19 de abril de 2026 — KB5091157 (Compilação 26100.32698 do SO) Fora de banda

Sintoma

Alguns dispositivos com uma configuração bitLocker não recomendada Política de Grupo poderão ser necessários para introduzir a respetiva chave de recuperação BitLocker no primeiro reinício após a instalação desta atualização.

Este problema afeta apenas um número limitado de sistemas nos quais todas as seguintes condições são verdadeiras. É pouco provável que estas condições sejam encontradas em dispositivos pessoais não geridos por departamentos de TI.

1. O BitLocker está ativado na unidade do SO.

2. O Política de Grupo "Configurar o perfil de validação da plataforma TPM para configurações nativas de firmware UEFI" está configurado e PCR7 está incluído no perfil de validação (ou a chave de registo equivalente é definida manualmente).

3. As Informações do Sistema (msinfo32.exe) comunicam o Enlace PCR7 do Estado de Arranque Seguro como "Não Possível".

4. O certificado ca 2023 da UEFI do Windows está presente na Base de Dados de Assinaturas de Arranque Seguro (DB) do dispositivo, tornando o dispositivo elegível para o Gestor de Arranque do Windows assinado em 2023 para ser predefinido.

5. O dispositivo ainda não está a executar o Gestor de Arranque do Windows assinado em 2023.

Neste cenário, a chave de recuperação BitLocker só precisa de ser introduzida uma vez. Os reinícios subsequentes não irão acionar um ecrã de recuperação BitLocker, desde que a configuração da política de grupo permaneça inalterada. Para obter ajuda para localizar a chave de recuperação BitLocker, consulte o artigo Localizar a chave de recuperação BitLocker.

As empresas são recomendadas para auditar as políticas de grupo do BitLocker para inclusão explícita do PCR7 e verificar msinfo32.exe do respetivo estado de enlace PCR7 antes de instalar esta atualização. (Consulte a Opção 1 abaixo.)

Solução 

Opção 1: Remover a configuração do Política de Grupo antes de instalar a atualização (Recomendado) 

1. Abra o Editor de Política de Grupo (gpedit.msc) ou a Consola de Gestão do Política de Grupo.

2. Navegue para: Configuração do Computador > Modelos Administrativos > Componentes do Windows > Encriptação de Unidade BitLocker > Unidades do Sistema Operativo.

3. Defina "Configurar o perfil de validação da plataforma TPM para configurações de firmware UEFI nativas" como "Não Configurado".

4. Execute o seguinte comando em dispositivos afetados para propagar a alteração de política: gpupdate /force

5. Execute o seguinte comando para suspender o BitLocker (onde o BitLocker está ativado na unidade C:): manage-bde -protectores -disable C:

6. Execute o seguinte comando para retomar o BitLocker (onde o BitLocker está ativado na unidade C:): manage-bde -protectors -enable C:

7. Esta ação atualiza os enlaces bitLocker para utilizar o perfil PCR predefinido selecionado pelo Windows.

Opção 2: Aplicar a Reversão de Problemas Conhecidos (KIR) antes de instalar a atualização

Está disponível uma Reversão de Problemas Conhecidos (KIR) para clientes que não conseguem remover a política de grupo PCR7 antes de implementar esta atualização. O KIR impede a mudança automática para o Gestor de Arranque 2023, evitando o acionador de recuperação BitLocker. O KIR deve ser implementado antes de instalar a atualização nos dispositivos afetados. Contacte o Suporte da Microsoft para empresas para obter este KIR.

Está planeada uma resolução permanente para este problema numa futura atualização do Windows. Serão fornecidas mais informações quando estiverem disponíveis.

Após instalar a atualização KB5070881, ou atualizações posteriores, o Windows Server Update Services (WSUS) deixará de apresentar os detalhes dos erros de sincronização nos respetivos relatórios de erros. Esta funcionalidade foi temporariamente removida para resolver a Vulnerabilidade de Execução Remota de Código, CVE-2025-59287.