Це сукупне оновлення за Windows Server 2025 (KB5082063) містить останні виправлення системи безпеки та вдосконалення, а також оновлення, що не стосуються безпеки, з необов'язкового підготовчого випуску минулого місяця. Щоб дізнатися більше про відмінності між оновленнями системи безпеки, необов'язковими попередніми оновленнями, що не стосуються системи безпеки, нестандартними оновленнями (OOB) та постійними інноваціями, див. статтю "Пояснення щомісячних оновлень Windows". Відомості про термінологію служби Windows Update див. в статтях з різними типами оновлень програмного забезпечення Windows.
Щоб переглянути останні оновлення про цей випуск, відвідайте приладну дошку стану випуску Windows або сторінку журналу оновлень за Windows Server 2025 р.
Оголошення та повідомлення
У цьому розділі наведено основні сповіщення, пов'язані з цим випуском, зокрема оголошення, журнали змін і повідомлення про кінець підтримки.
Термін дії сертифіката безпечного завантаження Windows
Термін дії сертифіката безпечного завантаження Windows
Першийплан : термін дії сертифікатів безпечного завантаження, що використовуються більшістю пристроїв Windows, завершується, починаючи з червня 2026 р. Це може вплинути на здатність певних особистих і корпоративних пристроїв безпечно завантажуватися, якщо їх вчасно не оновити. Щоб уникнути збоїв у роботі, радимо заздалегідь переглянути рекомендації та вжити заходів для оновлення сертифікатів. Докладні відомості та етапи підготовки див. в розділі про термін дії сертифіката безпечного завантаження Windows і оновлення центру сертифікації, а також у блозі Windows Server Secure playbook.
Журнал змін
| Змінення дати | Змінити опис |
|---|---|
| 9 червня 2026 р. |
|
| 12 травня 2026 р. | Виправлення відомої проблеми: оновлено спосіб вирішення цієї проблеми: "Попередження, пов'язані з віддаленим робочим столом, можуть відображатися неправильно". |
| 1 травня 2026 р. | Додано покращення: [Список заблокованих вразливих драйверів] |
| 27 квітня 2026 р. | Оновлення відомої проблеми: редакція назви для відомої проблеми "Попередження, пов'язані з віддаленим робочим столом, можуть не відображатися належним чином". |
| 23 квітня. 2026 | Додано відому проблему: "Попередження, пов'язані з віддаленим робочим столом, можуть відображатися неправильно". |
| 21 квітня 2026 р. | Відома проблема з оновленням: "Для введення ключа відновлення BitLocker можуть знадобитися пристрої з нерекомендованою конфігурацією BitLocker Group PolicyГрупова політика". |
| 20 квітня 2026 р. | Відому проблему "Інсталяція цього оновлення може завершитися помилкою 0x800F0983 або 0x80073712", було відредаговано для уточнення. |
| 19 квітня 2026 р. |
|
| 17 квітня 2026 р. | Відому проблему "Контролери домену можуть багаторазово перезавантажуватися після інсталяції цього оновлення" було оновлено для уточнення. |
| 16 квітня 2026 р. | Додано відому проблему: "Після інсталяції цього оновлення контролери домену можуть кілька разів перезавантажуватися" |
| 14 квітня 2026 р. | Відому проблему додано: "Для введення ключа відновлення BitLocker можуть знадобитися пристрої з нерекомендованою конфігурацією BitLocker Group PolicyГрупова політика" |
Покращення
Це оновлення системи безпеки містить виправлення та покращення з KB5078740 (випущене 10 березня 2026 р.). У наведеному нижче зведенні викладено основні проблеми, які вирішуються в цьому оновленні. Також включені доступні нові функції. Жирний шрифт у прямокутних дужках указує на елемент або область, у яких потрібно внести зміни.
[Безпечне завантаження]
- Завдяки цьому оновленню покращення Windows містить додаткові дані націлювання пристрою з високою достовірністю, що збільшує охоплення пристроїв, які мають право автоматично отримувати нові сертифікати безпечного завантаження. Пристрої отримують нові сертифікати лише після того, як продемонструють достатню кількість сигналів успішного оновлення, підтримуючи контрольоване та поетапне розгортання.
- Це оновлення усуває проблему, через яку пристрій може перейти до відновлення BitLocker після оновлення безпечного завантаження.
[Протокол Kerberos] Це оновлення змінює стандартне значення DefaultDomainSupportedEncTypes для операцій центру розподілу ключів Kerberos (KDC) на використання AES-SHA1 для облікових записів, у яких не визначено явний атрибут msds-SupportedEncryptionTypes Active Directory. Докладні відомості див. в статті "Керування змінами щодо використання RC4 в Kerberos KDC для видачі квитків на сервісний рахунок, пов'язаних із CVE-2026-20833.
[Автентифікація] Це оновлення покращує використання Windows політик шифрування Kerberos під час автентифікації. Після інсталяції цього оновлення Windows читає налаштовані параметри політики належним чином, щоб забезпечити узгоджене застосування шифрування в домені.
[Bluetooth] Це оновлення покращує керування пристроями Bluetooth у настройках і швидких налаштуваннях, допомагаючи підключеним пристроям виглядати узгоджено та спрощуючи додавання до них і керування ними.
[графіка] Це оновлення покращує передачу кольору під час друку з класичних програм Win32.
[Мережа] Це оновлення покращує надійність, коли Windows використовує стискання SMB замість QUIC. Після інсталяції цього оновлення запити на стискання SMB над QUIC заповнюватимуться більш послідовно, зменшуючи ймовірність перевищення часу очікування та підтримуючи більш плавну та надійну роботу.
[PowerShell] У цьому оновленні вдосконалено процес імпорту значень переваг реєстру за допомогою командлета Set-GPPrefRegistryValue в PowerShell. Тепер командлет повністю зберігає кожне імпортоване значення включно з останнім символом.
[Віддалений робочий стіл] Це оновлення покращує захист від фішингових атак, пов'язаних із використанням файлів віддаленого робочого стола (.rdp). Під час відкриття файлу RDP віддалений робочий стіл відображає всі запитані настройки підключення перед підключенням, при цьому кожен параметр за замовчуванням вимкнуто. Одноразове попередження системи безпеки також відображається, коли ви вперше відкриваєте файл RDP на пристрої. Докладні відомості див. в статті "Докладні відомості про попередження системи безпеки під час відкриття файлів віддаленого робочого стола".
[Тексти та шрифти] Це оновлення покращує шрифти Windows, додаючи новий символ грошової одиниці саудівського ріяла. Ця зміна допомагає зберегти чіткий, точний текст і узгодити його в усіх програмах і службах Windows.
[Список заблокованих вразливих драйверів] У цьому оновленні впроваджено зміну посилення безпеки, яка додає відомі вразливі драйвери ядра до списку заблокованих вразливих драйверів Microsoft. Програми резервного копіювання, які використовують заблоковані драйвери, можуть не працювати під час спроби підключити образи дисків або керувати ними.
Ці програми, які використовують заблоковані драйвери, можуть відображати повідомлення про помилки, зокрема "Не вдалося виконати резервне копіювання, оскільки час очікування Microsoft VSS вичерпано під час створення знімка" або VSS_E_BAD_STATE. Користувачі, яких це стосується, мають оновити програму до новішої версії, яка використовує нові драйвери з необхідними засобами захисту. Докладні відомості див. в розділі Оновлення системи безпеки Windows за квітень 2026 р. Запроваджено захист для відомих вразливих драйверів ядра.[Служби розгортання Windows (WDS)] Це оновлення вимикає функцію "Розгортання без допомоги рук" за замовчуванням у WDS, і воно більше не підтримується. Докладні відомості про цю зміну див. в посібнику зі служб розгортання Hands-Free посилення розгортання, пов'язаному з CVE-2026-0386.
Якщо ви вже інсталювали попередні оновлення, пристрій завантажить та інсталює лише нові оновлення, що входять до цього пакета.
Докладні відомості про вразливості системи безпеки див. в Посібнику з оновлень системи безпеки та Оновлення безпеки за квітень 2026 р.
Оновлення стека обслуговування за Windows Server 2025 р. (KB5082062) – 26100.32692
Це оновлення підвищує якість стека обслуговування – компонента, який інсталює оновлення Windows. Оновлення стека обслуговування (SSU) забезпечує надійність і надійність вашого стека обслуговування, щоб ваші пристрої могли отримувати й інсталювати оновлення Microsoft. Докладні відомості про оновлення SSU див. в розділі "Спрощення локального розгортання оновлень стека обслуговування".
Відомі проблеми в цьому оновленні
Інсталяція цього оновлення може завершитися помилкою 0x800F0983 або 0x80073712
Ознака
На деяких пристроях може не вдалось інсталювати це оновлення з одним із таких повідомлень про помилку:
- "Помилка інсталяції – 0x800F0983"
- "Деякі файли оновлення відсутні або мають проблеми. Пізніше ми спробуємо завантажити оновлення ще раз. Код помилки: (0x80073712)"
Спосіб усунення проблеми
Цю проблему вирішено в позачерговому оновленні KB5091157.
Примітка.
На пристроях, зареєстрованих у службі Hotpatch Windows Server 2025, на які впливає ця проблема, можна інсталювати нестандартні оновлення KB5091157, щоб отримувати такий самий захист, що й оновлення системи безпеки за квітень (KB5082063). Проте інсталяція KB5091157 вимагає перезавантаження та призупинення hotpatching. Оновлення гарячих виправлень буде відновлено після оновлення базового плану за липень 2026 р.
Після інсталяції цього оновлення контролери домену можуть перезавантажуватися кілька разів
Ознака
Після інсталяції цього оновлення та перезапуску контролери доменів у середовищах із кількома доменами в лісі, у яких використовується керування привілейованим доступом (PAM), можуть аварійно завершувати роботу LSASS під час запуску. Як наслідок, відповідні контролери домену можуть неодноразово перезавантажуватися, перешкоджаючи роботі служб автентифікації та каталогів і потенційно роблячи домен недоступним.
Спосіб усунення проблеми
Цю проблему вирішено в позачерговому оновленні KB5091157.
Примітка.
Якщо ваш пристрій Windows Server 2025 зареєстровано для швидкого виправлення, інсталюйте оновлення для OOB KB5091470. Це оновлення OOB для швидкого виправлення випускається через Windows UpdateWindows Update і не потребує перезавантаження пристрою.
Пристрої з нерекомендованим BitLocker Group PolicyДля введення ключа відновлення BitLocker може знадобитися конфігурація Групова політика
Ознака
На деяких пристроях із некомендованою конфігурацією групової політики BitLocker, можливо, потрібно буде ввести ключ відновлення BitLocker під час першого перезавантаження після інсталяції цього оновлення.
Ця проблема виникає лише в обмеженій кількості систем, у яких виконуються ВСІ наведені нижче умови. Ці умови малоймовірні на особистих пристроях, якими не керує ІТ-відділ.
- BitLocker увімкнуто на диску ОС.
- Групову політику "Налаштувати профіль перевірки платформи модуля TPM для вбудованих конфігурацій мікропрограми UEFI" налаштовано і PCR7 включено до профілю перевірки (або еквівалентний розділ реєстру встановлено вручну).
- В інформації про систему (msinfo32.exe) зв’язування PCR7 для безпечного завантаження вказано як "Неможливе".
- Сертифікат Windows UEFI CA 2023 наявний у базі даних підписів безпечного завантаження пристрою, завдяки чому Диспетчер завантаження Windows із підписом 2023 року можна зробити стандартним на пристрої.
- На пристрої ще не використовується Диспетчер завантаження Windows із підписом 2023 року.
У цьому сценарії ключ відновлення BitLocker потрібно вводити лише один раз – подальші перезавантаження не запускатимуть екран відновлення BitLocker, доки конфігурація групової політики не зміниться. Відомості про пошук ключа відновлення BitLocker див. в статті " Пошук ключа відновлення BitLocker".
Підприємствам рекомендується перевірити, чи PCR7 явно включено до групової політики BitLocker, а також переконатися в наявності стану зв’язування PCR7 в msinfo32.exe, перш ніж інсталювати це оновлення. (Див. наведений нижче спосіб вирішення).
Тимчасове вирішення
Цю проблему вирішено в KB5094125. Після інсталяції KB5094125 на пристроях із несумісною конфігурацією групової політики не можна інсталювати диспетчер завантаження Windows із підписом 2023 року. Якщо це стосується вашого пристрою, під час інсталяції оновлень Windows у журналі подій системи відображатиметься подія з ідентифікатором 1032 : "Диспетчер завантаження оновлення безпечного завантаження (2023) не застосовано через відому несумісність із поточною конфігурацією BitLocker".
Якщо ви отримали ідентифікатор події 1032, корпорація Майкрософт наполегливо рекомендує видалити конфігурацію Групова політика перед інсталяцією оновлень, щоб ви могли інсталювати диспетчер завантаження Windows із підписом 2023 року та продовжувати отримувати найновіші захисти безпечного завантаження.
Видаліть Group PolicyГрупова політика конфігурації перед інсталяцією оновлення (рекомендовано)
- Відкрийте редактор групових політик (gpedit.msc) або консоль керування груповими політиками.
- Перейдіть до: Конфігурація > комп'ютера Адміністративні шаблони Компоненти >> Windows BitLocker Drive Encryption > Диски операційної системи.
- Установіть для параметра "Налаштувати профіль перевірки платформи TPM для вбудованих конфігурацій мікропрограми UEFI" значення "Не налаштовано".
- Щоб поширити зміну політики, виконайте таку команду на відповідних пристроях: gpupdate /force
- Виконайте таку команду, щоб призупинити BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -disable C:
- Виконайте таку команду, щоб відновити роботу BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -enable C:
- Це оновлює прив'язки BitLocker для використання вибраного Windows стандартного профілю PCR.
Якщо ви не хочете вилучати цю конфігурацію Групова політика, ви можете інсталювати новий диспетчер завантаження Windows, тимчасово призупинивши BitLocker та інсталювавши оновлення безпечного завантаження. Ось як це зробити:
- Виконайте таку команду, щоб призупинити BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -disable C:
- Виконайте таку команду: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
- Перезавантажте пристрій.
- Після успішного встановлення нового диспетчера завантаження Windows увімкніть BitLocker, виконавши команду: manage-bde -protectors -enable C:
служби Windows Server Update Services (WSUS) не відображає відомості про помилку
Після інсталяції KB5070881 або пізніших оновлень служби Windows Server Update Services (WSUS) не відображають відомості про помилку синхронізації у звітах про помилки. Цю функцію тимчасово вилучено для усунення вразливості віддаленого виконання коду, CVE-2025-59287.
Попередження, пов'язані з віддаленим робочим столом, можуть відображатися неправильно
Ознаки захворювання
Після інсталяції цього оновлення попередження системи безпеки , яке з'являється під час відкриття файлів віддаленого робочого стола (RDP), може в деяких випадках відображатися неправильно.
Ця проблема може виникнути, якщо ви використовуєте кілька моніторів із різними настройками масштабування дисплея (наприклад, один дисплей має значення 100%, а інший – 125%). У такому разі у вікні попередження може відображатися текст, який перекривається, або частково приховані кнопки, що може ускладнити читання повідомлення або взаємодію з ним.
Тимчасове вирішення
Цю проблему вирішено в KB5087539.
Отримання оновлення
Перш ніж інсталювати це оновлення
Корпорація Майкрософт поєднує останнє оновлення стека обслуговування (SSU) для вашої операційної системи з останнім сукупним пакетом оновлень (LCU). Загальні відомості див. в статті " Оновлення стека обслуговування".
Інсталювати це оновлення
Щоб інсталювати це оновлення, скористайтеся одним із наведених нижче каналів випуску Windows і Microsoft.
| Доступно | Наступний крок | |
|---|---|---|
|
Це оновлення автоматично завантажується й інсталюється з Windows Update та Microsoft Update. |
Примітка.
- Якщо ви хочете видалити це оновлення
- Застереження: Перш ніж прийняти рішення про видалення цього оновлення, ознайомтеся з розділом "Основні відомості про ризики: чому не слід видаляти оновлення системи безпеки".
- Щоб видалити LCU після встановлення об'єднаного пакета SSU та LCU, скористайтеся параметром командного рядка DISM/Remove-Package з іменем пакета LCU як аргументом. Назву пакунка можна знайти за допомогою такої команди: DISM /online /get-packages.
- Windows Update Запуск автономного інсталятора (wusa.exe) з перемикачем /uninstall в об'єднаному пакеті не працюватиме, оскільки об'єднаний пакет містить SSU. Вилучити SSU із системи після інсталяції не можна.
Відомості про файли
Щоб отримати список файлів, які містяться в цьому оновленні, завантажте відомості про файл для сукупного пакета оновлень 5082063.
Щоб отримати список файлів, які містить оновлення стека обслуговування, завантажте відомості про файл для SSU (KB5082062) – версія 26100.32692.