19 квітня 2026 р. – KB5091157 (збірка ОС 26100.32698), позапланове оновлення

Ознака

На деяких пристроях із некомендованою конфігурацією групової політики BitLocker, можливо, потрібно буде ввести ключ відновлення BitLocker під час першого перезавантаження після інсталяції цього оновлення.

Ця проблема виникає лише в обмеженій кількості систем, у яких виконуються ВСІ наведені нижче умови. Ці умови малоймовірні на особистих пристроях, якими не керує ІТ-відділ.

1. BitLocker увімкнуто на диску ОС.
2. Групову політику "Налаштувати профіль перевірки платформи модуля TPM для вбудованих конфігурацій мікропрограми UEFI" налаштовано і PCR7 включено до профілю перевірки (або еквівалентний розділ реєстру встановлено вручну).
3. В інформації про систему (msinfo32.exe) зв’язування PCR7 для безпечного завантаження вказано як "Неможливе".
4. Сертифікат Windows UEFI CA 2023 наявний у базі даних підписів безпечного завантаження пристрою, завдяки чому Диспетчер завантаження Windows із підписом 2023 року можна зробити стандартним на пристрої.
5. На пристрої ще не використовується Диспетчер завантаження Windows із підписом 2023 року.

У цьому сценарії ключ відновлення BitLocker потрібно вводити лише один раз – подальші перезавантаження не запускатимуть екран відновлення BitLocker, доки конфігурація групової політики не зміниться. Відомості про пошук ключа відновлення BitLocker див. в статті " Пошук ключа відновлення BitLocker".

Підприємствам рекомендується перевірити, чи PCR7 явно включено до групової політики BitLocker, а також переконатися в наявності стану зв’язування PCR7 в msinfo32.exe, перш ніж інсталювати це оновлення. (Див. варіант 1 нижче).

Тимчасове вирішення

Цю проблему вирішено в KB5094125. Після інсталяції KB5094125 на пристроях із несумісною конфігурацією групової політики не можна інсталювати диспетчер завантаження Windows із підписом 2023 року. Якщо це стосується вашого пристрою, під час інсталяції оновлень Windows у журналі подій системи відображатиметься подія з ідентифікатором 1032 : "Диспетчер завантаження оновлення безпечного завантаження (2023) не застосовано через відому несумісність із поточною конфігурацією BitLocker".

Якщо ви отримали ідентифікатор події 1032, корпорація Майкрософт наполегливо рекомендує видалити конфігурацію Групова політика перед інсталяцією оновлень, щоб ви могли інсталювати диспетчер завантаження Windows із підписом 2023 року та продовжувати отримувати найновіші захисти безпечного завантаження.

Видаліть Group PolicyГрупова політика конфігурації перед інсталяцією оновлення (рекомендовано)

1. Відкрийте редактор групових політик (gpedit.msc) або консоль керування груповими політиками.
2. Перейдіть до: Конфігурація > комп'ютера Адміністративні шаблони Компоненти >> Windows BitLocker Drive Encryption > Диски операційної системи.
3. Установіть для параметра "Налаштувати профіль перевірки платформи TPM для вбудованих конфігурацій мікропрограми UEFI" значення "Не налаштовано".
4. Щоб поширити зміну політики, виконайте таку команду на відповідних пристроях: gpupdate /force
5. Виконайте таку команду, щоб призупинити BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -disable C:
6. Виконайте таку команду, щоб відновити роботу BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -enable C:
7. Це оновлює прив'язки BitLocker для використання вибраного Windows стандартного профілю PCR.

Якщо ви не хочете вилучати цю конфігурацію Групова політика, ви можете інсталювати новий диспетчер завантаження Windows, тимчасово призупинивши BitLocker та інсталювавши оновлення безпечного завантаження. Ось як це зробити:

1. Виконайте таку команду, щоб призупинити BitLocker (якщо BitLocker увімкнуто на диску C:): manage-bde -protectors -disable C:
2. Виконайте таку команду: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Перезавантажте пристрій.
4. Після успішного встановлення нового диспетчера завантаження Windows увімкніть BitLocker, виконавши команду: manage-bde -protectors -enable C:

Після інсталяції KB5070881 або пізніших оновлень служби Windows Server Update Services (WSUS) не відображають відомості про помилку синхронізації у звітах про помилки. Цю функцію тимчасово вилучено для усунення вразливості віддаленого виконання коду, CVE-2025-59287.

Ознаки захворювання

Після інсталяції цього оновлення попередження системи безпеки , яке з'являється під час відкриття файлів віддаленого робочого стола (RDP), може в деяких випадках відображатися неправильно.

Ця проблема може виникнути, якщо ви використовуєте кілька моніторів із різними настройками масштабування дисплея (наприклад, один дисплей має значення 100%, а інший – 125%). У такому разі у вікні попередження може відображатися текст, який перекривається, або частково приховані кнопки, що може ускладнити читання повідомлення або взаємодію з ним.

Тимчасове вирішення

Цю проблему вирішено в KB5087539.