การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows
สําคัญ: ใบรับรองการบูตแบบปลอดภัยที่อุปกรณ์ Windows ส่วนใหญ่ใช้จะถูกตั้งค่าให้หมดอายุตั้งแต่เดือนมิถุนายน 2026 ซึ่งอาจส่งผลกระทบต่อความสามารถของอุปกรณ์ส่วนตัวและธุรกิจบางอย่างในการเริ่มต้นระบบอย่างปลอดภัย หากไม่ได้อัปเดตในเวลาที่กำหนด เราขอแนะนำให้ตรวจสอบคำแนะนำและใช้การดำเนินการเพื่ออัปเดตใบรับรองล่วงหน้า สําหรับรายละเอียดและขั้นตอนการเตรียมการ โปรดดูที่ การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows และการอัปเดต CA
บทสรุป
บทความนี้แสดงรายการปัญหาด้านความปลอดภัยและการปรับปรุงคุณภาพที่รวมอยู่ในการอัปเดตความปลอดภัยแบบสะสมนี้
นําไปใช้กับ: Windows 10 ESU
สำคัญ
ใช้ EKB KB5015684 เพื่ออัปเดตเป็น Windows 10 เวอร์ชัน 22H2
การอัปเดตความปลอดภัยนี้รวมถึงการแก้ไขและการปรับปรุงคุณภาพซึ่งเป็นส่วนหนึ่งของการอัปเดตต่อไปนี้:
ต่อไปนี้เป็นข้อมูลสรุปเกี่ยวกับปัญหาที่การอัปเดตนี้แก้ไขเมื่อคุณติดตั้งการอัปเดตนี้ หากมีฟีเจอร์ใหม่ ฟีเจอร์เหล่านั้นจะแสดงด้วย ข้อความตัวหนาภายในวงเล็บระบุรายการหรือพื้นที่ของการเปลี่ยนแปลงที่เราจัดทําเป็นเอกสาร
[คําเตือนด้านความปลอดภัยของเดสก์ท็อประยะไกล (ปัญหาที่ทราบ)] แก้ไขแล้ว: กล่องโต้ตอบคําเตือนด้านความปลอดภัยการเชื่อมต่อเดสก์ท็อประยะไกลอาจแสดงไม่ถูกต้องในการกําหนดค่าการแสดงผลหลายจอที่มีการตั้งค่าการปรับขนาดการแสดงผลที่แตกต่างกัน ปัญหานี้อาจเกิดขึ้นหลังจากติดตั้งการอัปเดตความปลอดภัยของ Windows ที่เผยแพร่เมื่อวันที่ 14 เมษายน 2026 (KB5082200)
[การบูตแบบปลอดภัย]
- การอัปเดตนี้เปิดใช้งานการรายงานสถานะแบบไดนามิกสําหรับสถานะการบูตแบบปลอดภัยในแอปความปลอดภัยของ Windows
- ด้วยการอัปเดตนี้ การอัปเดตคุณภาพของ Windows จะรวมข้อมูลการกําหนดเป้าหมายอุปกรณ์ที่มีความเชื่อมั่นสูงเพิ่มเติม เพิ่มความครอบคลุมของอุปกรณ์ที่มีสิทธิ์รับใบรับรองการบูตแบบปลอดภัยใหม่โดยอัตโนมัติ อุปกรณ์จะได้รับใบรับรองใหม่หลังจากแสดงให้เห็นถึงสัญญาณการอัปเดตที่ประสบความสําเร็จเพียงพอเท่านั้น โดยรักษาการเผยแพร่ที่มีการควบคุมและเป็นระยะไว้
- การอัปเดตนี้จะเพิ่มโฟลเดอร์ใหม่
SecureBootภายใต้C:\Windowsบนอุปกรณ์ที่มีสิทธิ์ โฟลเดอร์มีสคริปต์ตัวอย่างสําหรับองค์กรที่มีผู้เชี่ยวชาญด้าน IT ที่จัดการการอัปเดตในกลุ่มอุปกรณ์ของตน คุณสามารถใช้สคริปต์เหล่านี้เพื่อตรวจหาสถานะการอัปเดตใบรับรองการบูตแบบปลอดภัย และปรับใช้โดยอัตโนมัติผ่านกลไกการเปิดตัวที่ปลอดภัยในสภาพแวดล้อม Active Directory สําหรับข้อมูลเพิ่มเติม โปรดดูคู่มือระบบอัตโนมัติการบูตแบบปลอดภัยตัวอย่าง E2E
[เวลาออมแสง] การอัปเดตสําหรับสาธารณรัฐอาหรับอียิปต์เพื่อสนับสนุนคําสั่งการเปลี่ยนแปลง DST ของรัฐบาลในปี 2023
หากคุณได้ติดตั้งการอัปเดตก่อนหน้านี้ ระบบจะดาวน์โหลดเฉพาะการอัปเดตใหม่ในแพคเกจนี้เท่านั้น และติดตั้งบนอุปกรณ์ของคุณ
สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัย โปรดดูเว็บไซต์คู่มือการอัปเดตความปลอดภัยใหม่และ Security Updates เดือนพฤษภาคม 2026
