14. april 2026 – KB5082063 (graditev operacijskega sistema 26100.32690)

Potek potrdila za varni zagon sistema Windows

Pomembno je: Potrdila za varni zagon, ki jih uporablja večina naprav s sistemom Windows, bodo začela potekati junija 2026. To lahko vpliva na zmožnost varnega zagona nekaterih osebnih in poslovnih naprav, če ne bodo pravočasno posodobljene. Da bi se izognili motnjam, priporočamo, da vnaprej pregledate navodila in ukrepate za posodobitev potrdil. Za podrobnosti in korake priprave glejte potek potrdila za varni zagon sistema Windows in posodobitve overitelja digitalnih potrdil in spletni dnevnik o varnem zagonu sistema Windows Server.

Simptom

Manjše število naprav morda ne bo namestilo te posodobitve z enim od naslednjih sporočil o napaki:

• »Napaka pri namestitvi – 0x800F0983«
• »Nekatere datoteke za posodabljanje manjkajo ali prihajajo do težav. Posodobitev bomo poskusili znova prenesti pozneje. Koda napake: (0x80073712)«

Rešitev

Ta težava je odpravljena v posodobitvi zunaj pasu KB5091157.

Simptom

Po namestitvi te posodobitve in vnovičnem zagonu lahko pride do zrušitve storitve LSASS v krmilnikih domene v okoljih z več domenami v gozdu, ki uporabljajo upravljanje privilegiranega dostopa (PAM). Posledično se lahko prizadeti krmilniki domene večkrat znova zaženejo, kar preprečuje delovanje preverjanja pristnosti in imeniških storitev in posledično onemogoča delovanje domene.

Rešitev

Ta težava je odpravljena v posodobitvi zunaj pasu KB5091157.

Simptom

Pri nekaterih napravah z nepriporočeno konfiguracijo pravilnika skupine BitLocker bo morda ob prvem ponovnem zagonu po namestitvi te posodobitve treba vnesti obnovitveni ključ za BitLocker.

Ta težava vpliva le na omejeno število sistemov, v katerih veljajo VSI spodnji pogoji. Malo verjetno je, da bi te pogoje našli v osebnih napravah, ki jih ne upravljajo oddelki za IT.

1. BitLocker je omogočen na pogonu operacijskega sistema.
2. Pravilnik skupine »Konfiguracija profila preverjanja veljavnosti platforme TPM za izvorne konfiguracije vdelane programske opreme UEFI« je konfiguriran, PCR7 pa je vključen v profil preverjanja veljavnosti (ali pa je ustrezni registrski ključ nastavljen ročno).
3. Informacije o sistemu (msinfo32.exe)poročajo, da je stanje varnega zagona vezave PCR7t »Ni mogoče«.
4. Potrdilo Windows UEFI CA 2023 je prisotno v zbirki podatkov podpisov varnega zagona (DB) naprave, zaradi česar je naprava upravičena, da se upravitelj zagona sistema Windows, podpisan leta 2023, določi za privzetega.
5. Naprava še ne izvaja upravitelja zagona sistema Windows, podpisanega leta 2023.

V tem scenariju je treba obnovitveni ključ za BitLocker vnesti le enkrat – nadaljnji vnovični zagoni ne bodo sprožili obnovitvenega zaslona za BitLocker, dokler konfiguracija pravilnika skupine ostane nespremenjena. Če potrebujete pomoč pri iskanju obnovitvenega ključa za BitLocker, glejte članek Iskanje obnovitvenega ključa za BitLocker.

Podjetjem priporočamo, da pred namestitvijo te posodobitve pregledajo pravilnike skupine BitLocker glede izrecne vključitve PCR7 in v programu msinfo32.exe preverijo stanje vezave PCR7. (Glejte nadomestno rešitev spodaj.)

Rešitev

Ta težava je odpravljena v KB5094125. Po namestitvi KB5094125 naprave s to nezdružljivo konfiguracijo pravilnika skupine ne morejo namestiti Upravitelja zagona sistema Windows, ki je podpisan 2023. Če je to vplivalo na vašo napravo, se bo pri namestitvi posodobitev sistema v dnevniku dogodkov sistema prikazal ID dogodka 1032 : »Upravitelj zagona posodobitve varnega zagona (2023) ni bil uporabljen zaradi znane nezdružljivosti s trenutno konfiguracijo BitLocker.«

Če prejmete ID dogodka 1032, Microsoft priporoča, da pred namestitvijo posodobitev odstranite konfiguracijo pravilnik skupine, tako da lahko namestite Upravitelja zagona sistema Windows, podpisanega v letu 2023, in še naprej prejemate najnovejše zaščite varnega zagona.

Odstranite konfiguracijo pravilnik skupine pred namestitvijo posodobitve (priporočeno)

1. Odprite urejevalnik pravilnika skupine (gpedit.msc) ali konzolo za upravljanje pravilnika skupin.
2. Pomaknite se na: Konfiguracija > računalnika Skrbniške predloge Komponente >> sistema Windows Šifriranje pogona BitLocker Pogoni > operacijskega sistema.
3. Nastavite »Konfiguracija profila preverjanja veljavnosti platforme TPM za izvorne konfiguracije vdelane programske opreme UEFI« na »Ni konfigurirano«.
4. Na prizadetih napravah za uveljavitev spremembe pravilnika zaženite naslednji ukaz: gpupdate /force
5. Zaženite ta ukaz, da začasno onemogočite BitLocker (če je BitLocker omogočen na pogonu C:): manage-bde -protectors -disable C:
6. Če želite znova vklopiti BitLocker (če je BitLocker omogočen na pogonu C:), zaženite naslednji ukaz): manage-bde -protectors -enable C:
7. S tem posodobite vezi BitLocker tako, da uporabljajo privzeti profil PCR, ki ga je izbral Windows.

Če ne želite odstraniti te konfiguracije pravilnik skupine, lahko namestite novega Upravitelja zagona sistema Windows tako, da začasno onemogočite BitLocker in namestite posodobitev varnega zagona. To storite tako:

1. Zaženite ta ukaz, da začasno onemogočite BitLocker (če je BitLocker omogočen na pogonu C:): manage-bde -protectors -disable C:
2. Zaženite ta ukaz: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Znova zaženite napravo.
4. Ko je novi Upravitelj zagona sistema Windows uspešno nameščen, omogočite BitLocker z zagonom ukaza: manage-bde -protectors -enable C:

Ko namestite posodobitev KB5070881 ali novejše posodobitve, WSUS ne prikaže podrobnosti o napakah pri sinhronizaciji v svojem poročanju o napakah. Ta funkcija je začasno odstranjena, da bi odpravili ranljivost oddaljenega izvajanja kode, CVE-2025-59287.

Simptomi

Po namestitvi te posodobitve varnostno opozorilo , ki se prikaže pri odpiranju datotek oddaljenega namizja (RDP), v nekaterih primerih morda ne bo prikazano pravilno.

Do te težave lahko pride, ko uporabljate več monitorjev z različnimi nastavitvami povečave zaslona (en zaslon je na primer nastavljen na 100 %, drugi pa na 125 %). V tem primeru opozorilno okno lahko prikaže prekrivajoče se besedilo ali delno skrite gumbe, zaradi česar je sporočilo težko berljivo.

Rešitev

Ta težava je odpravljena v KB5087539.