprettingsnøkkelen.

Virksomheter anbefales å kontrollere BitLocker-gruppepolicyene for eksplisitt PCR7-inkludering og sjekke msinfo32.exe for PCR7-bindingsstatus før denne oppdateringen installeres. (Se løsningen nedenfor.)

Midlertidig løsning 

Dette problemet er løst i KB5089549. Når du har installert KB5089549,hindres enheter med denne inkompatible gruppepolicykonfigurasjonen fra å installere den 2023-signerte Windows Boot Manager. Hvis enheten ble påvirket, vises hendelses-ID 1032 i systemhendelsesloggen når du installerer Windows-oppdateringer: «Oppstartsbehandling for sikker oppstart (2023) ble ikke brukt på grunn av en kjent inkompatibilitet med gjeldende BitLocker-konfigurasjon.»

Hvis du mottar hendelses-ID 1032, anbefaler Microsoft på det sterkeste å fjerne gruppepolicy-konfigurasjonen før du installerer oppdateringer, slik at du kan installere den 2023-signerte Windows Boot Manager og fortsette å motta de nyeste beskyttelsene for sikker oppstart.

Fjern konfigurasjonen gruppepolicy før du installerer oppdateringen (anbefales) 

1. Åpne Gruppepolicyredigering (gpedit.msc) eller Konsoll for gruppepolicybehandling.

2. Gå til: Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering > Operativsystemstasjoner.

3. Sett «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» til «Ikke konfigurert».

4. Kjør denne kommandoen på berørte enheter for å oppdatere policyendringen: gpupdate /force

5. Kjør følgende kommando for å suspendere BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -disable C:

6. Kjør følgende kommando for å gjenoppta BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -enable C:

7. Dette oppdaterer BitLocker-bindingene for å bruke den Windows-valgte standard PCR-profilen.

Hvis du ikke vil fjerne denne gruppepolicy konfigurasjonen, kan du installere den nye Oppstartsbehandling for Windows ved å midlertidig stoppe BitLocker og installere oppdateringen for sikker oppstart. Slik gjør du det:

1. Kjør følgende kommando for å suspendere BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -disable C:

2. Kjør følgende kommando: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Start enheten på nytt.

4. Når den nye Oppstartsbehandling for Windows er installert, aktiverer du BitLocker ved å kjøre kommandoen: manage-bde -protectors -enable C: