12 мая 2026 г. — KB5087539(сборка ОС 26100.32860)

Этот накопительный пакет обновления за Windows Server 2025 (KB5087539) включает последние исправления и улучшения системы безопасности, а также не связанные с безопасностью обновления из дополнительного предварительного выпуска за прошлый месяц. Дополнительные сведения о различиях между обновлениями для системы безопасности, необязательными предварительными обновлениями, внеплановыми обновлениями и непрерывными инновациями см. в статье "Описание ежемесячных обновлений Windows". Сведения о терминологии обновления Windows см. в статье о различных типах обновлений программного обеспечения Windows.

Чтобы просмотреть последние обновления об этом выпуске, посетите панель мониторинга работоспособности выпуска Windows или страницу журнала обновлений для Windows Server 2025.

Объявления и сообщения

В этом разделе приведены основные уведомления, связанные с этим выпуском, в том числе объявления, журналы изменений и уведомления об окончании поддержки.

Окончание срока действия сертификата безопасной загрузки Windows

Окончание срока действия сертификата безопасной загрузки Windows

Важно: срок действия сертификатов безопасной загрузки, используемых большинством устройств с Windows, истекает начиная с июня 2026 г. Это может повлиять на возможность безопасной загрузки определенных личных и бизнес-устройств, если сертификаты не будут своевременно обновлены. Чтобы избежать перебоев в работе, рекомендуем ознакомиться с руководством и принять меры по заблаговременному обновлению сертификатов. Дополнительные сведения и шаги подготовки см. в статьях "Срок действия сертификатов безопасной загрузки Windows и обновления ЦС", а также в блоге "Сборник схем безопасной загрузки Windows Server".

Журнал изменений

Изменить дату	Изменить описание
9 июня 2026 г.	Обновлены известные проблемы: добавлено решение для "На устройствах с нерекомендованной конфигурацией групповой политики BitLocker может потребоваться ввести ключ восстановления BitLocker".
27 мая 2026 г.	Обновлены команды (строки MSU) в каталоге.
15 мая 2026 г.	Добавлено обновление служб сертификатов Active Directory.
13 мая 2026 г.	Добавлено примечание о выпуске безопасной загрузки. В этом обновлении добавлена новая SecureBootпапка на C:\Windows подходящих устройствах.

Улучшения

Это обновление для системы безопасности содержит исправления и улучшения качества по сравнению с5078740KB5082063 (выпуск 14 апреля 2026 г.) и KB5091157 (выпуск 19 апреля 2026 г.). В следующей сводке изложены основные проблемы, решаемые этим обновлением. Также включены новые доступные функции. Полужирный текст в скобках указывает на пункт или область изменения.

• [Безопасная загрузка]

  • В этом обновлении исправления Windows включают дополнительные данные о целевом выборе устройств с высоким уровнем достоверности, что увеличивает охват устройств, имеющих право на автоматическое получение новых сертификатов безопасной загрузки. Устройства получают новые сертификаты только после того, как продемонстрируют достаточное количество успешных сигналов обновления, поддерживая контролируемое и поэтапное развертывание.
  • Это обновление добавляет новую SecureBoot папку в раздел C:\Windows на подходящих устройствах. Папка содержит примеры сценариев, предназначенных для организаций с ИТ-специалистами, которые активно управляют обновлениями своего парка устройств. Эти сценарии можно использовать для определения состояния обновления сертификата безопасной загрузки и автоматизации развертывания с помощью механизма безопасного развертывания в среде Active Directory. Дополнительные сведения см. в примере руководства по автоматизации E2E для безопасной загрузки.

• [Связь] Это обновление повышает надежность уведомлений протокола Simple Service Discovery Protocol (SSDP), чтобы служба не перестала отвечать.

• [Летнее время (DST)] Это обновление поддерживает переход на летнее время в 2023 году для Арабской Республики Египет.

• [Контроллеры домена] Это обновление повышает производительность службы подсистемы локального центра безопасности (LSASS) на контроллерах домена при включенном Microsoft Defender. Она сокращает использование ЦП и памяти во время трассировки событий для коллекции событий IDL_DRSGetNCChanges Windows.

• [Удаленный рабочий стол (известная проблема)] Исправлено. Это обновление устраняет проблему, которая влияет на диалоговое окно предупреждения системы безопасности подключения к удаленному рабочему столу. Диалоговое окно могло отображаться некорректно в сценарии с несколькими мониторами, если для мониторов было настроено разное масштабирование. Это может произойти после установки обновления для системы безопасности за апрель 2026 г. (KB5082063). Дополнительные сведения см. в разделе Общие сведения о предупреждениях безопасности при открытии файлов удаленного рабочего стола (RDP).

• [Вход] После установки обновления Windows, выпущенного 10 марта 2026 года или позже, у некоторых пользователей могут возникнуть проблемы со входом в приложения с учетной записью Майкрософт. Даже если устройство подключено к Интернету, во время входа возникает ошибка "Нет подключения к Интернету", которая блокирует доступ к службам и приложениям Майкрософт, таким как Microsoft Teams.

• [Службы сертификации Active Directory] В этом обновлении добавлена поддержка постквантовых подписей алгоритма цифровой подписи на основе модульной решетки (ML-DSA) в службах сертификации Active Directory (AD CS).  Администраторы могут настраивать новые центры сертификации с помощью ML-DSA-44, ML-DSA-65 или ML-DSA-87 и выдавать квантовоустойчивые сертификаты для подписывания кода, протокола TLS и подписи в ответ по протоколу Online Certificate Status Protocol (OCSP).

Если вы уже установили предыдущие обновления, устройство будет скачивать и устанавливать только обновления из этого пакета.

Дополнительные сведения об уязвимостях в системе безопасности см. в руководстве по обновлению системы безопасности и в обновлениях для системы безопасности за май 2026 г.

Обновление стека обслуживания Windows Server 2025 г. (KB5089717) — 26100.32837

Это обновление вносит улучшения в стек обслуживания — компонент, устанавливающий обновления Windows. Обновления стека обслуживания (SSU) гарантируют наличие надежного и надежного стека обслуживания, чтобы ваши устройства могли получать и устанавливать обновления Майкрософт. Дополнительные сведения о SSU см. в разделе "Упрощение локального развертывания обновлений стека обслуживания".

Известные проблемы, связанные с этим обновлением

На устройствах с нерекомендованной конфигурацией групповой политики BitLocker может потребоваться ввести ключ восстановления BitLocker

Проблема

Некоторым устройствам с нерекомендуемой конфигурацией групповой политики BitLocker может потребоваться ввод ключа восстановления BitLocker при первом перезапуске после установки этого обновления.

Эта проблема затрагивает только ограниченное число систем, в которых выполняются ВСЕ следующие условия. Эти условия маловероятны для личных устройств, не управляемых ИТ-отделами.

1. BitLocker включен на диске ОС.
2. Групповая политика "Настроить профиль проверки платформы доверенного платформенного модуля для основных конфигураций встроенного ПО UEFI" настроена, и PCR7 включен в профиль проверки (или эквивалентный раздел реестра настроен вручную).
3. Сведения о системе (msinfo32.exe) указывают состояние привязки PCR7 для безопасной загрузки как "Невозможно".
4. Сертификат Windows UEFI CA 2023 присутствует в базе данных подписей безопасной загрузки (DB) устройства, что позволяет сделать диспетчер загрузки Windows с подписью 2023 года службой, применяемой по умолчанию.
5. На устройстве еще не запущен диспетчер загрузки Windows с подписью 2023 года.

В этом сценарии ключ восстановления BitLocker необходимо ввести только один раз. Последующие перезапуски не запускают экран восстановления BitLocker, если конфигурация групповой политики остается неизменной. Сведения о поиске ключа восстановления BitLocker см. в статье "Поиск ключа восстановления BitLocker".

Крупным организациям рекомендуется выполнять аудит групповых политик BitLocker на наличие явного включения PCR7 и проверять состояние привязки PCR7 через msinfo32.exe перед установкой этого обновления. (См. временное решение ниже.)

Возможное решение

Эта проблема устранена в KB5094125. После установки KB50941255089549 устройства с этой несовместимой конфигурацией групповой политики не смогут установить диспетчер загрузки Windows, подписанный 2023 годом. Если устройство было затронуто, при установке обновлений системы в журнале событий системы появится событие с кодом 1032 : "Обновление обновления диспетчера загрузки безопасной загрузки (2023) не было применено из-за известной несовместимости с текущей конфигурацией BitLocker".

Если вы получаете событие с кодом 1032, корпорация Майкрософт настоятельно рекомендует удалить конфигурацию групповой политики перед установкой обновлений, чтобы вы могли установить диспетчер загрузки Windows, подписанный 2023 г., и продолжать получать последние средства защиты безопасной загрузки.

Удалите конфигурацию групповой политики перед установкой обновления (рекомендуется)

1. Откройте редактор групповых политик (gpedit.msc) или консоль управления групповыми политиками.
2. Перейдите в раздел: конфигурация компьютера > Административные шаблоны > Компоненты > Windows, шифрование > диска BitLocker, диски операционной системы.
3. Установите для параметра "Настроить профиль проверки платформы доверенного платформенного модуля для основных конфигураций встроенного ПО UEFI" значение "Не задано".
4. Выполните следующую команду на затронутых устройствах для распространения изменения политики: gpupdate /force
5. Выполните следующую команду, чтобы приостановить BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -disable C:
6. Выполните следующую команду, чтобы возобновить работу BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -enable C:
7. Это обновляет привязки BitLocker для использования выбранного Windows профиля PCR по умолчанию.

Если вы не хотите удалять эту конфигурацию групповой политики, вы можете установить новый диспетчер загрузки Windows, временно приостановив работу BitLocker и установив обновление безопасной загрузки. Для этого выполните указанные ниже действия.

1. Выполните следующую команду, чтобы приостановить BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -disable C:
2. Выполните следующую команду: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Перезагрузите устройство.
4. После успешной установки нового диспетчера загрузки Windows включите BitLocker, выполнив команду: manage-bde -protectors -enable C:

Windows Server Update Services (WSUS) не отображает сведения об ошибке

После установки KB5070881 или более поздних обновлений службы Windows Server Update Services (WSUS) не отображают сведения об ошибках синхронизации в своих отчетах об ошибках. Эта функция временно удалена для устранения уязвимости, связанной с удаленным выполнением кода (CVE-2025-59287).

Порядок получения обновления

Перед установкой этого обновления

Корпорация Майкрософт объединяет последнее обновление стека обслуживания (SSU) для вашей операционной системы с новейшим накопительным обновлением (LCU). Общие сведения о SSU см. в статье Обновления стека обслуживания.

Установка этого обновления

Чтобы установить это обновление, используйте один из следующих каналов выпуска Windows или Майкрософт.

---

Сведения о файлах

Чтобы получить список файлов, которые предоставляются в этом обновлении, скачайте сведения о файлах накопительного обновления 5087539.

Чтобы получить список файлов, предоставляемых в обновлении стека обслуживания, скачайте сведения о файлах для SSU (KB5089717) версии 26100.32837.