สําหรับข้อมูลเกี่ยวกับคําศัพท์ของ Windows Update โปรดดูบทความเกี่ยวกับประเภทของการอัปเดต Windows และชนิดของการอัปเดตคุณภาพรายเดือน สําหรับภาพรวมของ Windows 10 เวอร์ชัน 22H2 ให้ดูหน้าประวัติการอัปเดต
ปัญหาที่ทราบแล้วในการอัปเดตนี้
อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่แนะนําอาจจําเป็นต้องป้อนคีย์การกู้คืน BitLocker
อาการ
อุปกรณ์บางเครื่องที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่เป็นที่แนะนําอาจจําเป็นต้องใส่คีย์การกู้คืน BitLocker ในการเริ่มระบบของคอมพิวเตอร์ใหม่ครั้งแรกหลังจากติดตั้งการอัปเดตนี้
ปัญหานี้มีผลต่อระบบจํานวนจํากัดซึ่งเงื่อนไขต่อไปนี้ทั้งหมดเป็นจริงเท่านั้น เงื่อนไขเหล่านี้ไม่น่าจะพบบนอุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยแผนก IT
- BitLocker ถูกเปิดใช้งานบนไดรฟ์ระบบปฏิบัติการ
- นโยบายกลุ่ม "กําหนดค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิม" และ PCR7 รวมอยู่ในโปรไฟล์การตรวจสอบความถูกต้อง (หรือมีการตั้งค่ารีจิสทรีคีย์ที่เทียบเท่าด้วยตนเอง)
- ข้อมูลระบบ (msinfo32.exe) รายงานการผูกข้อมูล SECURE Boot State PCR7 เป็น "ไม่สามารถทําได้"
- ใบรับรอง Windows UEFI CA 2023 แสดงอยู่ในฐานข้อมูลลายเซ็นการบูตแบบปลอดภัย (DB) ของอุปกรณ์’ทําให้อุปกรณ์มีสิทธิ์สําหรับ Windows Boot Manager ที่ลงนาม 2023 เป็นค่าเริ่มต้น
- อุปกรณ์ไม่ได้ใช้งาน Windows Boot Manager ที่เวอร์ชันปี 2023
ในสถานการณ์นี้ ต้องป้อนคีย์การกู้คืน BitLocker เพียงครั้งเดียว เท่านั้น การเริ่มระบบใหม่ในภายหลังจะไม่ทริกเกอร์หน้าจอการกู้คืน BitLocker ตราบใดที่การกําหนดค่านโยบายกลุ่มยังคงไม่เปลี่ยนแปลง สําหรับความช่วยเหลือในการค้นหาคีย์การกู้คืน BitLocker ของคุณ ให้ดูบทความ ค้นหาคีย์การกู้คืน BitLocker ของคุณ
องค์กรขอแนะนําให้ตรวจสอบนโยบายกลุ่ม BitLocker สําหรับการรวม PCR7 อย่างชัดเจนและตรวจสอบ msinfo32.exe สําหรับสถานะการผูกข้อมูล PCR7 ก่อนที่จะติดตั้งการอัปเดตนี้
การแก้ปัญหา
ปัญหานี้ได้รับการแก้ไขแล้วใน KB5094127 หลังจากติดตั้งการอัปเดต อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่มที่เข้ากันไม่ได้นี้จะถูกป้องกันไม่ให้ติดตั้ง Windows Boot Manager ที่มีการรับรองปี 2023 หากอุปกรณ์ของคุณได้รับผลกระทบ รหัสเหตุการณ์ 1032 จะปรากฏในบันทึกเหตุการณ์ของระบบเมื่อติดตั้งการอัปเดต Windows: "การอัปเดตการบูตแบบปลอดภัย Boot Manager (2023) ไม่ได้ถูกนําไปใช้เนื่องจากความไม่เข้ากันที่ทราบกับการกําหนดค่า BitLocker ปัจจุบัน" ถ้าคุณได้รับรหัสเหตุการณ์ 1032 Microsoft ขอแนะนําให้นําการกําหนดค่านโยบายกลุ่มออกก่อนที่จะติดตั้งการอัปเดต เพื่อให้คุณสามารถติดตั้ง Windows Boot Manager ที่มีการรับรองปี 2023 และรับการป้องกันการบูตแบบปลอดภัยล่าสุดต่อไป
ลบการกําหนดค่าของนโยบายกลุ่มก่อนที่จะติดตั้งการอัปเดต (แนะนํา)- เปิดตัวแก้ไขนโยบายกลุ่ม (gpedit.msc) หรือคอนโซลการจัดการนโยบายกลุ่มของคุณ
