11 สิงหาคม 2026—KB5120249 (บิลด์ระบบปฏิบัติการ 19045.7663 และ 19044.7663)

นำไปใช้กับ
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021

การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows

ข้อสําคัญ ใบรับรองการบูตแบบปลอดภัยที่ใช้โดยอุปกรณ์ Windows ส่วนใหญ่เริ่มหมดอายุในเดือนมิถุนายน 2026 Microsoft ได้อัปเดตใบรับรองเหล่านี้บนพีซีและอุปกรณ์ทางธุรกิจที่ไม่มีการจัดการในช่วงหลายเดือนที่ผ่านมา อุปกรณ์ที่ยังไม่ได้รับใบรับรองที่ใหม่กว่าจะยังคงสามารถเริ่มทํางานได้ และการอัปเดตมาตรฐานของ Windows จะยังคงติดตั้งต่อไป เราจะยังคงติดตั้งใบรับรองใหม่ผ่านทางการอัปเดต Windows ในอีกไม่กี่เดือนข้างหน้า

สรุป

บทความนี้แสดงรายการปัญหาด้านความปลอดภัยและการปรับปรุงคุณภาพที่รวมอยู่ในการอัปเดตความปลอดภัยแบบสะสมนี้

นําไปใช้กับ: Windows 10 ESU

ข้อสําคัญ ใช้ EKB KB5015684 เพื่ออัปเดตเป็น Windows 10 เวอร์ชัน 22H2

การอัปเดตความปลอดภัยนี้รวมถึงการแก้ไขและการปรับปรุงคุณภาพซึ่งเป็นส่วนหนึ่งของการอัปเดตต่อไปนี้:

ต่อไปนี้เป็นข้อมูลสรุปเกี่ยวกับปัญหาที่การอัปเดตนี้แก้ไขเมื่อคุณติดตั้งการอัปเดตนี้ หากมีฟีเจอร์ใหม่ ฟีเจอร์เหล่านั้นจะแสดงด้วย ข้อความตัวหนาภายในวงเล็บระบุรายการหรือพื้นที่ของการเปลี่ยนแปลงที่เราจัดทําเป็นเอกสาร

  • [การสํารองข้อมูล] ประวัติแฟ้ม การสํารองข้อมูลอัตโนมัติไปยังเครือข่ายที่ใช้ Server Message Block (SMB) อาจล้มเหลวโดยมีข้อผิดพลาด "ข้อมูลประจําตัวไม่ถูกต้อง" ที่ไม่ถูกต้อง เมื่อปัญหานี้เกิดขึ้น การสํารองข้อมูลตามกําหนดเวลาจะไม่คัดลอกไฟล์ใดๆ การอัปเดตนี้แก้ไขปัญหา
  • [การบูตแบบปลอดภัย] การอัปเดตนี้รวมถึงข้อมูลการกําหนดเป้าหมายอุปกรณ์ที่มีความเชื่อมั่นสูงเพิ่มเติม เพิ่มความครอบคลุมของอุปกรณ์ที่มีสิทธิ์รับใบรับรองการบูตแบบปลอดภัยใหม่โดยอัตโนมัติ การปรับใช้ใบรับรองผ่านการอัปเดต Windows จะยังคงดําเนินต่อไปในพีซีที่รองรับและอุปกรณ์ทางธุรกิจที่ไม่มีการจัดการในอีกไม่กี่เดือนข้างหน้า

หากคุณได้ติดตั้งการอัปเดตก่อนหน้านี้ ระบบจะดาวน์โหลดเฉพาะการอัปเดตใหม่ในแพคเกจนี้เท่านั้น และติดตั้งบนอุปกรณ์ของคุณ

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ด้านความปลอดภัย โปรดดูเว็บไซต์คู่มือการอัปเดตความปลอดภัยใหม่และ Security Updates เดือนสิงหาคม 2026

สําหรับข้อมูลเกี่ยวกับคําศัพท์ของ Windows Update โปรดดูบทความเกี่ยวกับประเภทของการอัปเดต Windows และชนิดของการอัปเดตคุณภาพรายเดือน สําหรับภาพรวมของ Windows 10 เวอร์ชัน 22H2 ให้ดูหน้าประวัติการอัปเดต

ปัญหาที่ทราบแล้วในการอัปเดตนี้

อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่แนะนําอาจจําเป็นต้องป้อนคีย์การกู้คืน BitLocker

