Ngày 12 tháng 5 năm 2026 – KB5087544 (Bản dựng HĐH 19045.7291 và 19044.7291)

[Cảnh báo bảo mật Máy tính Từ xa (sự cố đã biết)] Đã khắc phục: Hộp thoại cảnh báo bảo mật Kết nối máy tính từ xa có thể hiển thị không chính xác trong cấu hình đa màn hình với các cài đặt chia tỷ lệ hiển thị khác nhau. Sự cố này có thể xảy ra sau khi cài đặt bản cập nhật bảo mật Windows được phát hành vào ngày 14 tháng 4 năm 2026 (KB5082200).

[Khởi động an toàn]

• Bản cập nhật này cho phép báo cáo trạng thái động cho trạng thái Khởi động an toàn trong Ứng dụng Bảo mật Windows.
• Với bản cập nhật này, các bản cập nhật chất lượng Windows bao gồm thêm dữ liệu nhắm mục tiêu thiết bị với độ tin cậy cao, tăng phạm vi phủ sóng của các thiết bị đủ điều kiện tự động nhận chứng chỉ Khởi động an toàn mới. Các thiết bị chỉ nhận được các chứng chỉ mới sau khi chứng minh đủ tín hiệu cập nhật thành công, duy trì việc triển khai có kiểm soát và theo giai đoạn.
• Bản cập nhật này thêm một thư mục mới SecureBoot trong mục C:\Windows trên các thiết bị đủ điều kiện. Thư mục này chứa các tập lệnh ví dụ dành cho các tổ chức có chuyên gia CNTT tích cực quản lý các bản cập nhật trên nhóm thiết bị của họ. Các tập lệnh này có thể được sử dụng để phát hiện trạng thái cập nhật chứng chỉ Khởi động an toàn và tự động triển khai thông qua cơ chế triển khai an toàn trong môi trường Active Directory. Để biết thêm thông tin, hãy xem Mẫu Hướng dẫn Tự động hóa Khởi động An toàn E2E.

[Thời gian tiết kiệm ánh sáng ban ngày] Bản cập nhật cho Cộng hòa Ả Rập Ai Cập để hỗ trợ lệnh thay đổi DST của chính phủ vào năm 2023.

Các thiết bị có cấu hình chính sách nhóm BitLocker không được đề xuất có thể được yêu cầu nhập khóa khôi phục BitLocker

Triệu chứng

Một số thiết bị có cấu hình Chính sách Nhóm BitLocker không được khuyến nghị có thể yêu cầu nhập khóa khôi phục BitLocker trong lần khởi động lại đầu tiên sau khi cài đặt bản cập nhật này.

Sự cố này chỉ ảnh hưởng đến một số lượng hạn chế các hệ thống đáp ứng ĐẦY ĐỦ các điều kiện sau đây. Những điều kiện này khó có thể tìm thấy trên các thiết bị cá nhân không do bộ phận CNTT quản lý.

1. BitLocker đã được bật trên ổ đĩa hệ điều hành.
2. Chính sách nhóm "Cấu hình hồ sơ xác thực nền tảng TPM cho cấu hình phần mềm UEFI gốc" đã được thiết lập và PCR7 được bao gồm trong hồ sơ xác thực (hoặc khóa đăng ký tương đương được thiết lập thủ công).
3. Thông tin hệ thống (msinfo32.exe) báo cáo Trạng thái Khởi động An toàn PCR7 Binding là "Không thể".
4. Chứng chỉ Windows UEFI CA 2023 có trong Cơ sở dữ liệu chữ ký khởi động an toàn (DB) của thiết bị, cho phép thiết bị sử dụng Trình quản lý khởi động Windows được ký năm 2023 làm mặc định.
5. Thiết bị này hiện chưa chạy Trình quản lý khởi động Windows được ký số năm 2023.

Trong trường hợp này, chỉ cần nhập khóa khôi phục BitLocker một lần duy nhất -- các lần khởi động lại sau đó sẽ không kích hoạt màn hình khôi phục BitLocker, miễn là cấu hình chính sách nhóm không thay đổi. Để được trợ giúp tìm khóa khôi phục BitLocker của bạn, hãy xem bài viết Tìm khóa khôi phục BitLocker của bạn.

Các doanh nghiệp nên kiểm tra lại chính sách nhóm BitLocker của mình để đảm bảo bao gồm PCR7 một cách rõ ràng và kiểm tra trạng thái liên kết PCR7 của msinfo32.exe trước khi cài đặt bản cập nhật này.

Giải pháp

Sự cố này được giải quyết trong KB5094127. Sau khi cài đặt bản cập nhật, các thiết bị có cấu hình chính sách nhóm không tương thích này sẽ bị ngăn cài đặt Windows Boot Manager được ký năm 2023. Nếu thiết bị của bạn bị ảnh hưởng, ID sự kiện 1032 sẽ xuất hiện trong Nhật ký sự kiện hệ thống khi cài đặt các bản cập nhật Windows: "Bản cập nhật Khởi động an toàn Trình quản lý khởi động (2023) không được áp dụng do không tương thích với cấu hình BitLocker hiện tại". Nếu bạn nhận được ID sự kiện 1032, Microsoft khuyên bạn nên loại bỏ cấu hình chính sách nhóm trước khi cài đặt bản cập nhật để bạn có thể cài đặt Trình quản lý khởi động Windows được ký năm 2023 và tiếp tục nhận được các biện pháp bảo vệ Khởi động an toàn mới nhất.

Xóa cấu hình chính sách nhóm trước khi cài đặt bản cập nhật (Được đề xuất)

1. Mở Trình chỉnh sửa Chính sách Nhóm (gpedit.msc) hoặc Bảng điều khiển Quản lý Chính sách Nhóm của bạn.
2. Chuyển hướng đến: Cấu hình> Máy tính,Mẫu Quản> trị,Cấu phần> Windows,Mật mã hóa> Ổ đĩa BitLocker,Ổ đĩa Hệ Điều hành.
3. Đặt cấu hình xác thực nền tảng TPM cho cấu hình phần mềm cơ sở UEFI gốc thành Không được định cấu hình.
4. Chạy lệnh sau trên các thiết bị bị ảnh hưởng để phổ biến thay đổi chính sách: gpupdate /force
5. Chạy lệnh sau để tạm ngừng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -disable C:
6. Chạy lệnh sau đây để tiếp tục sử dụng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -enable C:
7. Thao tác này sẽ cập nhật các liên kết BitLocker để sử dụng cấu hình PCR mặc định được chọn trong Windows.

Nếu bạn không muốn loại bỏ cấu hình Chính sách nhóm này, bạn có thể cài đặt Trình quản lý khởi động Windows mới bằng cách tạm dừng BitLocker và cài đặt bản cập nhật Khởi động an toàn. Cách thực hiện:

1. Chạy lệnh sau để tạm ngừng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -disable C
2. Chạy lệnh sau: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Khởi động lại thiết bị.
4. Sau khi cài đặt thành công Trình quản lý khởi động Windows mới, hãy kích hoạt BitLocker bằng cách chạy lệnh: manage-bde -protectors -enable C:

[Cảnh báo bảo mật Máy tính Từ xa (sự cố đã biết)] Đã khắc phục: Hộp thoại cảnh báo bảo mật Kết nối máy tính từ xa có thể hiển thị không chính xác trong cấu hình đa màn hình với các cài đặt chia tỷ lệ hiển thị khác nhau. Sự cố này có thể xảy ra sau khi cài đặt bản cập nhật bảo mật Windows được phát hành vào ngày 14 tháng 4 năm 2026 (KB5082200).

[Khởi động an toàn]

• Bản cập nhật này cho phép báo cáo trạng thái động cho trạng thái Khởi động an toàn trong Ứng dụng Bảo mật Windows.
• Với bản cập nhật này, các bản cập nhật chất lượng Windows bao gồm thêm dữ liệu nhắm mục tiêu thiết bị với độ tin cậy cao, tăng phạm vi phủ sóng của các thiết bị đủ điều kiện tự động nhận chứng chỉ Khởi động an toàn mới. Các thiết bị chỉ nhận được các chứng chỉ mới sau khi chứng minh đủ tín hiệu cập nhật thành công, duy trì việc triển khai có kiểm soát và theo giai đoạn.
• Bản cập nhật này thêm một thư mục mới SecureBoot trong mục C:\Windows trên các thiết bị đủ điều kiện. Thư mục này chứa các tập lệnh ví dụ dành cho các tổ chức có chuyên gia CNTT tích cực quản lý các bản cập nhật trên nhóm thiết bị của họ. Các tập lệnh này có thể được sử dụng để phát hiện trạng thái cập nhật chứng chỉ Khởi động an toàn và tự động triển khai thông qua cơ chế triển khai an toàn trong môi trường Active Directory. Để biết thêm thông tin, hãy xem Mẫu Hướng dẫn Tự động hóa Khởi động An toàn E2E.

[Thời gian tiết kiệm ánh sáng ban ngày] Bản cập nhật cho Cộng hòa Ả Rập Ai Cập để hỗ trợ lệnh thay đổi DST của chính phủ vào năm 2023.

Các thiết bị có cấu hình chính sách nhóm BitLocker không được đề xuất có thể được yêu cầu nhập khóa khôi phục BitLocker

Triệu chứng

Một số thiết bị có cấu hình Chính sách Nhóm BitLocker không được khuyến nghị có thể yêu cầu nhập khóa khôi phục BitLocker trong lần khởi động lại đầu tiên sau khi cài đặt bản cập nhật này.

Sự cố này chỉ ảnh hưởng đến một số lượng hạn chế các hệ thống đáp ứng ĐẦY ĐỦ các điều kiện sau đây. Những điều kiện này khó có thể tìm thấy trên các thiết bị cá nhân không do bộ phận CNTT quản lý.

1. BitLocker đã được bật trên ổ đĩa hệ điều hành.
2. Chính sách nhóm "Cấu hình hồ sơ xác thực nền tảng TPM cho cấu hình phần mềm UEFI gốc" đã được thiết lập và PCR7 được bao gồm trong hồ sơ xác thực (hoặc khóa đăng ký tương đương được thiết lập thủ công).
3. Thông tin hệ thống (msinfo32.exe) báo cáo Trạng thái Khởi động An toàn PCR7 Binding là "Không thể".
4. Chứng chỉ Windows UEFI CA 2023 có trong Cơ sở dữ liệu chữ ký khởi động an toàn (DB) của thiết bị, cho phép thiết bị sử dụng Trình quản lý khởi động Windows được ký năm 2023 làm mặc định.
5. Thiết bị này hiện chưa chạy Trình quản lý khởi động Windows được ký số năm 2023.

Trong trường hợp này, chỉ cần nhập khóa khôi phục BitLocker một lần duy nhất -- các lần khởi động lại sau đó sẽ không kích hoạt màn hình khôi phục BitLocker, miễn là cấu hình chính sách nhóm không thay đổi. Để được trợ giúp tìm khóa khôi phục BitLocker của bạn, hãy xem bài viết Tìm khóa khôi phục BitLocker của bạn.

Các doanh nghiệp nên kiểm tra lại chính sách nhóm BitLocker của mình để đảm bảo bao gồm PCR7 một cách rõ ràng và kiểm tra trạng thái liên kết PCR7 của msinfo32.exe trước khi cài đặt bản cập nhật này.

Giải pháp

Sự cố này được giải quyết trong KB5094127. Sau khi cài đặt bản cập nhật, các thiết bị có cấu hình chính sách nhóm không tương thích này sẽ bị ngăn cài đặt Windows Boot Manager được ký năm 2023. Nếu thiết bị của bạn bị ảnh hưởng, ID sự kiện 1032 sẽ xuất hiện trong Nhật ký sự kiện hệ thống khi cài đặt các bản cập nhật Windows: "Bản cập nhật Khởi động an toàn Trình quản lý khởi động (2023) không được áp dụng do không tương thích với cấu hình BitLocker hiện tại". Nếu bạn nhận được ID sự kiện 1032, Microsoft khuyên bạn nên loại bỏ cấu hình chính sách nhóm trước khi cài đặt bản cập nhật để bạn có thể cài đặt Trình quản lý khởi động Windows được ký năm 2023 và tiếp tục nhận được các biện pháp bảo vệ Khởi động an toàn mới nhất.

Xóa cấu hình chính sách nhóm trước khi cài đặt bản cập nhật (Được đề xuất)

1. Mở Trình chỉnh sửa Chính sách Nhóm (gpedit.msc) hoặc Bảng điều khiển Quản lý Chính sách Nhóm của bạn.
2. Chuyển hướng đến: Cấu hình> Máy tính,Mẫu Quản> trị,Cấu phần> Windows,Mật mã hóa> Ổ đĩa BitLocker,Ổ đĩa Hệ Điều hành.
3. Đặt cấu hình xác thực nền tảng TPM cho cấu hình phần mềm cơ sở UEFI gốc thành Không được định cấu hình.
4. Chạy lệnh sau trên các thiết bị bị ảnh hưởng để phổ biến thay đổi chính sách: gpupdate /force
5. Chạy lệnh sau để tạm ngừng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -disable C:
6. Chạy lệnh sau đây để tiếp tục sử dụng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -enable C:
7. Thao tác này sẽ cập nhật các liên kết BitLocker để sử dụng cấu hình PCR mặc định được chọn trong Windows.

Nếu bạn không muốn loại bỏ cấu hình Chính sách nhóm này, bạn có thể cài đặt Trình quản lý khởi động Windows mới bằng cách tạm dừng BitLocker và cài đặt bản cập nhật Khởi động an toàn. Cách thực hiện:

1. Chạy lệnh sau để tạm ngừng BitLocker (nếu BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -disable C
2. Chạy lệnh sau: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Khởi động lại thiết bị.
4. Sau khi cài đặt thành công Trình quản lý khởi động Windows mới, hãy kích hoạt BitLocker bằng cách chạy lệnh: manage-bde -protectors -enable C: