14 เมษายน 2026—KB5083769 (ระบบปฏิบัติการรุ่น 26200.8246 และ 26100.8246)

การหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows

สำคัญ: ใบรับรองการบูตแบบปลอดภัยที่อุปกรณ์ Windows ส่วนใหญ่ใช้จะถูกตั้งค่าให้หมดอายุตั้งแต่เดือนมิถุนายน 2026 ซึ่งอาจส่งผลกระทบต่อความสามารถของอุปกรณ์ส่วนตัวและธุรกิจบางอย่างในการเริ่มต้นระบบอย่างปลอดภัย หากไม่ได้อัปเดตในเวลาที่กำหนด เราขอแนะนำให้ตรวจสอบคำแนะนำและใช้การดำเนินการเพื่ออัปเดตใบรับรองล่วงหน้า สำหรับรายละเอียดและขั้นตอนการเตรียมการ ให้ดูการหมดอายุของใบรับรองการบูตแบบปลอดภัยของ Windows และการอัปเดต CA

อาการ

อุปกรณ์บางเครื่องที่มีการกําหนดค่านโยบายกลุ่ม BitLocker ที่ไม่เป็นที่แนะนําอาจจําเป็นต้องใส่คีย์การกู้คืน BitLocker ในการเริ่มระบบของคอมพิวเตอร์ใหม่ครั้งแรกหลังจากติดตั้งการอัปเดตนี้

ปัญหานี้มีผลต่อระบบจํานวนจํากัดที่เงื่อนไขต่อไปนี้ทั้งหมดเป็นจริง เงื่อนไขเหล่านี้ไม่น่าจะพบบนอุปกรณ์ส่วนบุคคลที่ไม่ได้จัดการโดยแผนก IT

1. BitLocker ถูกเปิดใช้งานบนไดรฟ์ระบบปฏิบัติการ

2. นโยบายกลุ่ม "กําหนดค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิม" และ PCR7 รวมอยู่ในโปรไฟล์การตรวจสอบความถูกต้อง (หรือมีการตั้งค่ารีจิสทรีคีย์ที่เทียบเท่าด้วยตนเอง)

3. ข้อมูลระบบ (msinfo32.exe) รายงานการผูกข้อมูล SECURE Boot State PCR7 เป็น "ไม่สามารถทําได้"

4. ใบรับรอง Windows UEFI CA 2023 แสดงอยู่ในฐานข้อมูลลายเซ็นการบูตแบบปลอดภัย (DB) ของอุปกรณ์’ทําให้อุปกรณ์มีสิทธิ์สําหรับ Windows Boot Manager ที่ลงนาม 2023 เป็นค่าเริ่มต้น

5. อุปกรณ์ไม่ได้ใช้งาน Windows Boot Manager ที่เวอร์ชันปี 2023

ในสถานการณ์นี้ ต้องป้อนคีย์การกู้คืน BitLocker เพียงครั้งเดียว เท่านั้น การเริ่มระบบใหม่ในภายหลังจะไม่ทริกเกอร์หน้าจอการกู้คืน BitLocker ตราบใดที่การกําหนดค่านโยบายกลุ่มยังคงไม่เปลี่ยนแปลง สําหรับความช่วยเหลือในการค้นหาคีย์การกู้คืน BitLocker ของคุณ โปรดดูบทความ ค้นหาคีย์การกู้คืน BitLocker ของคุณ

องค์กรขอแนะนําให้ตรวจสอบนโยบายกลุ่ม BitLocker สําหรับการรวม PCR7 อย่างชัดเจนและตรวจสอบ msinfo32.exe สําหรับสถานะการผูกข้อมูล PCR7 ก่อนที่จะติดตั้งการอัปเดตนี้ (ดูวิธีแก้ไขปัญหาชั่วคราวด้านล่าง)

วิธีแก้ไขปัญหาชั่วคราว 

ปัญหานี้ได้รับการแก้ไขแล้วใน KB5089549 หลังจากติดตั้ง KB5089549อุปกรณ์ที่มีการกําหนดค่านโยบายกลุ่มที่เข้ากันไม่ได้นี้จะถูกป้องกันไม่ให้ติดตั้ง Windows Boot Manager ที่ได้รับการรับรอง 2023 หากอุปกรณ์ของคุณได้รับผลกระทบ รหัสเหตุการณ์ 1032 จะปรากฏในบันทึกเหตุการณ์ของระบบเมื่อติดตั้งการอัปเดต Windows: "Secure Boot Update Boot Manager (2023) ไม่ถูกนําไปใช้เนื่องจากไม่เข้ากันที่ทราบแล้วกับการกําหนดค่า BitLocker ปัจจุบัน"

หากคุณได้รับรหัสเหตุการณ์ 1032 Microsoft ขอแนะนําให้ลบการกําหนดค่านโยบายกลุ่มก่อนติดตั้งการอัปเดต เพื่อให้คุณสามารถติดตั้ง Windows Boot Manager ที่ได้รับการรับรองปี 2023 และรับการป้องกันการบูตแบบปลอดภัยล่าสุดต่อไป

ลบการกําหนดค่านโยบายกลุ่มก่อนที่จะติดตั้งการอัปเดต (แนะนํา) 

1. เปิดตัวแก้ไขนโยบายกลุ่ม (gpedit.msc) หรือคอนโซลการจัดการนโยบายกลุ่มของคุณ

2. นําทางไปยัง: การกําหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > Windows Components > การเข้ารหัสลับไดรฟ์ด้วย BitLocker >ไดรฟ์ระบบปฏิบัติการ

3. ตั้งค่า "กําหนดค่าโปรไฟล์การตรวจสอบความถูกต้องของแพลตฟอร์ม TPM สําหรับการกําหนดค่าเฟิร์มแวร์ UEFI ดั้งเดิม" เป็น "ไม่ได้กําหนดค่า"

4. เรียกใช้คําสั่งต่อไปนี้บนอุปกรณ์ที่ได้รับผลกระทบเพื่อเผยแพร่การเปลี่ยนแปลงนโยบาย: gpupdate /force

5. เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (ถ้าเปิดใช้งาน BitLocker บนไดรฟ์ C:): manage-bde -protectors -disable C:

6. เรียกใช้คําสั่งต่อไปนี้เพื่อดําเนินการ BitLocker ต่อ (ถ้าเปิดใช้งาน BitLocker บนไดรฟ์ C: ): manage-bde -protectors -enable C:

7. ซึ่งจะอัปเดตการผูก BitLocker เพื่อใช้โปรไฟล์ PCR เริ่มต้นที่เลือกของ Windows

หากคุณไม่ต้องการลบการกําหนดค่านโยบายกลุ่มนี้ ออก คุณสามารถติดตั้ง Windows Boot Manager ใหม่โดยการระงับ BitLocker ชั่วคราวและติดตั้งการอัปเดตการบูตแบบปลอดภัย เมื่อต้องการทำเช่นนี้:

1. เรียกใช้คําสั่งต่อไปนี้เพื่อหยุด BitLocker ชั่วคราว (ถ้าเปิดใช้งาน BitLocker บนไดรฟ์ C:): manage-bde -protectors -disable C:

2. เรียกใช้คําสั่งต่อไปนี้: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. รีสตาร์ตอุปกรณ์

4. เมื่อติดตั้ง Windows Boot Manager ใหม่เรียบร้อยแล้ว ให้เปิดใช้งาน BitLocker โดยการเรียกใช้คําสั่ง: manage-bde -protectors -enable C: