Orientações para bloquear a reversão de atualizações de segurança relacionadas com a Segurança baseada em Virtualização (VBS)

Nota importante acerca da política SkuSiPolicy.p7b

Para obter instruções para aplicar a política atualizada, consulte a seção Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b ).

Neste artigo

• Resumo

• Escopo do Impacto

• Mitigações disponíveis

• Noções básicas sobre riscos de mitigação

• Diretrizes de implantação de mitigação

  • Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)
  • Atualizando mídia de inicialização externa

• Logs de Eventos do Windows

  • Eventos de ativação de política
  • Auditar e bloquear eventos

• Procedimento de remoção e recuperação de política

• Alterações feitas a este artigo

Resumo

A Microsoft tomou conhecimento de uma vulnerabilidade no Windows que permite que um invasor com privilégios de administrador substitua arquivos de sistema atualizados do Windows com versões mais antigas, abrindo a porta para que um invasor reintroduza vulnerabilidades à segurança baseada em virtualização (VBS).  A reversão desses binários pode permitir que um invasor contorne os recursos de segurança da VBS e exfiltre dados protegidos pela VBS. Este problema é descrito em CVE-2024-21302 | Vulnerabilidade de elevação de privilégio do Modo Kernel Seguro do Windows.

Para resolver esse problema, revogaremos os arquivos vulneráveis do sistema VBS que não forem atualizados. Devido ao grande número de arquivos relacionados à VBS que devem ser bloqueados, usamos uma abordagem alternativa para bloquear versões de arquivo que não são atualizadas.

Escopo do Impacto

Todos os dispositivos Windows que dão suporte a VBS são afetados por esse problema. Isso inclui dispositivos físicos locais e VMs (máquinas virtuais). A VBS é compatível com o Windows 10 e versões posteriores do Windows, e com o Windows Server 2016 e versões posteriores do Windows Server.

O estado do VBS pode ser verificado através da ferramenta de informações de sistema da Microsoft (Msinfo32.exe). Essa ferramenta coleta informações sobre seu dispositivo. Depois de iniciar o Msinfo32.exe, role para baixo até a linha de Segurança baseada em virtualização. Se o valor dessa linha estiver Em execução, a VBS estará habilitada e em execução.

O estado da VBS também pode ser verificado com o Windows PowerShell usando a classe WMI Win32_DeviceGuard. Para consultar o estado da VBS do PowerShell, abra uma sessão do Windows PowerShell elevada e execute o seguinte comando:

Depois de executar o comando do PowerShell acima, o status de estado da VBS deve ser um dos seguintes.

Nome de campo	Status
VirtualizationBasedSecurityStatus	Se o campo for igual a 0, a VBS não está habilitada. Se o campo for igual a 1, a VBS está habilitada, mas não está em execução. Se o campo for igual a 2, a VBS está habilitada e em execução.

Mitigações disponíveis

Para todas as versões suportadas do Windows 10, versão 1507 e versões posteriores do Windows, e Windows Server 2016 e versões Windows Server posteriores, os administradores podem implementar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Isso impedirá que versões vulneráveis de arquivos do sistema VBS que não são atualizados sejam carregadas pelo sistema operacional.

Quando o SkuSiPolicy.p7b é aplicado a um dispositivo Windows, a política também será bloqueada para o dispositivo adicionando uma variável ao firmware UEFI. Durante a inicialização, a política é carregada e o Windows bloqueia o carregamento de binários que violam a política. Se o bloqueio UEFI for aplicado e a política for removida ou substituída por uma versão mais antiga, o gerenciador de inicialização do Windows não será iniciado e o dispositivo também não. Essa falha de inicialização não mostrará um erro e o sistema seguirá para a próxima opção de inicialização disponível, o que pode resultar em um loop de inicialização.

