12. mája 2026 – KB5087539(zostava OS 26100.32860)

Uplynutie platnosti certifikátu zabezpečeného spustenia Windowsu

Upozornenie: Platnosť certifikátov zabezpečeného spustenia, ktoré používajú väčšina zariadení s Windowsom, vyprší v júni 2026. To môže ovplyvniť schopnosť niektorých osobných a firemných zariadení bezpečne sa spúšťať, ak nebudú včas aktualizované. Aby ste sa vyhli prerušeniu, odporúčame si prečítať pokyny a vopred podniknúť kroky na aktualizáciu certifikátov. Podrobnosti a kroky prípravy nájdete v téme Vypršanie platnosti certifikátu zabezpečeného zavedenia systému Windows a aktualizácie certifikačnej autority a blog o playbooku Zabezpečeného spustenia systému Windows Server.

Zmeniť dátum	Popis zmeny
Júna 9, 2026	Aktualizované známe problémy: Pridané riešenie pre "Zariadenia s neodporúčanou konfiguráciou skupinovej politiky šifrovania BitLocker sa môžu vyžadovať na zadanie kľúča na obnovenie pre šifrovanie BitLocker".
Môže 27, 2026	Aktualizované príkazy (reťazce MSU) v časti Katalóg.
Môže 15, 2026	Pridanie aktualizácie služby Active Directory Certificate Services.
Môže 13, 2026	Pridaná poznámka k vydaniu Zabezpečeného zavedenia systému: Táto aktualizácia pridáva nový priečinok SecureBoot v časti C:\Windowsv oprávnených zariadeniach.

Príznak

V niektorých zariadeniach s neodporúčanou konfiguráciou skupinovej politiky šifrovania BitLocker sa môže po inštalácii tejto aktualizácie pri prvom reštarte vyžadovať zadanie kľúča na obnovenie pre šifrovanie BitLocker.

Tento problém sa týka iba obmedzeného počtu systémov, v ktorých sú splnené VŠETKY nasledujúce podmienky. Je nepravdepodobné, že by sa tieto podmienky našli v osobných zariadeniach, ktoré nespravujú IT oddelenia.

1. Šifrovanie BitLocker je na jednotke operačného systému povolené.

2. Skupinová politika Konfigurovať overovací profil platformy TPM pre natívne konfigurácie firmvéru UEFI je nastavená a PCR7 je zahrnuté v overovacom profile (alebo je ekvivalentný kľúč databázy Registry nastavený manuálne).

3. Systémové informácie (msinfo32.exe) uvádzajú väzbu stavu zabezpečeného zavedenia systému PCR7 ako väzbu Nie je možné.

4. Certifikát Windows UEFI CA 2023 je prítomný v databáze podpisov zabezpečeného zavedenia systému (DB) zariadenia, čo umožňuje nastavenie Správcu spustenia Windows s podpisom z roku 2023 ako predvoleného.

5. V zariadení ešte nie je spustený Správca spustenia Windows s podpisom z roku 2023.

V tomto scenári je kľúč na obnovenie pre šifrovanie BitLocker potrebné zadať iba raz – následné reštartovania nespustia obrazovku obnovenia šifrovania BitLocker, pokiaľ konfigurácia skupinovej politiky zostane nezmenená. Pomoc s vyhľadaním kľúča na obnovenie pre šifrovanie BitLocker nájdete v článku Vyhľadanie kľúča na obnovenie pre šifrovanie BitLocker.

Podnikom sa odporúča pred inštaláciou tejto aktualizácie auditovať skupinové politiky šifrovania BitLocker na explicitné zahrnutie PCR7 a skontrolovať stav väzby PCR7 pomocou msinfo32.exe. (Alternatívne riešenie nájdete nižšie.)

Alternatívne riešenie 

Tento problém je vyriešený v KB5094125. Po inštalácii KB5094125  zariadenia s touto nekompatibilnou konfiguráciou skupinovej politiky nebudú môcť nainštalovať Správcu spustenia systému Windows podpísaného v roku 2023. Ak bolo vaše zariadenie ovplyvnené, pri inštalácii aktualizácií Windowsu sa v denníku systémových udalostí zobrazí ID udalosti 1032: "Správca spustenia aktualizácie Zabezpečeného zavedenia systému (2023) sa nepoužil z dôvodu známej nekompatibility s aktuálnou konfiguráciou šifrovania BitLocker."

Ak dostanete udalosť ID 1032, spoločnosť Microsoft dôrazne odporúča odstránenie konfigurácie skupinová politika pred inštaláciou aktualizácií, aby ste mohli nainštalovať Správcu spustenia Windows podpísaného v roku 2023 a naďalej dostávať najnovšie ochrany zabezpečeného spustenia.

Pred inštaláciou aktualizácie odstráňte konfiguráciu skupinovej politiky (odporúča sa) 

1. Otvorte editor skupinových politík (gpedit.msc) alebo konzolu Group Policy Management Console.

2. Prejdite na: Konfigurácia počítača > Administratívne šablóny > Súčasti Windowsu > Šifrovanie jednotiek BitLocker > Jednotky operačného systému.

3. Nastavte položku Konfigurovať overovací profil platformy TPM pre natívne konfigurácie firmvéru UEFI na možnosť Nenakonfigurované.

4. Spustením nasledujúceho príkazu v ovplyvnených zariadeniach rozšírite zmeny politiky: gpupdate /force

5. Spustite nasledujúci príkaz na pozastavenie šifrovania BitLocker (ak je šifrovanie BitLocker povolené na jednotke C:): manage-bde-protectors-disable C:

6. Na obnovenie šifrovania BitLocker spustite nasledujúci príkaz (ak je šifrovanie BitLocker povolené na jednotke C:): manage-bde-protectors-enable C:

7. Týmto sa aktualizujú väzby šifrovania BitLocker na používanie predvoleného profilu PCR vybratého Windowsom.

Ak nechcete odstrániť túto konfiguráciu skupinová politika, môžete dočasným pozastavením šifrovania BitLocker a inštaláciou aktualizácie zabezpečeného zavedenia systému Windows nainštalovať nový Správcu spustenia systému Windows. Postupujte takto:

1. Spustite nasledujúci príkaz na pozastavenie šifrovania BitLocker (ak je šifrovanie BitLocker povolené na jednotke C:): manage-bde-protectors-disable C:

2. Spustite nasledujúci príkaz: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Reštartujte zariadenie.

4. Po úspešnej inštalácii nového Správcu spustenia systému Windows povoľte šifrovanie BitLocker spustením príkazu: manage-bde-protectors-enable C:

Po inštalácii aktualizácie KB5070881 alebo novších aktualizácií služba Windows Server Update Services (WSUS) nezobrazuje podrobnosti o chybe synchronizácie v rámci hlásenia chýb. Táto funkcia je dočasne odstránená, aby sa vyriešila zraniteľnosť vzdialeného spustenia kódu CVE-2025-59287.