14. april 2026 – KB5082063(graditev operacijskega sistema 26100.32690)

Potek potrdila za varni zagon sistema Windows

Jazsemportant: Potrdila za varni zagon, ki jih uporablja večina naprav s sistemom Windows, so nastavljena tako, da potečejo junija 2026. To lahko vpliva na zmožnost varnega zagona nekaterih osebnih in poslovnih naprav, če ne bodo pravočasno posodobljene. Da bi se izognili motnjam, priporočamo, da vnaprej pregledate navodila in ukrepate za posodobitev potrdil. Če želite podrobnosti in navodila za pripravo, glejte Potek potrdila za varni zagon sistema Windows in Posodobitve overitelja digitalnih potrdil in spletni dnevnik Windows Server Playbook v storitvi Secure.

Spremeni datum	Opis spremembe
14. april 2026	Dodana je znana težava: »Za vnos obnovitvenega ključa za BitLocker boste morda morali pravilnik skupine naprave z nepreoskano konfiguracijo funkcije BitLocker«

Težava

Za vnos obnovitvenega ključa za BitLocker pri prvem vnovičnem zagonu po namestitvi te posodobitve pravilnik skupine nekatere naprave z nepreocenjeno konfiguracijo funkcije BitLocker morda ne bodo potrebne.

Ta težava vpliva le na omejeno število sistemov, v katerih so izpolnjeni vsi navedeni pogoji. Teh pogojev ni mogoče najti v osebnih napravah, ki jih ne upravljajo oddelki za IT.

1. BitLocker je omogočen na pogonu operacijskega sistema.

2. Konfiguriran je pravilnik skupine »Konfiguracija profila preverjanja veljavnosti platforme TPM za izvorne konfiguracije vdelane programske opreme vmesnika UEFI« in PCR7 je vključen v profil preverjanja veljavnosti (ali pa je ustrezni registrski ključ nastavljen ročno).

3. System Information (msinfo32.exe) reports Secure Boot State PCR7 Binding as "Not possible".

4. Potrdilo windows UEFI CA 2023 je na voljo v zbirki podatkov s podpisom za varni zagon naprave (DB), zato je naprava, ki izpolnjuje pogoje za upravitelja zagona sistema Windows, podpisanega s 2023- podpisom, privzeta.

5. V napravi se še ne izvaja upravitelj zagona sistema Windows, podpisan s 2023- podpisom.

V tem primeru je treba obnovitveni ključ za BitLocker vnesti le enkrat – nadaljnji ponovni zagoni ne sprožijo obnovitvenega zaslona za BitLocker, če konfiguracija pravilnika skupine ostane nespremenjena. Če želite pomoč pri iskanju obnovitvenega ključa za BitLocker, si oglejte članek Iskanje obnovitvenega ključa za BitLocker.

Podjetjem priporočamo, da pred namestitvijo te posodobitve nadzorajo svoje pravilnike skupine BitLocker za eksplicitno vključitev PCR7 in msinfo32.exe preverijo, ali je njihovo stanje vezave PCR7 zavezujoče. (Glejte 1. možnost spodaj.)

Rešitev 

1. možnost: odstranite pravilnik skupine konfiguracijo pred namestitvijo posodobitve (priporočeno) 

1. Odprite pravilnik skupine (gpedit.msc) ali konzolo pravilnik skupine Management Console.

2. Premaknite se do: Konfiguracija > skrbniških predlog > komponent windows > šifriranje pogona BitLocker > pogone operacijskega sistema.

3. »Konfigurirajte profil preverjanja veljavnosti platforme TPM za izvorne konfiguracije vdelane programske opreme vmesnika UEFI« na »Ni konfigurirano«.

4. Zaženite ta ukaz v prizadetih napravah, da razširite spremembo pravilnika: gpupdate /force

5. Zaženite ta ukaz, da začasno onemogočite BitLocker (kjer je BitLocker omogočen na pogonu C:): manage-bde -protectors -disable C:

6. Zaženite ta ukaz za nadaljevanje funkcije BitLocker (kjer je BitLocker omogočen na pogonu C:): manage-bde -protectors -enable C:

7. S tem se posodobijo vezave BitLocker za uporabo privzetega profila PCR, ki ga izbere Windows.

2. možnost: Uporabite povrnitev znane težave (KIR) pred namestitvijo posodobitve

Povrnitev znanih težav (KIR) je na voljo za uporabnike, ki pred uvedbo te posodobitve ne morejo odstraniti pravilnika skupine PCR7. KIR prepreči samodejno preklop na upravitelja zagona 2023 in se izogne sprožilcu obnovitve BitLocker. KIR je treba uvesti pred namestitvijo posodobitve v prizadete naprave. Če želite pridobiti ta KIR, se obrnite na Microsoftovo podporo za podjetja.

Naslednji koraki

Trajna rešitev za to težavo je načrtovana v prihodnji posodobitvi sistema Windows. Več informacij bo na voljo, ko bodo na voljo.

Ko namestite posodobitev KB5070881 ali novejše posodobitve, WSUS ne prikaže podrobnosti o napakah pri sinhronizaciji v svojem poročanju o napakah. Ta funkcija je začasno odstranjena zaradi odpravljanje ranljivosti oddaljenega izvajanja kode CVE-2025-59287.