Foi adicionada uma política de CI adicional assinada pela Microsoft, que está ativada por predefinição e não requer passos de implementação adicionais, que não está vinculada ao UEFI. Esta política CI assinada será carregada durante o arranque e a imposição desta política impedirá a reversão dos ficheiros de sistema VBS durante essa sessão de arranque. Ao contrário do SkuSiPolicy.p7b, um dispositivo pode continuar a arrancar se a atualização for desinstalada. Esta política está incluída em todas as versões suportadas do Windows 10, versão 1507 e posteriores. O SkuSkiPolicy.p7b ainda pode ser aplicado pelos administradores para fornecer proteção adicional para reversão em sessões de inicialização.

Os registos de Arranque Medido pelo Windows utilizados para atestar o estado de funcionamento do arranque do PC incluem informações sobre a versão da política que está a ser carregada durante o processo de arranque. Estes registos são mantidos de forma segura pelo TPM durante o arranque e os serviços de certificação da Microsoft analisam-nos para verificar se estão a ser carregadas as versões de política corretas. Os serviços de atestado aplicam regras que garantem que uma versão específica da política ou superior seja carregada; caso contrário, o sistema não será atestado como íntegro.

Para que a mitigação da política funcione, a política tem de ser atualizada com a atualização de manutenção do Windows, uma vez que os componentes do Windows e a política têm de ser da mesma versão. Se a política de mitigação for copiada para o dispositivo, este poderá não iniciar se for aplicada a versão errada da mitigação ou a mitigação poderá não funcionar conforme esperado. Além disso, as mitigações descritas em KB5025885 devem ser aplicadas ao seu dispositivo.

Em Windows 11, versão 24H2, Windows Server 2022 e Windows Server 23H2, a Raiz Dinâmica da Confiança para Medição (DRTM) adiciona uma mitigação adicional para a vulnerabilidade de reversão. Esta mitigação está ativada por predefinição. Nestes sistemas, as chaves de encriptação protegidas por VBS estão vinculadas à política de CI da sessão de arranque ativada por predefinição e só serão abertas se estiver a ser imposta a versão da política CI correspondente. Para permitir reversões iniciadas pelo usuário, um período de tolerância foi adicionado para habilitar a reversão segura de 1 versão do pacote de atualização do Windows sem perder a capacidade de abrir a chave de master VSM. No entanto, a reversão iniciada pelo usuário só é possível se o SkuSiPolicy.p7b não for aplicado. A política CI VBS impõe que todos os binários de inicialização não tenham sido revertidos para versões revogadas. Isto significa que se um intruso com privilégios de administrador reverter binários de arranque vulneráveis, o sistema não será iniciado. Se a política CI e os binários forem revertidos para uma versão anterior, os dados protegidos pelo VSM não serão abertos.

Noções básicas sobre riscos de mitigação

Você precisa estar ciente de possíveis riscos antes de aplicar a política de revogação assinada pela Microsoft. Examine esses riscos e faça as atualizações necessárias para a mídia de recuperação antes de aplicar a mitigação.

Observação Estes riscos só são aplicáveis à política SkuSiPolicy.p7b e não se aplicam às proteções ativadas por predefinição.

• Bloqueio UEFI e Desinstalação de atualizações. Depois de aplicar o bloqueio UEFI com a política de revogação assinada pela Microsoft em um dispositivo, o dispositivo não poderá ser revertido (desinstalando atualizações do Windows, usando um ponto de restauração ou por outros meios) se você continuar aplicando a Inicialização Segura. Mesmo reformatando o disco não removerá o bloqueio UEFI da mitigação se ele já tiver sido aplicado. Isso significa que, se você tentar reverter o sistema operacional Windows para um estado anterior que não tem a mitigação aplicada, o dispositivo não será iniciado, nenhuma mensagem de erro será exibida e a UEFI prosseguirá para a próxima opção de inicialização disponível. Isso pode resultar em um loop de inicialização. Você deve desabilitar a Inicialização Segura para remover o bloqueio UEFI. Esteja ciente de todas as possíveis implicações e teste minuciosamente antes de aplicar as revogações descritas neste artigo ao seu dispositivo.
• Mídia de Inicialização Externa. Depois de as mitigações de bloqueio UEFI terem sido aplicadas a um dispositivo, o suporte de dados de arranque externo tem de ser atualizado com a atualização mais recente do Windows instalada no dispositivo. Se o suporte de dados de arranque externo não for atualizado para a mesma versão do Windows Update, o dispositivo poderá não arrancar a partir desse suporte de dados. Consulte as instruções na seção Atualizar mídia de inicialização externa antes de aplicar as mitigações.
• Ambiente de Recuperação do Windows. O Ambiente de Recuperação do Windows (WinRE) no dispositivo tem de ser atualizado com a Atualização Dinâmica do SO Seguro do Windows mais recente, lançada a 8 de julho de 2025, no dispositivo, antes de o SkuSipolicy.p7b ser aplicado ao dispositivo. Omitir este passo poderá impedir o WinRE de executar a funcionalidade Repor PC.  Para obter mais informações, consulte Adicionar um pacote de atualização ao Windows RE.
• Arranque do Ambiente de Execução Pré-arranque (PXE). Se a mitigação for implantada em um dispositivo e você tentar usar a inicialização PXE, o dispositivo não será iniciado, a menos que a atualização mais recente do Windows também seja aplicada à imagem de inicialização do servidor PXE. Não recomendamos a implementação de mitigações em origens de arranque de rede, a menos que o servidor de Arranque PXE tenha sido atualizado para a atualização mais recente do Windows lançada em ou após janeiro de 2025, incluindo o gestor de arranque PXE.

Diretrizes de implantação de mitigação

Para resolver os problemas descritos neste artigo, você pode implantar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Essa mitigação só tem suporte no Windows 10, versão 1507 e versões posteriores do Windows e no Windows Server 2016.

Observação Se você usar o BitLocker, verifique se a chave de recuperação do BitLocker foi backup. Você pode executar o seguinte comando de um prompt de comando administrador e anotar a senha numérica de 48 dígitos:

Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)

A política de revogação assinada pela Microsoft está incluída como parte da atualização mais recente do Windows. Essa política só deve ser aplicada a dispositivos instalando a atualização mais recente disponível do Windows e siga estas etapas:

Observação Se houver atualizações ausentes, o dispositivo pode não começar com a mitigação aplicada ou a mitigação pode não funcionar conforme o esperado. Certifique-se de atualizar a mídia inicializável do Windows com a atualização mais recente disponível do Windows antes de implantar a política. Para obter detalhes sobre como atualizar a mídia inicializável, consulte a seção Atualizando mídia de inicialização externa .

1. Verifique se a atualização mais recente do Windows, lançada em ou após janeiro de 2025, está instalada.

   • Para Windows 11, versão 22H2 e 23H2, instale a atualização de 22 de julho de 2025 (KB5062663) ou posterior antes de seguir estas etapas.
   • Para o Windows 10, versão 21H2, instale a atualização do Windows lançada em agosto de 2025 ou uma atualização posterior antes de seguir estas etapas.

2. Execute os seguintes comandos em uma solicitação do Windows PowerShell com privilégios elevados:

   Observação

   $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
   $MountPoint = 's:'
   $EFIDestinationFolder = "$MountPoint\EFI\Microsoft\Boot"
   mountvol $MountPoint /S
   if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
   Copy-Item -Path $PolicyBinary -Destination $EFIDestinationFolder -Force
   mountvol $MountPoint /D

3. Reinicie o dispositivo.

4. Confirme se a política foi carregada no Visualizador de Eventos usando as informações na seção Logs de Eventos do Windows.

Observações

• Você não deve remover o arquivo de revogação (política) SkuSiPolicy.p7b depois que ele for implantado. É possível que seu dispositivo ão seja mais capaz de iniciar se o arquivo for removido.
• Se o dispositivo não iniciar, consulte a seção Procedimento de recuperação .

Atualizando mídia de inicialização externa

Para usar mídia de inicialização externa com um dispositivo que tenha uma política de revogação assinada pela Microsoft aplicada, a mídia de inicialização externa deve ser atualizada com a atualização mais recente do Windows, incluindo o gerenciador de inicialização. Se a mídia não incluir a atualização mais recente do Windows, a mídia não será iniciada.

Importante Recomendamos que você Crie uma unidade de recuperação antes de continuar. Essa mídia pode ser usada para reinstalar um dispositivo caso haja um problema importante.

Use as etapas a seguir para atualizar a mídia de inicialização externa:

1. Vá para um dispositivo em que as atualizações mais recentes do Windows foram instaladas.
2. Monte a mídia de inicialização externa como uma letra da unidade. Por exemplo, monte um pen drive como D:.
3. Clique em Iniciar, digite Criar uma unidade de recuperação na caixa Pesquisare clique em Criar um painel de controle de unidade de recuperação. Siga as instruções para criar uma unidade de recuperação usando o pen drive montado.
4. Remova com segurança o pen drive montado.

Se você gerenciar a mídia instalável em seu ambiente usando a mídia de instalação Atualizar o Windows com diretrizes de Atualização Dinâmica , siga estas etapas:

1. Vá para um dispositivo em que as atualizações mais recentes do Windows foram instaladas.
2. Siga as etapas em Atualizar a mídia de instalação do Windows com a Atualização Dinâmica para criar mídia que tenha as atualizações mais recentes do Windows instaladas.

Logs de Eventos do Windows

O Windows registra eventos quando políticas de integridade de código, incluindo SkuSiPolicy.p7b, são carregadas e quando um arquivo é impedido de carregar devido à imposição da política. Você pode usar esses eventos para verificar se a mitigação foi aplicada.

Os logs de integridade de código estão disponíveis no Visualizador de Eventos do Windows em Logs > de Aplicativos e ServiçosLogs do Microsoft>Windows>CodeIntegrity>Operacional>de Aplicativos e Serviços Logs>>de serviçosMicrosoft>Windows>AppLocker>MSI e Script.

Para obter mais informações sobre eventos de integridade de código, consulte o guia operacional do Controle de Aplicativos do Windows Defender.

Eventos de ativação de política

Os eventos de ativação de política estão disponíveis no Windows Visualizador de Eventos em Logs > de Aplicativos e ServiçosMicrosoft>Windows>CodeIntegrity>Operacional.

• PolicyNameBuffer – Política de SI de SKU do Microsoft Windows
• PolicyGUID – {976d12c8-cb9f-4730-be52-54600843238e}
• PolicyHash – 107E8FDD187C34CF8B8B8EA46A4EE99F0DB60F491650DC989DB71B4825DC73169D

Se você aplicou a política de auditoria ou a mitigação ao seu dispositivo e o Evento CodeIntegrity 3099 para a política aplicada não está presente, a política não está sendo imposta. Consulte as Instruções de implantação para verificar se a política foi instalada corretamente.

Auditar e bloquear eventos

Os eventos de auditoria e bloqueio de integridade de código estão disponíveis no Windows Visualizador de Eventosem Logs > de Aplicativos e ServiçosLogs>> operacionais> de Aplicativos e serviçosdo Microsoft>Windows>CodeIntegrity> MicrosoftWindows>AppLocker>MSI e Script.

O antigo local de registro inclui eventos sobre o controle de executáveis, dlls e drivers. O último local de registro inclui eventos sobre o controle de instaladores MSI, scripts e objetos COM.

O Evento 3077 do CodeIntegrity no log "CodeIntegrity – Operacional" indica que um executável, .dll ou driver foi bloqueado para carregamento. Esse evento inclui informações sobre o arquivo bloqueado e sobre a política imposta. Para arquivos bloqueados pela mitigação, as informações de política no Evento CodeIntegrity 3077 corresponderão às informações de política de SkuSiPolicy.p7b do Evento CodeIntegrity 3099. O Evento CodeIntegrity 3077 não estará presente se não houver nenhum executável, .dll ou drivers violando a política de integridade de código em seu dispositivo.

Para outros eventos de auditoria e bloqueio de integridade de código, consulte Noções básicas sobre eventos do Controle de Aplicativos.

Procedimento de Remoção e Recuperação de Política

Se algo der errado depois de aplicar a mitigação, você poderá usar as seguintes etapas para remover a mitigação:

1. Suspenda o BitLocker se ele estiver habilitado. Execute o seguinte comando em uma janela do Prompt de Comando com privilégios elevados:

   Observação

   Manager-bde -protectors -disable c: -rebootcount 3

2. Desative a Inicialização Segura no menu do UEFI BIOS.

   O procedimento para desativar a Inicialização Segura difere entre fabricantes e modelos de dispositivos. Para obter ajuda para localizar onde desativar a Inicialização Segura, consulte a documentação do fabricante do dispositivo. Mais detalhes podem ser encontrados em Desabilitando a Inicialização Segura.

3. Remova a política SkuSiPolicy.p7b.

   1. Inicie o Windows normalmente e entre.

      A política SkuSiPolicy.p7b tem de ser removida do seguinte local:

      • <EFI System Partition>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Execute os seguintes comandos em uma sessão elevada do Windows PowerShell para limpar a política desses locais:

      Observação

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b" $MountPoint = 's:' $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b" $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot" mountvol $MountPoint /S if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force } if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force } ​​​​​​​mountvol $MountPoint /D

4. Ative a Inicialização Segura a partir do BIOS.

   Consulte a documentação do fabricante do dispositivo para saber onde ativar a Inicialização Segura.

   Se você desativou a Inicialização Segura na Etapa 1 e sua unidade está protegida pelo BitLocker, suspenda a proteção do BitLocker e, em seguida, ative a Inicialização Segura no menu do BIOS UEFI .

5. Ative o BitLocker. Execute o seguinte comando em uma janela do Prompt de Comando com privilégios elevados:

   Observação

   Manager-bde -protectors -enable c:

6. Reinicie o dispositivo.

Alterações feitas neste artigo

Data da alteração	Descrição
17 de dezembro de 2025	Atualizados os comandos na Etapa 2 na seção "Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)", pois os comandos não funcionaram corretamente. De: reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x20 /f Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" Para: $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b" $MountPoint = 's:' $EFIDestinationFolder = "$MountPoint\EFI\Microsoft\Boot" mountvol $MountPoint /S if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force } Copy-Item -Path $PolicyBinary -Destination $EFIDestinationFolder -Force mountvol $MountPoint /D
22 de julho de 2025	Atualização das etapas de instrução na seção "Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)".
10 de julho de 2025	Removeu a seção "Implantando uma política de modo de auditoria", pois o recurso foi descontinuado após a instalação das atualizações do Windows lançadas em ou após 8 de julho de 2025. A seção "Evento 3099 do CodeIntegrity" foi removida, pois ela não se aplica mais. Na seção "Noções básicas sobre riscos de mitigação", o tópico "Ambiente de Recuperação do Windows" foi atualizado De: Ambiente de Recuperação do Windows. O Ambiente de Recuperação do Windows (WinRE) no dispositivo deve ser atualizado com as atualizações mais recentes do Windows instaladas no dispositivo antes que o SkuSipolicy.p7b seja aplicado ao dispositivo. A omissão desta etapa pode impedir que o WinRE execute o recurso Restaurar PC. Para obter mais informações, consulte Adicionar um pacote de atualização ao Windows RE. Para: Ambiente de Recuperação do Windows. O Ambiente de Recuperação do Windows (WinRE) no dispositivo deve ser atualizado com o Windows Safe OS Dynamic mais recente lançado em ou após julho de 2025 no dispositivo antes que o SkuSipolicy.p7b seja aplicado ao dispositivo. A omissão desta etapa pode impedir que o WinRE execute o recurso Restaurar PC. Para obter mais informações, consulte Adicionar um pacote de atualização ao Windows RE. Se as atualizações do DU do Sistema Operacional Seguro não estiverem disponíveis, implante a atualização Cumulativa mais recente. Na seção "Mitigações disponíveis", o seguinte parágrafo foi substituído: Foi adicionada uma política de CI adicional assinada pela Microsoft, que é habilitada por padrão e não requer etapas adicionais de implantação, que não está associada à UEFI. Essa política de Integridade de Código assinada será carregada durante a inicialização e a aplicação dessa política impedirá a reversão de arquivos do sistema VBS durante a sessão de inicialização. Ao contrário do SkuSiPolicy.p7b, um dispositivo pode continuar a inicializar se a política habilitada padrão tiver sido violada ou removida. Essa mitigação está disponível em dispositivos com Windows 10 22H2 e posterior. O SkuSkiPolicy.p7b ainda pode ser aplicado pelos administradores para fornecer proteção adicional para reversão entre sessões de inicialização. Com o seguinte parágrafo: Foi adicionada uma política de CI adicional assinada pela Microsoft, que é habilitada por padrão e não requer etapas adicionais de implantação, que não está associada à UEFI. Essa política de Integridade de Código assinada será carregada durante a inicialização e a aplicação dessa política impedirá a reversão de arquivos do sistema VBS durante a sessão de inicialização. Ao contrário do SkuSiPolicy.p7b, um dispositivo pode continuar a inicializar se a atualização for desinstalada. Essa política está incluída em todas as versões com suporte do Windows 10, versão 1507 e posterior. O SkuSkiPolicy.p7b ainda pode ser aplicado pelos administradores para fornecer proteção adicional para reversão entre sessões de inicialização. Na seção "Mitigações disponíveis", foram adicionadas as seguintes versões do Windows à primeira frase do último parágrafo: Windows 11, versão 24H2, Windows Server 2022 e Windows Server 23H2 Removeu a imagem da listagem "SiPolicy.p7b - Política de Auditoria" na seção "Eventos de ativação da política".
8 de abril de 2025	Removida a primeira frase da seção "Observação importante sobre a política SkuSiPolicy.p7b", pois a atualização mais recente não está disponível no momento para todas as versões do Windows. Atualização da seção "Mitigações disponíveis" adicionando informações mais detalhadas. Adicionadas mitigações padrão para a sessão de inicialização para evitar a reversão de binários para o Windows 10, versão 22H2 e posterior, e a proteção de dados VBS para dispositivos baseados em Lançamento Seguro ou DRTM no Windows 11, versão 24H2.
24 de fevereiro de 2025	Atualização da Nota na seção "Eventos de ativação da política" e adição de uma segunda captura de tela da listagem do diretório mostrando o arquivo "SiPolicy.p7b - Política de Auditoria".
11 de fevereiro de 2025	Atualização do script na Etapa 1 na seção "Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)". Adicionada uma nota ao final da seção "Eventos de ativação da política" e adicionada uma captura de tela da listagem do diretório mostrando o arquivo "SkuSiPolicy.p7b - Política de Revogação". Atualização do script na Etapa 3b na seção "Procedimento de Remoção e Recuperação de Política".
14 de janeiro de 2025	Adicionada a observação importante sobre a política SkuSiPolicy.p7b no início deste artigo.* Removeu a seguinte Observação (que foi adicionada em 12 de novembro de 2024) da seção "Mitigações disponíveis" como não sendo mais necessária: "Observação O suporte para as políticas SKUSIPolicy.p7b e VbsSI_Audit.p7b para Windows 10, versão 1507, Windows 10 Enterprise 2016 e Windows Server 2016 foi adicionado como parte das atualizações mais recentes do Windows lançadas em e após 8 de outubro de 2024. Versões mais recentes do Windows e do Windows Server introduziram essas políticas nas atualizações de 13 de agosto de 2024." Adicionadas mais informações à Observação na seção "Implantando uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)". O texto original era "Observação : se houver atualizações ausentes, o dispositivo pode não começar com a mitigação aplicada ou a mitigação pode não funcionar conforme o esperado".* Removido o segundo parágrafo da seção "Atualizando mídia de inicialização externa". O texto original removido era: "A mídia de inicialização atualizada com a política de revogação assinada pela Microsoft só deve ser usada para inicializar dispositivos que tenham a mitigação já aplicada. Se ela for usada com dispositivos sem a mitigação, o bloqueio UEFI será aplicado durante a inicialização a partir da mídia de inicialização. Os inícios subsequentes do disco falharão, a menos que o dispositivo seja atualizado com a mitigação ou o bloqueio UEFI seja removido."* Removida a etapa "Com a mídia recém-criada montada, copie o arquivo SkuSiPolicy.p7b para <MediaRoot>\EFI\Microsoft\Boot (por exemplo, D:\EFI\Microsoft\Boot)" no procedimento "etapas para atualizar a mídia de inicialização externa" na seção "Atualizando mídia de inicialização externa", pois esta etapa não é mais necessária.* Etapas 3 a 5 removidas no procedimento "Atualizar a mídia de instalação do Windows com diretrizes de Atualização Dinâmica " na seção "Atualizando mídia de inicialização externa", pois as etapas não são mais necessárias.* 3. Coloque o conteúdo da mídia em uma pen drive USB e monte o pen drive como uma letra de unidade. Por exemplo, monte o pen drive como D:. 4. Copie SkuSiPolicy.p7b para <MediaRoot>\EFI\Microsoft\Boot (por exemplo, D:\EFI\Microsoft\Boot). 5. Remova com segurança o pen drive montado. Atualização do primeiro parágrafo do tópico "Mídia de Inicialização Externa" na seção "Noções básicas sobre riscos de mitigação". O texto original era "Depois que as mitigações de bloqueio UEFI tiverem sido aplicadas a um dispositivo, a mídia de inicialização externa deverá ser atualizada com as atualizações mais recentes do Windows instaladas no dispositivo e com a política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Se a mídia de inicialização externa não for atualizada, o dispositivo poderá não ser inicializado a partir dessa mídia. Consulte as instruções na seção Atualizar mídia de inicialização externa antes de aplicar as mitigações.* Removido o segundo parágrafo do tópico "Mídia de Inicialização Externa" na seção "Noções básicas sobre riscos de mitigação". O texto original era: "A mídia de inicialização atualizada com a política de revogação assinada pela Microsoft só deve ser usada para inicializar dispositivos que tenham a mitigação já aplicada. Se ela for usada com dispositivos sem a mitigação, o bloqueio UEFI será aplicado durante a inicialização a partir da mídia de inicialização. Os inícios subsequentes do disco falharão, a menos que o dispositivo seja atualizado com a mitigação ou o bloqueio UEFI seja removido."* Atualização do tópico "Inicialização PXE (Ambiente de Execução de Pré-inicialização)" na seção "Noções básicas sobre riscos de mitigação". O texto original era "Se a mitigação for implantada em um dispositivo e você tentar usar a inicialização do PXE, o dispositivo não será iniciado a menos que as mitigações também sejam aplicadas às fontes de inicialização de rede (raiz em que bootmgfw.efi está presente). Se um dispositivo iniciar a partir de uma fonte de inicialização de rede que tenha a mitigação aplicada, o bloqueio UEFI será aplicado ao dispositivo e afetará as inicializações subsequentes. Não recomendamos implantar mitigações em fontes de inicialização de rede, a menos que todos os dispositivos em seu ambiente tenham as mitigações implantadas. "*
12 de novembro de 2024	Na seção "Mitigações disponíveis", o suporte para as políticas SkuSiPolicy.p7b e VbsSI_Audit.p7b para Windows 10, versão 1507, Windows 10 Enterprise 2016 e Windows Server 2016 foi adicionado como parte das atualizações do Windows lançadas em e após 8 de outubro de 2024. As datas de lançamento do Windows foram atualizadas de 13 de agosto de 2024 para 12 de novembro de 2024.