2026 年 4 月 19 日 — KB5091157 (OS 内部版本 26100.32698) 带外

改进

此带外更新包含 2026 年 4 月 14 日发布的 KB5082063 () 的质量改进。以下摘要概述了此带外更新解决的关键问题。括号中的粗体文本指示更改的项目或区域。

[域控制器 (已知问题) ] 已修复：在安装 2026 年 4 月 14 日之后，Windows 安全更新 (KB5082063) 并重启，使用 Privileged Access Management (PAM)的多域林的域控制器可能会遇到启动问题。在某些情况下，本地安全机构子系统服务 (LSASS) 可能会停止响应，导致重复重启，并阻止身份验证和目录服务，这可能会使域不可用。
[Windows 更新安装] 已修复：少量Windows Server 2025 设备可能无法安装 2026 年 4 月 14 日 Windows 安全更新 (KB5082063)。发生此问题时，受影响的设备可能会显示以下错误消息之一：“安装错误：0x800F0983”或“某些更新文件丢失或出现问题。稍后我们将尝试再次下载更新。错误代码：0x80073712。”

如果安装了早期更新，则设备仅下载并安装此包中包含的新更新。

注意受KB5082063安装问题影响的热补丁更新注册Windows Server 2025 设备可以安装此 OOB 更新，实现相同的保护。但是，这样做需要重启，热补丁更新在 2026 年 7 月基线更新之前不会恢复。

此更新对服务堆栈进行了质量改进，服务堆栈是安装 Windows 更新的组件。服务堆栈更新 (SSU) 可确保你拥有强大且可靠的服务堆栈，让你的设备可以接收和安装 Microsoft 更新。若要详细了解 SU，请参阅简化服务堆栈更新的本地部署。

症状

安装此更新后，某些配置了未推荐的 BitLocker 组策略的设备可能需要在首次重启时输入其 BitLocker 恢复密钥。

此问题仅影响有限数量的系统，其中所有以下条件都为 true。在不受 IT 部门管理的个人设备上不太可能发现这些情况。

在 OS 驱动器上启用了 BitLocker。
配置组策略“为本机 UEFI 固件配置配置 TPM 平台验证配置文件”，并且 PCR7 包含在验证配置文件 (或手动设置等效的注册表项) 。
系统信息 (msinfo32.exe) 将安全启动状态 PCR7 绑定报告为“不可能”。
设备的安全启动签名数据库 (DB) 中存在 Windows UEFI CA 2023 证书，使设备有资格将 2023 年签名的 Windows 启动管理器设置为默认启动管理器。
设备尚未运行 2023 年签名的 Windows 启动管理器。

在此方案中，BitLocker 恢复密钥只需输入一次 -- 只要组策略配置保持不变，后续重启将不会触发 BitLocker 恢复屏幕。有关查找 BitLocker 恢复密钥的帮助，请参阅查找 BitLocker 恢复密钥一文。

建议企业审核其 BitLocker 组策略以明确包含 PCR7，并在安装此更新之前检查 msinfo32.exe其 PCR7 绑定状态。 (请参阅下面的选项 1。)

解决方法

选项 1：在安装更新之前删除组策略配置 (推荐)

打开组策略编辑器 (gpedit.msc) 或组策略管理控制台。
导航到： 计算机配置 > 管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。
将“为本机 UEFI 固件配置配置 TPM 平台验证配置文件”设置为“未配置”。
在受影响的设备上运行以下命令以传播策略更改： gpupdate /force
运行以下命令，暂停在 C：驱动器上启用了 BitLocker 的 BitLocker () ： manage-bde -protectors -disable C：
运行以下命令以恢复 BitLocker (，其中在 C：驱动器上启用了 BitLocker) ： manage-bde -protectors -enable C：
这会更新 BitLocker 绑定以使用 Windows 选择的默认 PCR 配置文件。