Ngày 19 tháng 4 năm 2026—KB5091575 (Bản dựng HĐH 20348.5024) Ngoài băng tần

Thay đổi ngày	Thay đổi mô tả
Ngày 21 tháng 4 năm 2026	Sự cố đã biết đã thêm: "Thiết bị có cấu hình chính sách nhóm BitLocker không được yêu cầu có thể phải nhập khóa khôi phục BitLocker"

Dấu hiệu

Một số thiết bị có cấu hình chính sách nhóm BitLocker không được yêu cầu có thể phải nhập khóa khôi phục BitLocker vào lần khởi động lại đầu tiên sau khi cài đặt bản cập nhật này.

Sự cố này chỉ ảnh hưởng đến một số hệ thống giới hạn trong đó TẤT CẢ các điều kiện sau đều đúng. Các điều kiện này khó có thể tìm thấy trên thiết bị cá nhân không được quản lý bởi bộ phận CNTT.

1. BitLocker được bật trên ổ đĩa HĐH.

2. Cấu hình chính sách nhóm "Cấu hình cấu hình xác thực nền tảng TPM cho cấu hình vi chương trình UEFI gốc" được đặt cấu hình và PCR7 được bao gồm trong cấu hình xác thực (hoặc khóa đăng ký tương đương được đặt theo cách thủ công).

3. Thông tin Hệ thống (msinfo32.exe) báo cáo Ràng buộc An toàn của Trạng thái Khởi động PCR7 là "Không thể".

4. Chứng chỉ Windows UEFI CA 2023 có trong Cơ sở dữ liệu Chữ ký Khởi động An toàn (DB) của thiết bị, làm cho thiết bị đủ điều kiện để được đặt làm Trình quản lý Khởi động Windows được ký năm 2023.

5. Thiết bị chưa chạy Windows Boot Manager đã ký năm 2023.

Trong trường hợp này, chỉ cần nhập khóa khôi phục BitLocker một lần -- các lần khởi động lại sau đó sẽ không kích hoạt màn hình phục hồi BitLocker, miễn là cấu hình chính sách nhóm vẫn không thay đổi. Để được trợ giúp tìm khóa khôi phục BitLocker, hãy xem bài viết Tìm khóa khôi phục BitLocker của bạn.

Các doanh nghiệp được khuyến nghị kiểm tra chính sách nhóm BitLocker để đưa PCR7 rõ ràng vào và kiểm tra xem msinfo32.exe trạng thái ràng buộc PCR7 của họ trước khi cài đặt bản cập nhật này. (Xem Giải pháp thay thế bên dưới.)

Giải pháp thay thế 

Xóa cấu hình chính sách nhóm trước khi cài đặt bản cập nhật (Được đề xuất) 

1. Mở Trình chính sách nhóm (gpedit.msc) hoặc Bảng điều khiển Quản chính sách nhóm của bạn.

2. Dẫn hướng đến: Cấu hình Máy tính > quản > cấu phần Windows > mã hóa ổ đĩa BitLocker > hệ điều hành.

3. Đặt "Cấu hình cấu hình cấu hình xác thực nền tảng TPM cho cấu hình vi chương trình UEFI gốc" thành "Không được Đặt cấu hình".

4. Chạy lệnh sau trên các thiết bị bị ảnh hưởng để truyền thay đổi chính sách: gpupdate /force

5. Chạy lệnh sau để tạm ngừng BitLocker (trong đó BitLocker được bật trên ổ đĩa C: ): manage-bde -protectors -disable C:

6. Chạy lệnh sau để tiếp tục BitLocker (trong đó BitLocker được bật trên ổ đĩa C:): manage-bde -protectors -enable C:

7. Thao tác này sẽ cập nhật các ràng buộc BitLocker để sử dụng cấu hình PCR mặc định do Windows chọn.

Bước tiếp theo

Chúng tôi sẽ lên kế hoạch khắc phục vĩnh viễn sự cố này trong bản cập nhật Windows trong tương lai. Thông tin thêm sẽ được cung cấp khi có sẵn.

Sau khi cài đặt KB5070884 hoặc các bản cập nhật mới hơn, Windows Server Update Services (WSUS) không hiển thị chi tiết lỗi đồng bộ trong báo cáo lỗi. Chức năng này tạm thời bị loại bỏ để khắc phục Lỗ hổng thực thi mã từ xa, CVE-2025-59287.