2026 年 4 月 14 日—KB5082200 (OS 版本 19045.7184 與 19044.7184)

Windows 安全開機憑證到期

重要： 大部分 Windows 裝置使用的安全開機憑證設定為從 2026 年 6 月開始到期。如果未及時更新，這可能會影響某些個人和商務裝置安全開機的能力。為避免中斷，建議您檢閱指導方針，並採取行動事先更新憑證。

如需 Windows 裝置的詳細資料和準備步驟，請參閱 Windows 安全開機憑證到期和 CA 更新

如需 Windows 伺服器的詳細資料與準備步驟，請參閱以下資源：

變更日期	變更描述
2026 年 4 月 14 日	新增已知問題：「未建議使用 BitLocker 群組原則設定的裝置可能需要輸入其 BitLocker 恢復金鑰」

摘要

本文列出本次安全更新中包含的安全議題與品質改進。

適用於： Windows 10 ESU

重要: 使用 EKB KB5015684 更新到 Windows 10，版本 22H2。

本次安全更新包含以下更新中的修正與品質改進：

以下是安裝此更新後所解決的問題摘要。如果有新功能，也會列出來。括號內的粗體字表示我們正在記錄的變更項目或區域。

[登入] 已修正：在 2026 年 3 月 10 日或之後安裝 Windows 更新後，部分使用者可能會遇到使用 Microsoft 帳號登入應用程式時的問題。即使裝置有正常的網路連線，登入時仍會出現「無網路」錯誤，阻止存取 Microsoft 服務和應用程式，例如 Microsoft Teams。
[遠端桌面] 此更新強化了對利用遠端桌面 (.rdp) 檔案的釣魚攻擊的防護。當你打開 .rdp 檔案時，遠端桌面會在連接前顯示所有要求的連線設定，且預設每個設定都關閉。首次在裝置上開啟 .rdp 檔案時，也會顯示一次性安全警告。欲了解更多資訊，請參閱「在 RDP) 檔案中開啟遠端桌面時 (安全警告。
[安全啟動]
- 此更新可於Windows 安全性應用程式 (設定中動態回報安全開機狀態 > & 安全 > Windows 安全性) 。透過徽章與通知了解更多狀態提醒資訊。請注意，這些增強功能在商業裝置和伺服器上預設是被關閉的。
- 此更新修正了裝置在安全開機更新後可能進入 BitLocker 復原的問題。
- 透過此更新，Windows 品質更新包含更多高信心度裝置目標資料，擴大有資格自動獲得新安全開機憑證的裝置覆蓋範圍。裝置只有在展現足夠成功的更新訊號並維持受控且分階段的部署後，才會收到新憑證。

如果你安裝了較早的更新，只有這個套件中包含的新更新會被下載並安裝到你的裝置上。

欲了解更多安全漏洞資訊，請參閱新版安全更新指南網站及2026年4月安全匯報。

關於 Windows 更新術語的資訊，請參閱關於 Windows 更新類型及每月品質更新類型的文章。關於 Windows 10 版本 22H2 的概述，請參閱其更新歷史頁面。

注意事項 請追蹤 @WindowsUpdate 以了解新內容何時發佈到 Windows 發布健康控制台。

問題

部分裝置設定不推薦的 BitLocker 群組原則，可能需要在安裝此更新後首次重啟時輸入 BitLocker 恢復金鑰。

此問題僅影響少數符合以下所有條件的系統。這些狀況不太可能出現在非 IT 部門管理的個人裝置上。

作業系統磁碟機已啟用 BitLocker。
群組原則「為原生 UEFI 韌體配置配置 TPM 平台驗證設定檔」已設定，且 PCR7 包含在驗證設定檔中， (或手動設定等效登錄檔金鑰) 。
系統資訊 (msinfo32.exe) 報告安全開機狀態 PCR7 綁定為「不可能」。
Windows UEFI CA 2023 憑證存在於裝置的安全開機簽章資料庫 (資料庫) ，使該裝置有資格將 2023 年簽署的 Windows 開機管理器設為預設。
裝置尚未執行 2023 簽署的 Windows 開機管理器。

在這種情況下，BitLocker 恢復金鑰只需輸入一次——只要群組政策設定不變，之後的重啟不會觸發 BitLocker 恢復畫面。如需協助尋找你的 BitLocker 恢復金鑰，請參閱文章《尋找你的 BitLocker 恢復金鑰》。

建議企業在安裝此更新前，審核其 BitLocker 群組政策是否明確包含 PCR7，並 msinfo32.exe 確認其 PCR7 綁定狀態。 (請見下方選項一 )

因應措施

選項一：安裝更新前先移除群組原則設定 (推薦)

打開群組原則編輯器 (gpedit.msc) 或你的群組原則管理主控台。
導航至： 電腦設定 > 管理範本 > Windows元件 > BitLocker磁碟機加密 > 作業系統磁碟機。
將「為原生 UEFI 韌體設定配置設定 TPM 平台驗證設定檔」設為「未設定」。
在受影響的裝置上執行以下指令以傳播政策變更： gpupdate /force
執行以下指令以暫停 BitLocker， (在 C：磁碟機啟用) ： manage-bde -protectors -disable C：
執行以下指令以恢復 BitLocker (在 C：磁碟) 啟用 BitLocker 時： manage-bde -protectors -enable C：
此功能更新 BitLocker 綁定，使其使用 Windows 選擇的預設 PCR 設定檔。

選項二：在安裝更新前，先對 KIR) (套用已知問題回滾

對於無法在部署此更新前移除 PCR7 群組政策的客戶，可以使用已知問題回滾功能 (KIR) 。 KIR 會阻止自動切換到 2023 開機管理器，避免 BitLocker 的復原觸發。 KIR 應該在受影響裝置安裝更新前部署。請聯絡 Microsoft 的商業支援以取得此 KIR。

後續步驟

這個問題預計會在未來的 Windows 更新中永久解決。更多資訊將在有時提供。

Microsoft現在結合了作業系統最新的服務堆疊更新 (SSU) 與最新的累積更新 (LCU) 。 SSU 提升更新過程的可靠性，並修正服務堆疊（安裝 Windows 更新的元件）。

附註： 此服務堆疊更新 (SSU) 包含強化邏輯，以驗證裝置是否託管於 Azure，並利用更新的憑證鏈進行驗證。為確保裝置能存取必要的憑證更新網域以成功下載與安裝憑證更新，請參閱憑證下載與撤銷清單及 Azure 憑證授權機構詳細資料。欲了解更多關於 SSU 的資訊，請參閱服務堆疊更新。

重要你必須安裝最新的Windows 10維修堆疊更新 (SSU) 。在套用 Windows 更新前不安裝最新的 SSU，可能會導致該 Windows 更新直到安裝完成後才會提供。

根據您的安裝情境，請選擇以下之一：

離線作業系統映像服務：

如果您的映像檔沒有 2023 年 7 月 25 日 (KB5028244) 或更晚的 LCU，您必須先安裝 2023 年 10 月 13 日的特殊獨立 SSU (KB5031539) ，然後安裝此更新。
對於 WSUS Windows Server Update Services () 部署或安裝 Microsoft Update Catalog 的獨立套件：

如果您的裝置沒有 2021 年 5 月 11 日 (KB5003173) 或更晚的 LCU， 您必須 先安裝 2021 年 8 月 10 日的特殊獨立 SSU (KB5005260) ，才能安裝此更新。