19 เมษายน 2026— KB5091575 (ระบบปฏิบัติการรุ่น 20348.5024) Out-of-band

การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows

สําคัญ: ใบรับรองการบูตแบบปลอดภัยที่ใช้โดยอุปกรณ์ Windows ส่วนใหญ่เริ่มหมดอายุในเดือนมิถุนายน 2026 ซึ่งอาจส่งผลกระทบต่อความสามารถของอุปกรณ์ส่วนตัวและธุรกิจบางอย่างในการเริ่มต้นระบบอย่างปลอดภัย หากไม่ได้อัปเดตในเวลาที่กำหนด เราขอแนะนำให้ตรวจสอบคำแนะนำและใช้การดำเนินการเพื่ออัปเดตใบรับรองล่วงหน้า สําหรับรายละเอียดและขั้นตอนการเตรียมการ โปรดดูที่ การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows และการอัปเดต CA

อาการ

อุปกรณ์บางเครื่องที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่เป็นที่แนะนําอาจจําเป็นต้องใส่คีย์การกู้คืน BitLocker ในการเริ่มระบบของคอมพิวเตอร์ใหม่ครั้งแรกหลังจากติดตั้งการอัปเดตนี้

ปัญหานี้มีผลต่อระบบจํานวนจํากัดที่เงื่อนไขต่อไปนี้ทั้งหมดเป็นจริง เงื่อนไขเหล่านี้ไม่น่าจะพบบนอุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยแผนก IT

1. BitLocker ถูกเปิดใช้งานบนไดรฟ์ระบบปฏิบัติการ
2. นโยบายกลุ่ม "กําหนดค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิม" และ PCR7 รวมอยู่ในโปรไฟล์การตรวจสอบความถูกต้อง (หรือมีการตั้งค่ารีจิสทรีคีย์ที่เทียบเท่าด้วยตนเอง)
3. ข้อมูลระบบ (msinfo32.exe) รายงานการผูกข้อมูล SECURE Boot State PCR7 เป็น "ไม่สามารถทําได้"
4. ใบรับรอง Windows UEFI CA 2023 แสดงอยู่ในฐานข้อมูลลายเซ็นการบูตแบบปลอดภัย (DB) ของอุปกรณ์’ทําให้อุปกรณ์มีสิทธิ์สําหรับ Windows Boot Manager ที่ลงนาม 2023 เป็นค่าเริ่มต้น
5. อุปกรณ์ไม่ได้ใช้งาน Windows Boot Manager ที่เวอร์ชันปี 2023

ในสถานการณ์นี้ ต้องป้อนคีย์การกู้คืน BitLocker เพียงครั้งเดียว เท่านั้น การเริ่มระบบใหม่ในภายหลังจะไม่ทริกเกอร์หน้าจอการกู้คืน BitLocker ตราบใดที่การกําหนดค่านโยบายกลุ่มยังคงไม่เปลี่ยนแปลง สําหรับความช่วยเหลือในการค้นหาคีย์การกู้คืน BitLocker ของคุณ โปรดดูที่บทความ ค้นหาคีย์การกู้คืน BitLocker ของคุณ

องค์กรขอแนะนําให้ตรวจสอบนโยบายกลุ่ม BitLocker สําหรับการรวม PCR7 อย่างชัดเจนและตรวจสอบ msinfo32.exe สําหรับสถานะการผูกข้อมูล PCR7 ก่อนที่จะติดตั้งการอัปเดตนี้ (ดูวิธีแก้ไขปัญหาชั่วคราวด้านล่าง)

วิธีแก้ไขปัญหา

ลบการกําหนดค่าของนโยบายกลุ่มก่อนที่จะติดตั้งการอัปเดต (แนะนํา)

1. เปิดตัวแก้ไขนโยบายกลุ่ม (gpedit.msc) หรือคอนโซลการจัดการนโยบายกลุ่มของคุณ
2. ไปที่: การกําหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแล>ระบบ การกําหนดค่าคอมพิวเตอร์ คอมโพเนนต์ของ > Windows การเข้ารหัสลับ>ไดรฟ์ BitLocker ไดรฟ์ระบบปฏิบัติการ
3. ตั้งค่า "กําหนดค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิม" เป็น "ไม่ได้กําหนดค่า"
4. เรียกใช้คําสั่งต่อไปนี้บนอุปกรณ์ที่ได้รับผลกระทบเพื่อเผยแพร่การเปลี่ยนแปลงนโยบาย: gpupdate /force
5. เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (โดยที่ BitLocker เปิดใช้งานบนไดรฟ์ C: ): manage-bde -protectors -disable C:
6. เรียกใช้คําสั่งต่อไปนี้เพื่อดําเนินการ BitLocker ต่อ (โดยที่เปิดใช้งาน BitLocker บนไดรฟ์ C: ): manage-bde -protectors -enable C:
7. ซึ่งจะอัปเดตการผูก BitLocker เพื่อใช้โปรไฟล์ PCR เริ่มต้นที่ Windows เลือก

การแก้ไขปัญหานี้อย่างถาวรมีการวางแผนไว้ใน Windows Update ในอนาคต ข้อมูลเพิ่มเติมจะแจ้งให้ทราบเมื่อพร้อมใช้งาน

หลังจากติดตั้ง KB5070884 หรือการอัปเดตในภายหลัง Windows Server Update Services (WSUS) จะไม่แสดงรายละเอียดข้อผิดพลาดการซิงโครไนซ์ภายในการรายงานข้อผิดพลาด ฟังก์ชันนี้ถูกลบออกชั่วคราวเพื่อแก้ไขช่องโหว่การดําเนินการรหัสระยะไกล CVE-2025-59287

อาการ

หลังจากติดตั้งการอัปเดตนี้ คําเตือนด้านความปลอดภัย ที่ปรากฏขึ้นเมื่อเปิดไฟล์เดสก์ท็อประยะไกล (RDP) อาจแสดงไม่ถูกต้องในบางกรณี

ปัญหานี้อาจเกิดขึ้นเมื่อคุณใช้จอภาพมากกว่าหนึ่งจอที่มีการตั้งค่าการปรับขนาดการแสดงผลที่แตกต่างกัน (ตัวอย่างเช่น จอแสดงผลหนึ่งตั้งค่าเป็น 100% และอีกหน้าจอหนึ่งตั้งค่าเป็น 125%) เมื่อเกิดเหตุการณ์นี้ขึ้น หน้าต่างคําเตือนอาจแสดงข้อความที่ทับซ้อนกัน หรือปุ่มที่ถูกซ่อนไว้บางส่วน ซึ่งอาจทําให้ข้อความอ่านหรือโต้ตอบได้ยาก

วิธีแก้ไขปัญหา

ปัญหานี้ได้รับการแก้ไขแล้วใน KB5087545