Ngày 19 tháng 4 năm 2026—KB5091157 (HĐH Bản dựng 26100.32698)

Dấu hiệu

Một số thiết bị có cấu hình chính sách nhóm BitLocker không được yêu cầu có thể phải nhập khóa khôi phục BitLocker vào lần khởi động lại đầu tiên sau khi cài đặt bản cập nhật này.

Sự cố này chỉ ảnh hưởng đến một số hệ thống giới hạn trong đó TẤT CẢ các điều kiện sau đều đúng. Các điều kiện này khó có thể tìm thấy trên thiết bị cá nhân không được quản lý bởi bộ phận CNTT.

1. BitLocker được bật trên ổ đĩa HĐH.

2. Cấu hình chính sách nhóm "Cấu hình cấu hình xác thực nền tảng TPM cho cấu hình vi chương trình UEFI gốc" được đặt cấu hình và PCR7 được bao gồm trong cấu hình xác thực (hoặc khóa đăng ký tương đương được đặt theo cách thủ công).

3. Thông tin Hệ thống (msinfo32.exe) báo cáo Ràng buộc An toàn của Trạng thái Khởi động PCR7 là "Không thể".

4. Chứng chỉ Windows UEFI CA 2023 có trong Cơ sở dữ liệu Chữ ký Khởi động An toàn (DB) của thiết bị, làm cho thiết bị đủ điều kiện để được đặt làm Trình quản lý Khởi động Windows được ký năm 2023.

5. Thiết bị chưa chạy Windows Boot Manager đã ký năm 2023.

Trong trường hợp này, chỉ cần nhập khóa khôi phục BitLocker một lần -- các lần khởi động lại sau đó sẽ không kích hoạt màn hình phục hồi BitLocker, miễn là cấu hình chính sách nhóm vẫn không thay đổi. Để được trợ giúp tìm khóa khôi phục BitLocker, hãy xem bài viết Tìm khóa khôi phục BitLocker của bạn.

Các doanh nghiệp được khuyến nghị kiểm tra chính sách nhóm BitLocker để đưa PCR7 rõ ràng vào và kiểm tra xem msinfo32.exe trạng thái ràng buộc PCR7 của họ trước khi cài đặt bản cập nhật này. (Xem Tùy chọn 1 bên dưới.)

Giải pháp thay thế 

Tùy chọn 1: Xóa cấu hình chính sách nhóm trước khi cài đặt bản cập nhật (Được đề xuất) 

1. Mở Trình chính sách nhóm (gpedit.msc) hoặc Bảng điều khiển Quản chính sách nhóm của bạn.

2. Dẫn hướng đến: Cấu hình Máy tính > quản > cấu phần Windows > mã hóa ổ đĩa BitLocker > hệ điều hành.

3. Đặt "Cấu hình cấu hình cấu hình xác thực nền tảng TPM cho cấu hình vi chương trình UEFI gốc" thành "Không được Đặt cấu hình".

4. Chạy lệnh sau trên các thiết bị bị ảnh hưởng để truyền thay đổi chính sách: gpupdate /force

5. Chạy lệnh sau để tạm ngừng BitLocker (trong đó BitLocker được bật trên ổ đĩa C: ): manage-bde -protectors -disable C:

6. Chạy lệnh sau để tiếp tục BitLocker (trong đó BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -enable C:

7. Thao tác này sẽ cập nhật các ràng buộc BitLocker để sử dụng cấu hình PCR mặc định do Windows chọn.

Tùy chọn 2: Áp dụng Quay lui Sự cố Đã biết (KIR) trước khi cài đặt bản cập nhật

Tính năng Quay lui Sự cố Đã biết (KIR) khả dụng cho những khách hàng không thể xóa chính sách nhóm PCR7 trước khi triển khai bản cập nhật này. KIR ngăn chặn tự động chuyển sang Trình quản lý Khởi động 2023, tránh trình kích hoạt khôi phục BitLocker. KIR sẽ được triển khai trước khi cài đặt bản cập nhật trên các thiết bị bị ảnh hưởng. Liên hệ với Bộ phận Hỗ trợ của Microsoft dành cho doanh nghiệp để nhận KIR này.

Chúng tôi sẽ lên kế hoạch khắc phục vĩnh viễn sự cố này trong bản cập nhật Windows trong tương lai. Thông tin thêm sẽ được cung cấp khi có sẵn.

Sau khi cài đặt KB5070881 hoặc các bản cập nhật mới hơn, Windows Server Update Services (WSUS) không hiển thị chi tiết lỗi đồng bộ trong báo cáo lỗi. Chức năng này tạm thời bị loại bỏ để khắc phục Lỗ hổng thực thi mã từ xa, CVE-2025-59287.