12 mei 2026 - KB5087539 (OS-build 26100.32860)

Verlopen van Windows Secure Boot-certificaat

Ikdenk dat secure boot-certificaten die door de meeste Windows-apparaten worden gebruikt, zijn ingesteld om te verlopen vanaf juni 2026. Dit kan van invloed zijn op de mogelijkheid van bepaalde persoonlijke en zakelijke apparaten om veilig op te starten als deze niet op tijd is bijgewerkt. Om onderbrekingen te voorkomen, raden we u aan de richtlijnen te bekijken en van tevoren actie te ondernemen om certificaten bij te werken. Zie voor meer informatie en voorbereidingsstappen Het verlopen van Windows Secure Boot-certificaat en CA-updates en de blog Windows Server Secure playbook.

Datum wijzigen	Beschrijving wijzigen
dinsdag 9 juni 2026	Bekende problemen bijgewerkt: Oplossing toegevoegd voor 'Apparaten met een niet-aanbevolen BitLocker-groepsbeleid-configuratie is mogelijk vereist om hun BitLocker-herstelsleutel in te voeren'.
dinsdag 27 mei 2026	Bijgewerkte opdrachten (MSU-tekenreeksen) onder Catalogus.
dinsdag 15 mei 2026	Active Directory Certificate Services-update toegevoegd.
dinsdag 13 mei 2026	Releaseopmerking voor beveiligd opstarten toegevoegd: Met deze update wordt een nieuwe SecureBoot map toegevoegd onder C:\Windowsop in aanmerking komende apparaten.

Symptoom

Sommige apparaten met een niet-aanbevolen BitLocker-groepsbeleidsconfiguratie moeten mogelijk hun BitLocker-herstelsleutel invoeren bij de eerste herstart na het installeren van deze update.

Dit probleem is alleen van invloed op een beperkt aantal systemen waarin aan ALLE van de volgende voorwaarden wordt voldaan. Deze voorwaarden zijn waarschijnlijk niet gevonden op persoonlijke apparaten die niet worden beheerd door IT-afdelingen.

1. BitLocker is ingeschakeld op het besturingssysteemstation.

2. Het groepsbeleidsinstelling 'Configureer TPM-platformvalidatieprofiel voor native UEFI-firmwareconfiguraties' is geconfigureerd en PCR7 is opgenomen in het validatieprofiel (of de equivalente registersleutel is handmatig ingesteld).

3. Systeeminformatie (msinfo32.exe) rapporteert secure boot state PCR7 Binding als 'Niet mogelijk'.

4. Het Windows UEFI CA 2023-certificaat is aanwezig in de Secure Boot Signature Database (DB) van het apparaat, waardoor het apparaat in aanmerking komt voor het met 2023 ondertekende Windows Opstartbeheer als standaardinstelling.

5. Op het apparaat wordt het met 2023 ondertekende Windows Opstartbeheer nog niet uitgevoerd.

In dit scenario hoeft de BitLocker-herstelsleutel slechts eenmaal te worden ingevoerd. Als je opnieuw opstart, wordt er geen BitLocker-herstelscherm geactiveerd, zolang de configuratie van het groepsbeleid ongewijzigd blijft. Zie het artikel Uw BitLocker-herstelsleutel zoeken voor hulp bij het vinden van uw BitLocker-herstelsleutel.

Ondernemingen wordt aangeraden hun BitLocker-groepsbeleid te controleren op expliciete PCR7-opname en msinfo32.exe te controleren op PCR7-bindingsstatus voordat je deze update installeert. (Zie de tijdelijke oplossing hieronder.)

Tijdelijke oplossing 

Dit probleem wordt opgelost in KB5094125. Na de installatie van KB5094125 kunnen  apparaten met deze incompatibele groepsbeleidsconfiguratie niet de met 2023 ondertekende Windows Boot Manager installeren. Als uw apparaat is beïnvloed, wordt gebeurtenis-id 1032 weergegeven in het systeemgebeurtenislogboek bij het installeren van Windows-updates: 'De update Voor beveiligd opstarten opstartbeheer (2023) is niet toegepast vanwege een bekende incompatibiliteit met de huidige BitLocker-configuratie.'

Als u gebeurtenis-id 1032 ontvangt, raadt Microsoft ten zeerste aan de configuratie van de groepsbeleid te verwijderen voordat u updates installeert, zodat u de met 2023 ondertekende Windows Boot Manager kunt installeren en de meest recente beveiliging tegen beveiligd opstarten kunt blijven ontvangen.

Verwijder de groepsbeleid configuratie voordat u de update installeert (aanbevolen) 

1. Open groepsbeleid-editor (gpedit.msc) of je console Groepsbeleidbeheer.

2. Navigeer naar: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-stationsversleuteling > besturingssysteemstations.

3. Stel 'Configureer TPM-platformvalidatieprofiel voor native UEFI-firmwareconfiguraties' in op 'Niet geconfigureerd'.

4. Voer de volgende opdracht uit op betrokken apparaten om de beleidswijziging door te geven: gpupdate /force

5. Voer de volgende opdracht uit om BitLocker te onderbreken (als BitLocker is ingeschakeld op station C:): manage-bde -protectors -disable C:

6. Voer de volgende opdracht uit om BitLocker te hervatten (als BitLocker is ingeschakeld op station C:): manage-bde -protectors -enable C:

7. Hiermee worden de BitLocker-bindingen bijgewerkt om het door Windows geselecteerde standaard-PCR-profiel te gebruiken.

Als u deze groepsbeleid configuratie niet wilt verwijderen, kunt u de nieuwe Windows Opstartbeheer installeren door BitLocker tijdelijk te onderbreken en de update voor beveiligd opstarten te installeren. Dit doet u als volgt:

1. Voer de volgende opdracht uit om BitLocker te onderbreken (als BitLocker is ingeschakeld op station C:): manage-bde -protectors -disable C:

2. Voer de volgende opdracht uit: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Start het apparaat opnieuw op.

4. Zodra het nieuwe Windows Opstartbeheer is geïnstalleerd, schakelt u BitLocker in door de opdracht manage-bde -protectors -enable C uit te voeren:

Na de installatie van KB5070881 of latere updates worden in Windows Server Update Services (WSUS) geen synchronisatiefoutdetails weergegeven in de foutenrapportage. Deze functionaliteit wordt tijdelijk verwijderd om het beveiligingslek met betrekking tot het uitvoeren van externe code op te lossen, CVE-2025-59287.