19. april 2026 – KB5091157 (OS-bygg 26100.32698) utenforliggende

Symptom

Noen enheter med en ikke-anbefalt BitLocker-gruppepolicy kan bli bedt om å oppgi BitLocker-gjenopprettingsnøkkelen ved første omstart etter installasjon av denne oppdateringen.

Dette problemet påvirker bare et begrenset antall systemer der ALLE av følgende betingelser er oppfylt. Disse betingelsene finnes sannsynligvis ikke på personlige enheter som ikke administreres av IT-avdelinger.

1. BitLocker er aktivert på operativsystemstasjonen.

2. Gruppepolicyen «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» er satt, og PCR7 er inkludert i valideringsprofilen (eller tilsvarende registernøkkel er manuelt konfigurert).

3. Systeminformasjon (msinfo32.exe) viser Secure Boot State PCR7 Binding som «Ikke mulig».

4. Windows UEFI CA 2023-sertifikatet finnes i enhetens Secure Boot Signature Database (DB), noe som gjør enheten kvalifisert for at den 2023-signerte Windows Boot Manager skal settes som standard.

5. Enheten kjører ikke allerede den 2023-signerte Windows Boot Manager.

I dette scenarioet trenger BitLocker-gjenopprettingsnøkkelen bare å angis én gang – etterfølgende omstarter utløser ikke et BitLocker-gjenopprettingsskjermbilde så lenge gruppepolicykonfigurasjonen forblir uendret. Hvis du vil ha hjelp til å finne BitLocker-gjenopprettingsnøkkelen, kan du se artikkelen Finn BitLocker-gjenopprettingsnøkkelen.

Virksomheter anbefales å kontrollere BitLocker-gruppepolicyene for eksplisitt PCR7-inkludering og sjekke msinfo32.exe for PCR7-bindingsstatus før denne oppdateringen installeres. (Se alternativ 1 nedenfor.)

Midlertidig løsning 

Dette problemet er løst i KB5094125. Når du har installert KB5094125,  hindres enheter med denne inkompatible gruppepolicykonfigurasjonen fra å installere den 2023-signerte Windows Boot Manager. Hvis enheten ble påvirket, vises hendelses-ID 1032 i systemhendelsesloggen når du installerer Windows-oppdateringer: «Oppstartsbehandling for sikker oppstart (2023) ble ikke brukt på grunn av en kjent inkompatibilitet med gjeldende BitLocker-konfigurasjon.»

Hvis du mottar hendelses-ID 1032, anbefaler Microsoft på det sterkeste å fjerne gruppepolicy-konfigurasjonen før du installerer oppdateringer, slik at du kan installere den 2023-signerte Windows Boot Manager og fortsette å motta de nyeste beskyttelsene for sikker oppstart.

Fjern konfigurasjonen gruppepolicy før du installerer oppdateringen (anbefales) 

1. Åpne Gruppepolicyredigering (gpedit.msc) eller Konsoll for gruppepolicybehandling.

2. Gå til: Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > BitLocker-stasjonskryptering > Operativsystemstasjoner.

3. Sett «Konfigurer TPM-plattformvalideringsprofil for opprinnelige UEFI-fastvarekonfigurasjoner» til «Ikke konfigurert».

4. Kjør denne kommandoen på berørte enheter for å oppdatere policyendringen: gpupdate /force

5. Kjør følgende kommando for å suspendere BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -disable C:

6. Kjør følgende kommando for å gjenoppta BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -enable C:

7. Dette oppdaterer BitLocker-bindingene for å bruke den Windows-valgte standard PCR-profilen.

Hvis du ikke vil fjerne denne gruppepolicy konfigurasjonen, kan du installere den nye Oppstartsbehandling for Windows ved å midlertidig stoppe BitLocker og installere oppdateringen for sikker oppstart. Slik gjør du det:

1. Kjør følgende kommando for å suspendere BitLocker (hvis BitLocker er aktivert på C:-stasjonen): manage-bde -protectors -disable C:

2. Kjør følgende kommando: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Start enheten på nytt.

4. Når den nye Oppstartsbehandling for Windows er installert, aktiverer du BitLocker ved å kjøre kommandoen: manage-bde -protectors -enable C:

Etter å ha installert KB5070881 eller senere oppdateringer, viser ikke Windows Server Update Services (WSUS) detaljer om synkroniseringsfeil i feilrapporteringen. Denne funksjonaliteten fjernes midlertidig for å løse sikkerhetsproblemet for ekstern kjøring av kode, CVE-2025-59287. 

Symptomer

Når du har installert denne oppdateringen, kan det hende at sikkerhetsadvarselen som vises når du åpner RDP-filer (Remote Desktop), ikke vises riktig i noen tilfeller.

Dette problemet kan oppstå når du bruker mer enn én skjerm med andre innstillinger for skjermskalering (for eksempel én skjerm satt til 100 % og et annet satt til 125 %). Når dette skjer, kan advarselsvinduet vise overlappende tekst eller delvis skjulte knapper, noe som kan gjøre meldingen vanskelig å lese eller samhandle med.

Midlertidig løsning

Dette problemet er løst iKB5087539.