อาการ

อุปกรณ์บางเครื่องที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่เป็นที่แนะนําอาจจําเป็นต้องใส่คีย์การกู้คืน BitLocker ในการเริ่มระบบของคอมพิวเตอร์ใหม่ครั้งแรกหลังจากติดตั้งการอัปเดตนี้

ปัญหานี้มีผลต่อระบบจํานวนจํากัดซึ่งเงื่อนไขต่อไปนี้ทั้งหมดเป็นจริงเท่านั้น เงื่อนไขเหล่านี้ไม่น่าจะพบบนอุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยแผนก IT

  1. BitLocker ถูกเปิดใช้งานบนไดรฟ์ระบบปฏิบัติการ
  2. มีการกําหนดค่านโยบายกลุ่มโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิมแล้ว และ PCR7 รวมอยู่ในโปรไฟล์การตรวจสอบความถูกต้อง (หรือรีจิสทรีคีย์ที่เทียบเท่ากันได้รับการตั้งค่าด้วยตนเอง)
  3. ข้อมูลระบบ (msinfo32.exe) รายงานว่าไม่สามารถ รวม PCR7 ของสถานะการบูตแบบปลอดภัยได้
  4. ใบรับรอง Windows UEFI CA 2023 แสดงอยู่ในฐานข้อมูลลายเซ็นการบูตแบบปลอดภัย (DB) ของอุปกรณ์’ทําให้อุปกรณ์มีสิทธิ์สําหรับ Windows Boot Manager ที่ลงนาม 2023 เป็นค่าเริ่มต้น
  5. อุปกรณ์ไม่ได้ใช้งาน Windows Boot Manager ที่เวอร์ชันปี 2023

ในสถานการณ์นี้ ต้องป้อนคีย์การกู้คืน BitLocker เพียงครั้งเดียว เท่านั้น การเริ่มระบบใหม่ในภายหลังจะไม่ทริกเกอร์หน้าจอการกู้คืน BitLocker ตราบใดที่การกําหนดค่านโยบายกลุ่มยังคงไม่เปลี่ยนแปลง สําหรับความช่วยเหลือในการค้นหาคีย์การกู้คืน BitLocker ของคุณ โปรดดู [ค้นหาคีย์การกู้คืน BitLocker ของคุณ](https://support.microsoft.com/Windows/Security/Encryption/find-your-bitlocker-recovery-key).

องค์กรขอแนะนําให้ตรวจสอบนโยบายกลุ่ม BitLocker สําหรับการรวม PCR7 อย่างชัดเจนและตรวจสอบ msinfo32.exe สําหรับสถานะการผูกข้อมูล PCR7 ก่อนที่จะติดตั้งการอัปเดตนี้

การแก้ปัญหา

ปัญหานี้ได้รับการแก้ไขแล้วในการอัปเดต KB5122878 หลังจากติดตั้งการอัปเดต KB5122878 อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่มที่เข้ากันไม่ได้นี้จะถูกป้องกันไม่ให้ติดตั้ง Windows Boot Manager ที่ลงนามในปี 2023 หากอุปกรณ์ของคุณได้รับผลกระทบ รหัสเหตุการณ์ 1032 จะปรากฏในบันทึกเหตุการณ์ของระบบเมื่อติดตั้งการอัปเดต Windows: "การอัปเดตการบูตแบบปลอดภัย Boot Manager (2023) ไม่ได้ถูกนําไปใช้เนื่องจากความไม่เข้ากันที่ทราบกับการกําหนดค่า BitLocker ปัจจุบัน"

ถ้าคุณได้รับรหัสเหตุการณ์ 1032 Microsoft ขอแนะนําให้นําการกําหนดค่านโยบายกลุ่มออกก่อนที่จะติดตั้งการอัปเดต เพื่อให้คุณสามารถติดตั้ง Windows Boot Manager ที่มีการรับรองปี 2023 และรับการป้องกันการบูตแบบปลอดภัยล่าสุดต่อไป

ลบการกําหนดค่าของนโยบายกลุ่มก่อนที่จะติดตั้งการอัปเดต (แนะนํา)

