19 kwietnia 2026 r. — KB5091157 (kompilacja systemu operacyjnego 26100.32698), poza harmonogramem

Objaw

W przypadku niektórych urządzeń, na których zastosowano niezgodną z zaleceniami konfigurację zasad grupy dotyczących funkcji BitLocker, może zaistnieć konieczność wprowadzenia klucza odzyskiwania funkcji BitLocker przy pierwszym ponownym uruchomieniu komputera po zainstalowaniu tej aktualizacji.

Ten problem dotyczy tylko ograniczonej liczby systemów, w których spełnione są WSZYSTKIE poniższe warunki. Jest mało prawdopodobne, aby warunki te występowały na urządzeniach osobistych, które nie są zarządzane przez działy IT.

1. Funkcja BitLocker jest włączona na dysku systemu operacyjnego.
2. Zasada grupy „Konfiguruj profil sprawdzania poprawności platformy TPM dla natywnych konfiguracji oprogramowania układowego UEFI” jest skonfigurowana, a PCR7 znajduje się w profilu sprawdzania poprawności (lub odpowiedni klucz rejestru został ustawiony ręcznie).
3. Program Informacje o systemie (msinfo32.exe) podaje, że powiązanie stanu bezpiecznego rozruchu z rejestrem PCR7 jest „Niemożliwe”.
4. Certyfikat Windows UEFI CA 2023 znajduje się w bazie danych podpisów funkcji Secure Boot (DB) urządzenia, dzięki czemu urządzenie kwalifikuje się do ustawienia menedżera rozruchu systemu Windows z podpisem 2023 jako domyślnego.
5. Na tym urządzeniu nie jest jeszcze zainstalowany menedżer rozruchu systemu Windows z podpisem z 2023 roku.

W tym scenariuszu klucz odzyskiwania funkcji BitLocker należy wprowadzić tylko raz – kolejne ponowne uruchomienia komputera nie spowodują wyświetlenia ekranu odzyskiwania funkcji BitLocker, o ile konfiguracja zasad grupy pozostanie niezmieniona. Aby uzyskać pomoc w znalezieniu klucza odzyskiwania funkcji BitLocker, zobacz artykuł Znajdowanie klucza odzyskiwania funkcji BitLocker.

Przed zainstalowaniem tej aktualizacji zaleca się, aby przedsiębiorstwa sprawdziły swoje zasady grupy BitLocker pod kątem wyraźnego uwzględnienia PCR7 oraz zweryfikowały w programie msinfo32.exe status powiązania PCR7. (Zobacz opcję 1 poniżej).

Obejście

Ten problem został rozwiązany w KB5094125. Po zainstalowaniu KB5094125 urządzenia z tą niezgodną konfiguracją zasad grupy nie mogą zainstalować Menedżera rozruchu systemu Windows podpisanego w 2023 roku. Jeśli problem dotyczył Twojego urządzenia, identyfikator zdarzenia 1032 pojawi się w dzienniku zdarzeń systemowych podczas instalowania aktualizacji systemu Windows: "Aktualizacja Menedżera rozruchu bezpiecznego rozruchu (2023) nie została zastosowana z powodu znanej niezgodności z bieżącą konfiguracją funkcji BitLocker".

Jeśli otrzymasz zdarzenie o identyfikatorze 1032, firma Microsoft zdecydowanie zaleca usunięcie konfiguracji zasady grupy przed zainstalowaniem aktualizacji, dzięki czemu można zainstalować Menedżera rozruchu systemu Windows podpisanego w 2023 r. i nadal otrzymywać najnowsze zabezpieczenia bezpiecznego rozruchu.

Usuń konfigurację zasady grupy przed zainstalowaniem aktualizacji (zalecane)

1. Otwórz Edytor zasad grupy (gpedit.msc) lub Konsolę zarządzania zasadami grupy.
2. Przejdź do: Konfiguracja > komputera Szablony administracyjne Składniki > systemu Windows Szyfrowanie > dysków funkcją BitLocker Dyski > z systemem operacyjnym.
3. Ustaw „Konfiguruj profil weryfikacji platformy TPM dla natywnych konfiguracji oprogramowania układowego UEFI” na „Nieskonfigurowane”.
4. Aby wprowadzić zmiany w zasadach, uruchom następujące polecenie na urządzeniach, których to dotyczy: gpupdate /force
5. Uruchom następujące polecenie, aby wstrzymać funkcję BitLocker (jeśli funkcja BitLocker jest włączona na dysku C:): manage-bde -protectors -disable C:
6. Uruchom następujące polecenie, aby wznowić działanie funkcji BitLocker (jeśli funkcja BitLocker jest włączona na dysku C:): manage-bde -protectors -enable C:
7. Spowoduje to zaktualizowanie powiązań funkcji BitLocker w celu używania wybranego przez system Windows domyślnego profilu PCR.

Jeśli nie chcesz usuwać tej konfiguracji zasady grupy, możesz zainstalować nowego Menedżera rozruchu systemu Windows, tymczasowo zawieszając funkcję BitLocker i instalując aktualizację bezpiecznego rozruchu. W tym celu:

1. Uruchom następujące polecenie, aby wstrzymać funkcję BitLocker (jeśli funkcja BitLocker jest włączona na dysku C:): manage-bde -protectors -disable C:
2. Uruchom następujące polecenie: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Uruchom ponownie urządzenie.
4. Po pomyślnym zainstalowaniu nowego Menedżera rozruchu systemu Windows włącz funkcję BitLocker, uruchamiając polecenie: manage-bde -protectors -enable C:

Po zainstalowaniu KB5070881 lub nowszych aktualizacji usługa Windows Server Update Services (WSUS) nie wyświetla szczegółów błędów synchronizacji w ramach raportowania błędów. Ta funkcja została tymczasowo usunięta w celu usunięcia luki umożliwiającej zdalne wykonanie kodu, CVE-2025-59287.

Objawy

Po zainstalowaniu tej aktualizacji ostrzeżenie o zabezpieczeniach wyświetlane podczas otwierania plików pulpitu zdalnego (RDP) może w niektórych przypadkach nie być wyświetlane poprawnie.

Ten problem może wystąpić w przypadku używania więcej niż jednego monitora z różnymi ustawieniami skalowania ekranu (na przykład jeden wyświetlacz jest ustawiony na 100%, a inny na 125%). W takim przypadku w oknie ostrzeżenia może zostać wyświetlony nakładający się tekst lub częściowo ukryte przyciski, które mogą utrudniać odczytywanie wiadomości lub interakcję z nią.

Obejście

Ten problem został rozwiązany w KB5087539.