- ไปที่: การกําหนดค่าคอมพิวเตอร์>เทมเพลตการดูแล>ระบบ การกําหนดค่าคอมพิวเตอร์ คอมโพเนนต์ของ> Windowsการเข้ารหัสลับ>ไดรฟ์ BitLockerไดรฟ์ระบบปฏิบัติการ
- ตั้งค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิมเป็นไม่ได้กําหนดค่า
- เรียกใช้คําสั่งต่อไปนี้บนอุปกรณ์ที่ได้รับผลกระทบเพื่อเผยแพร่การเปลี่ยนแปลงนโยบาย:
gpupdate /force - เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:):
manage-bde -protectors -disable C: - เรียกใช้คําสั่งต่อไปนี้เพื่อดําเนินการ BitLocker ต่อ (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:):
manage-bde -protectors -enable C: - ซึ่งจะอัปเดตการผูก BitLocker เพื่อใช้โปรไฟล์ PCR เริ่มต้นที่ Windows เลือก
หากคุณไม่ต้องการลบการกําหนดค่านโยบายกลุ่มนี้ คุณสามารถติดตั้งตัวจัดการการเริ่มต้นระบบ Windows ใหม่ได้โดยระงับ BitLocker ไว้ชั่วคราว และติดตั้งการอัปเดตการบูตแบบปลอดภัย เมื่อต้องการทำเช่นนี้:
- เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:):
manage-bde -protectors -disable C - เรียกใช้คําสั่งต่อไปนี้:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" - รีสตาร์ตอุปกรณ์
- เมื่อติดตั้ง Windows Boot Manager ใหม่เรียบร้อยแล้ว ให้เปิดใช้งาน BitLocker โดยการเรียกใช้คําสั่ง:
manage-bde -protectors -enable C:
การอัปเดตสแตกการบริการของ Windows 10 (KB5084130) - เวอร์ชัน 19041.7183
ตอนนี้ Microsoft รวมการอัปเดตสแตกบริการ (SSU) ล่าสุดสําหรับระบบปฏิบัติการของคุณเข้ากับการอัปเดตแบบสะสมล่าสุด (LCU) SSU ปรับปรุงความน่าเชื่อถือของกระบวนการอัปเดตและรวมการแก้ไขสแตกการบริการ ซึ่งเป็นส่วนประกอบที่ติดตั้งการอัปเดตของ Windows
หมายเหตุ: การอัปเดตสแตกการบริการ (SSU) นี้มีตรรกะที่ได้รับการปรับปรุงเพื่อตรวจสอบว่าอุปกรณ์ถูกโฮสต์บน Azure หรือไม่ โดยใช้ประโยชน์จากสายใบรับรองที่อัปเดตสําหรับการตรวจสอบความถูกต้อง เพื่อให้แน่ใจว่าอุปกรณ์สามารถเข้าถึงโดเมนการอัปเดตใบรับรองที่จําเป็นเพื่อดาวน์โหลดและติดตั้งการอัปเดตใบรับรองได้สําเร็จ โปรดดู รายการดาวน์โหลดใบรับรองและการยกเลิกใบรับรอง และรายละเอียดผู้ออกใบรับรอง Azure หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับ SSU โปรดดูการอัปเดตสแตกการบริการ
วิธีรับการอัปเดตนี้
ก่อนที่คุณจะติดตั้งการอัปเดตนี้
ข้อสําคัญ คุณต้องติดตั้งการอัปเดตสแตกการบริการ (SSU) ล่าสุด การไม่ติดตั้ง SSU ล่าสุดก่อนที่จะใช้การอัปเดต Windows อาจส่งผลให้ไม่มีการเสนอการอัปเดต Windows จนกว่าจะติดตั้ง SSU ล่าสุดแล้ว
การปรับใช้
ถ้าคุณปรับใช้การอัปเดตนี้ ให้เลือกหนึ่งในรายการต่อไปนี้ตามสถานการณ์การติดตั้งของคุณ:
สําหรับการให้บริการอิมเมจระบบปฏิบัติการแบบออฟไลน์
- หากรูปภาพของคุณไม่มี LCU ของวันที่ 25 กรกฎาคม 2023 (KB5028244) หรือใหม่กว่า คุณต้องติดตั้ง SSU (KB5031539) แบบสแตนด์อโลนพิเศษในวันที่ 13 ตุลาคม 2023 ก่อนที่จะติดตั้งการอัปเดตนี้
สําหรับการปรับใช้ Windows Server Update Services (WSUS) หรือเมื่อติดตั้งแพคเกจแบบสแตนด์อโลนจาก Microsoft Update Catalog
- หากอุปกรณ์ของคุณไม่มี LCU ของวันที่ 11 พฤษภาคม 2021 (KB5003173) หรือใหม่ กว่า คุณต้องติดตั้ง SSU (KB5005260) แบบสแตนด์อโลนพิเศษในวันที่ 10 สิงหาคม 2021 ก่อนที่จะติดตั้งการอัปเดตนี้
รับและติดตั้งการอัปเดตนี้
เมื่อต้องการรับและติดตั้งการอัปเดตนี้ ให้ใช้ช่องทางการเผยแพร่ของ Windows และ Microsoft ช่องทางใดช่องทางหนึ่งต่อไปนี้
| พร้อมใช้งาน | ขั้นตอนถัดไป |
|---|---|
|
การอัปเดตนี้จะถูกดาวน์โหลดและติดตั้งโดยอัตโนมัติจาก Windows Update |
ข้อมูลไฟล์
รายการไฟล์ที่รวมอยู่ในการอัปเดตนี้มีอยู่ในไฟล์ CSV (คั่นด้วยจุลภาค) (*.csv) ไฟล์สามารถเปิดในตัวแก้ไขข้อความ เช่น Notepad หรือใน Microsoft Excel
หมายเหตุ: เวอร์ชันภาษาอังกฤษ (สหรัฐอเมริกา) ของการอัปเดตซอฟต์แวร์นี้อาจมีไฟล์สําหรับภาษาอื่น
ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดตแบบสะสมนี้ KB5087544
ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดต SSU (KB5084130) - เวอร์ชัน 19041.7183
ข้อมูลที่เกี่ยวข้อง
หากคุณต้องการถอนการอัปเดตนี้
หมายเหตุ
- ข้อควรระวัง ก่อนตัดสินใจถอนการอัปเดตนี้ โปรดดู ทําความเข้าใจเกี่ยวกับความเสี่ยง: เหตุใดคุณจึงไม่ควรถอนการติดตั้งการอัปเดตความปลอดภัย
- ในการลบ LCU ออกหลังจากติดตั้งแพคเกจ SSU และ LCU แบบรวม ให้ใช้ตัวเลือกบรรทัดคําสั่ง DISM/Remove-Package กับชื่อแพคเกจ LCU เป็นอาร์กิวเมนต์ คุณสามารถค้นหาชื่อแพคเกจได้โดยใช้คําสั่งนี้: DISM /online /get-packages
- การเรียกใช้ Windows Update Standalone Installer (wusa.exe) ที่มีสวิตช์ /uninstall บนแพคเกจรวมจะไม่ทํางานเนื่องจากแพคเกจรวมมี SSU คุณไม่สามารถเอา SSU ออกจากระบบหลังการติดตั้งได้
ประกาศสําหรับการอัปเดตแอปพลิเคชัน Microsoft Store
หมายเหตุ
Windows Update จะไม่ติดตั้งการอัปเดตแอปพลิเคชัน Microsoft Store ถ้าคุณเป็นผู้ใช้องค์กร ให้ดูแอป Microsoft Store - ตัวจัดการการกำหนดค่า หากคุณเป็นผู้ใช้ที่เป็นผู้บริโภค โปรดดูรับการอัปเดตสําหรับแอปและเกมใน Microsoft Store
ข้อมูลการสิ้นสุดการสนับสนุน
Microsoft จะไม่ให้การอัปเดตซอฟต์แวร์ฟรีจาก Windows Update ความช่วยเหลือทางเทคนิค หรือการแก้ไขด้านความปลอดภัยตามวันที่สิ้นสุดต่อไปนี้:
- Windows 10 เวอร์ชัน 21H2: การสนับสนุนสิ้นสุดลงในวันที่ 13 มิถุนายน 2023
- Windows 10 เวอร์ชัน 22H2: การสนับสนุนสิ้นสุดลงในวันที่ 14 ตุลาคม 2025
- Windows 10 Enterprise LTSC 2021: 12 มกราคม 2027 สําหรับข้อมูลเกี่ยวกับโปรแกรม Extended Security Updates (ESU) โปรดดูแผนสําหรับการสิ้นสุดการสนับสนุน Windows 10 Enterprise LTSC 2021
- Windows 10 IoT Enterprise LTSC 2021: 13 มกราคม 2032
บันทึกการเปลี่ยนแปลง
| เปลี่ยนวันที่ | เปลี่ยนคําอธิบาย |
|---|---|
| 14 กรกฎาคม 2026 |
|
| 13 พฤษภาคม, 2026 |
|