  1. เปิดตัวแก้ไขนโยบายกลุ่ม (gpedit.msc) หรือคอนโซลการจัดการนโยบายกลุ่มของคุณ
  2. ไปที่: การกําหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแล > ระบบ การกําหนดค่าคอมพิวเตอร์ คอมโพเนนต์ของ > Windowsการเข้ารหัสลับ > ไดรฟ์ BitLockerไดรฟ์ระบบปฏิบัติการ
  3. ตั้งค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิมเป็นไม่ได้กําหนดค่า
  4. เรียกใช้คําสั่งต่อไปนี้บนอุปกรณ์ที่ได้รับผลกระทบเพื่อเผยแพร่การเปลี่ยนแปลงนโยบาย: gpupdate /force
  5. เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:): manage-bde -protectors -disable C:
  6. เรียกใช้คําสั่งต่อไปนี้เพื่อดําเนินการ BitLocker ต่อ (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:): manage-bde -protectors -enable C:
  7. ซึ่งจะอัปเดตการผูก BitLocker เพื่อใช้โปรไฟล์ PCR เริ่มต้นที่ Windows เลือก

หากคุณไม่ต้องการลบการกําหนดค่านโยบายกลุ่มนี้ คุณสามารถติดตั้งตัวจัดการการเริ่มต้นระบบ Windows ใหม่ได้โดยระงับ BitLocker ไว้ชั่วคราว และติดตั้งการอัปเดตการบูตแบบปลอดภัย เมื่อต้องการทำเช่นนี้:
  1. เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (หากเปิดใช้งาน BitLocker บนไดรฟ์ C:): manage-bde -protectors -disable C:
  2. เรียกใช้คําสั่งต่อไปนี้: Start-ScheduledTask -TaskName \\Microsoft\\Windows\\PI\\Secure-Boot-Update
  3. รีสตาร์ตอุปกรณ์
  4. เมื่อติดตั้ง Windows Boot Manager ใหม่เรียบร้อยแล้ว ให้เปิดใช้งาน BitLocker โดยการเรียกใช้คําสั่ง: manage-bde -protectors -enable C:

การอัปเดตสแตกการบริการของ Windows 10 (KB5104021) - เวอร์ชัน 19041.7546

ตอนนี้ Microsoft รวมการอัปเดตสแตกบริการ (SSU) ล่าสุดสําหรับระบบปฏิบัติการของคุณเข้ากับการอัปเดตแบบสะสมล่าสุด (LCU) SSU ปรับปรุงความน่าเชื่อถือของกระบวนการอัปเดตและรวมการแก้ไขสแตกการบริการ ซึ่งเป็นส่วนประกอบที่ติดตั้งการอัปเดตของ Windows

หมายเหตุ การอัปเดตสแตกการบริการ (SSU) นี้มีตรรกะที่ได้รับการปรับปรุงเพื่อตรวจสอบว่าอุปกรณ์ถูกโฮสต์บน Azure หรือไม่ โดยใช้ประโยชน์จากสายใบรับรองที่อัปเดตสําหรับการตรวจสอบความถูกต้อง เพื่อให้แน่ใจว่าอุปกรณ์สามารถเข้าถึงโดเมนการอัปเดตใบรับรองที่จําเป็นเพื่อดาวน์โหลดและติดตั้งการอัปเดตใบรับรองได้สําเร็จ โปรดดู รายการดาวน์โหลดใบรับรองและการยกเลิกใบรับรอง และรายละเอียดผู้ออกใบรับรอง Azure หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับ SSU โปรดดูการอัปเดตสแตกการบริการ

วิธีรับการอัปเดตนี้

ก่อนที่คุณจะติดตั้งการอัปเดตนี้

ข้อสําคัญ คุณต้องติดตั้งการอัปเดตสแตกการบริการ (SSU) ล่าสุด การไม่ติดตั้ง SSU ล่าสุดก่อนที่จะใช้การอัปเดต Windows อาจส่งผลให้ไม่มีการเสนอการอัปเดต Windows จนกว่าจะติดตั้ง SSU ล่าสุดแล้ว

การปรับใช้

ถ้าคุณปรับใช้การอัปเดตนี้ ให้เลือกหนึ่งในรายการต่อไปนี้ตามสถานการณ์การติดตั้งของคุณ:

