19 апреля 2026 г. — KB5091157 (сборка ОС 26100.32698), внеплановое обновление

Проблема

Некоторым устройствам с нерекомендуемой конфигурацией групповой политики BitLocker может потребоваться ввод ключа восстановления BitLocker при первом перезапуске после установки этого обновления.

Эта проблема затрагивает только ограниченное число систем, в которых выполняются все перечисленные ниже условия. Эти условия маловероятны для личных устройств, не управляемых ИТ-отделами.

1. BitLocker включен на диске ОС.

2. Групповая политика "Настроить профиль проверки платформы доверенного платформенного модуля для основных конфигураций встроенного ПО UEFI" настроена, и PCR7 включен в профиль проверки (или эквивалентный раздел реестра настроен вручную).

3. Сведения о системе (msinfo32.exe) указывают состояние привязки PCR7 для безопасной загрузки как "Невозможно".

4. Сертификат Windows UEFI CA 2023 присутствует в базе данных подписей безопасной загрузки (DB) устройства, что позволяет сделать диспетчер загрузки Windows с подписью 2023 года службой, применяемой по умолчанию.

5. На устройстве еще не запущен диспетчер загрузки Windows с подписью 2023 года.

В этом сценарии ключ восстановления BitLocker необходимо ввести только один раз. Последующие перезапуски не запускают экран восстановления BitLocker, если конфигурация групповой политики остается неизменной. Сведения о поиске ключа восстановления BitLocker см. в статье Поиск ключа восстановления BitLocker.

Крупным организациям рекомендуется выполнять аудит групповых политик BitLocker на наличие явного включения PCR7 и проверять состояние привязки PCR7 через msinfo32.exe перед установкой этого обновления. (См. вариант 1 ниже.)

Временное решение 

Эта проблема устранена в KB5094125. После установки KB5094125  устройства с этой несовместимой конфигурацией групповой политики не будут устанавливать диспетчер загрузки Windows с подписью 2023 года. Если устройство было затронуто, событие с идентификатором 1032 будет отображаться в журнале системных событий при установке обновлений Windows: "Диспетчер загрузки обновлений безопасной загрузки (2023) не был применен из-за известной несовместимости с текущей конфигурацией BitLocker".

Если вы получаете код события 1032, корпорация Майкрософт настоятельно рекомендует удалить конфигурацию групповая политика перед установкой обновлений, чтобы вы могли установить подписанный 2023 диспетчер загрузки Windows и продолжать получать последние меры защиты от безопасной загрузки.

Удалите конфигурацию групповая политика перед установкой обновления (рекомендуется) 

1. Откройте редактор групповых политик (gpedit.msc) или консоль управления групповыми политиками.

2. Перейдите в раздел: "Конфигурация компьютера" > "Административные шаблоны" > "Компоненты Windows" > "Шифрование диска BitLocker" > "Диски операционной системы".

3. Установите для параметра "Настроить профиль проверки платформы доверенного платформенного модуля для основных конфигураций встроенного ПО UEFI" значение "Не задано".

4. Выполните следующую команду на затронутых устройствах для распространения изменения политики: gpupdate /force

5. Выполните следующую команду, чтобы приостановить BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -disable C:

6. Выполните следующую команду, чтобы возобновить BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -enable C:

7. При этом привязки BitLocker будут обновлены для использования выбранного Windows профиля PCR по умолчанию.

Если вы не хотите удалять эту конфигурацию групповая политика, можно установить новый диспетчер загрузки Windows, временно приостановив BitLocker и установив обновление безопасной загрузки. Для этого выполните указанные ниже действия.

1. Выполните следующую команду, чтобы приостановить BitLocker (если BitLocker включен на диске C:): manage-bde -protectors -disable C:

2. Выполните следующую команду: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Перезагрузите устройство.

4. После успешной установки нового диспетчера загрузки Windows включите BitLocker, выполнив команду manage-bde -protectors -enable C:

После установки KB5070881 или более поздних обновлений службы Windows Server Update Services (WSUS) не отображают сведения об ошибках синхронизации в своих отчетах об ошибках. Эта функция временно удалена для устранения уязвимости удаленного выполнения кода CVE-2025-59287. 

Проблема

После установки этого обновления предупреждение системы безопасности, которое появляется при открытии файлов удаленного рабочего стола (RDP), в некоторых случаях может отображаться неправильно.

Эта проблема может возникать при использовании нескольких мониторов с разными параметрами масштабирования дисплея (например, для одного дисплея задано значение 100 %, а для другого — значение 125 %). В этом случае в окне предупреждения может отображаться перекрывающийся текст или частично скрытые кнопки, что может затруднить чтение или взаимодействие с сообщением.

Временное решение

Эта проблема устранена вKB5087539.