  • สําหรับการให้บริการอิมเมจระบบปฏิบัติการแบบออฟไลน์: หากรูปภาพของคุณไม่มี LCU ของวันที่ 25 กรกฎาคม 2023 (KB5028244) หรือใหม่กว่า คุณต้องติดตั้ง SSU (KB5031539) แบบสแตนด์อโลนพิเศษของวันที่ 13 ตุลาคม 2023 ก่อนที่จะติดตั้งการอัปเดตนี้
  • สําหรับการปรับใช้ Windows Server Update Services (WSUS) หรือเมื่อติดตั้งแพคเกจแบบสแตนด์อโลนจาก Microsoft Update Catalog: หากอุปกรณ์ของคุณไม่มี LCU ของวันที่ 11 พฤษภาคม 2021 (KB5003173) หรือใหม่กว่า คุณต้องติดตั้ง SSU (KB5005260) แบบสแตนด์อโลนพิเศษของวันที่ 10 สิงหาคม 2021 ก่อนที่จะติดตั้งการอัปเดตนี้

หากคุณปรับใช้การอัปเดตแบบไดนามิก เช่น การอัปเดตนี้กับอิมเมจ Windows ที่มีอยู่ ตรวจสอบให้แน่ใจว่าไฟล์ boot.stl เป็นส่วนหนึ่งของสื่อการติดตั้งรวมอยู่ด้วย ความล้มเหลวในการรวมไฟล์อาจทําให้อุปกรณ์ไม่สามารถเริ่มต้นจากสื่อการติดตั้งได้สําเร็จ และอาจส่งผลให้เกิดรหัสข้อผิดพลาด 0xc0430001

หมายเหตุ

ไฟล์ boot.stl จะถูกใช้ระหว่างการตรวจสอบความถูกต้องการบูตแบบปลอดภัย และต้องตรงกับเวอร์ชันของ Windows และสถาปัตยกรรมของอิมเมจที่คุณกําลังอัปเดต

เพื่อให้แน่ใจว่ามีแฟ้ม boot.stl เป็นส่วนหนึ่งของสื่อการติดตั้ง ให้เลือกทําอย่างใดอย่างหนึ่งต่อไปนี้:

  • ใช้สคริปต์ อัปเดต WinPE เพื่ออัปเดตอิมเมจ Windows ที่มีอยู่ (แนะนํา)
  • คัดลอกไฟล์ boot.stl ด้วยตนเองจากโฟลเดอร์ devicesWindows\Boot\EFI ไปยังโฟลเดอร์ที่สอดคล้องกันบนสื่อการติดตั้งของคุณก่อนที่จะปรับใช้การอัปเดต

สําหรับข้อมูลเกี่ยวกับวิธีการนําแพคเกจการปรับปรุงแบบไดนามิกไปใช้กับอิมเมจของ Windows ที่มีอยู่ ให้ดู อัปเดตสื่อการติดตั้ง Windows ด้วยการปรับปรุงแบบไดนามิก

รับและติดตั้งการอัปเดตนี้

เมื่อต้องการรับและติดตั้งการอัปเดตนี้ ให้ใช้ช่องทางการเผยแพร่ของ Windows และ Microsoft ช่องทางใดช่องทางหนึ่งต่อไปนี้

พร้อมใช้งาน ขั้นตอนถัดไป
พร้อมใช้งาน การอัปเดตนี้จะถูกดาวน์โหลดและติดตั้งโดยอัตโนมัติจาก Windows Update

ข้อมูลไฟล์

รายการไฟล์ที่รวมอยู่ในการอัปเดตนี้มีอยู่ในไฟล์ CSV (คั่นด้วยจุลภาค) (*.csv) ไฟล์สามารถเปิดในตัวแก้ไขข้อความ เช่น Notepad หรือใน Microsoft Excel

หมายเหตุ เวอร์ชันภาษาอังกฤษ (สหรัฐอเมริกา) ของการอัปเดตซอฟต์แวร์นี้อาจมีไฟล์สําหรับภาษาอื่น

ดาวน์โหลด ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดตแบบสะสมนี้ KB5120249

ดาวน์โหลด ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดต SSU (KB5104021) - เวอร์ชัน 19041.7546

บันทึกการเปลี่ยนแปลง

เปลี่ยนวันที่ เปลี่ยนคําอธิบาย
8 กันยายน 2026
  • ปัญหาที่ทราบได้รับการอัปเดต: "อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่แนะนําอาจจําเป็นต้องป้อนคีย์การกู้คืน BitLocker"
17 สิงหาคม 2026
  • เพิ่ม "อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่แนะนําอาจจําเป็นต้องป้อนคีย์การกู้คืน BitLocker" ในส่วน "ปัญหาที่ทราบในการอัปเดตนี้" ปัญหานี้ไม่ได้รับการแก้ไขในการอัปเดตก่อนหน้านี้