2026 年 4 月 14 日 — KB5082142 (作業系統組建 20348.5020)

Windows 安全開機憑證到期

重要： 大部分 Windows 裝置使用的安全開機憑證設定為從 2026 年 6 月開始到期。 如果未及時更新，這可能會影響某些個人和商務裝置安全開機的能力。 為避免中斷，建議您檢閱指導方針，並採取行動事先更新憑證。 如需詳細資料和準備步驟，請參閱 Windows 安全開機憑證到期和 CA 更新。

問題

安裝此更新後，位於森林中多個網域且使用 PAM) (特 權存取管理 的環境中 () 域控制器，啟動時可能會遇到 LSASS 當機。 因此，受影響的 DC 可能會反覆重啟，導致認證與目錄服務無法運作，甚至使該網域無法使用。

因應措施

IT 管理員可以聯繫 Microsoft 支援服務部門，以取得緩解措施。 此緩解措施可適用於已安裝此更新或安裝前的裝置。

Microsoft 正在努力解決這個問題，並將在未來幾天內發布解決方案。

問題

部分裝置設定不推薦的 BitLocker 群組原則，可能需要在安裝此更新後首次重啟時輸入 BitLocker 恢復金鑰。

此問題僅影響少數符合以下所有條件的系統。 這些狀況不太可能出現在非 IT 部門管理的個人裝置上。

1. 作業系統磁碟機已啟用 BitLocker。

2. 群組原則「為原生 UEFI 韌體配置配置 TPM 平台驗證設定檔」已設定，且 PCR7 包含在驗證設定檔中， (或手動設定等效登錄檔金鑰) 。

3. 系統資訊 (msinfo32.exe) 報告安全開機狀態 PCR7 綁定為「不可能」。

4. Windows UEFI CA 2023 憑證存在於裝置的安全開機簽章資料庫 (資料庫) ，使該裝置有資格將 2023 年簽署的 Windows 開機管理器設為預設。

5. 裝置尚未執行 2023 簽署的 Windows 開機管理器。

在這種情況下，BitLocker 恢復金鑰只需輸入一次——只要群組政策設定不變，之後的重啟不會觸發 BitLocker 恢復畫面。 如需協助尋找你的 BitLocker 恢復金鑰，請參閱文章《尋找你的 BitLocker 恢復金鑰》。

建議企業在安裝此更新前，審核其 BitLocker 群組政策是否明確包含 PCR7，並 msinfo32.exe 確認其 PCR7 綁定狀態。 (請見下方選項一 )

因應措施 

選項一：安裝更新前先移除群組原則設定 (推薦)  

1. 打開 群組原則 編輯器 (gpedit.msc) 或你的 群組原則 管理主控台。

2. 導航至： 電腦設定 > 管理範本 > Windows元件 > BitLocker磁碟機加密 > 作業系統磁碟機。

3. 將「為原生 UEFI 韌體設定配置設定 TPM 平台驗證設定檔」設為「未設定」。

4. 在受影響的裝置上執行以下指令以傳播政策變更： gpupdate /force

5. 執行以下指令以暫停 BitLocker， (在 C： 磁碟機啟用) ： manage-bde -protectors -disable C：

6. 執行以下指令以恢復 BitLocker (在 C： 磁碟) 啟用 BitLocker 時： manage-bde -protectors -enable C：

7. 此功能更新 BitLocker 綁定，使其使用 Windows 選擇的預設 PCR 設定檔。

選項二：在安裝更新前，先對 KIR) (套用已知問題回滾

對於無法在部署此更新前移除 PCR7 群組政策的客戶，可以使用 已知問題回滾功能 (KIR) 。 KIR 會阻止自動切換到 2023 開機管理器，避免 BitLocker 的復原觸發。 KIR 應該在受影響裝置安裝更新前部署。 請聯絡 Microsoft 的商業支援 以取得此 KIR。

後續步驟

這個問題預計會在未來的 Windows 更新中永久解決。 更多資訊將在有時提供。

安裝 KB5070884 或更新版本的更新之後，Windows Server Update Services (WSUS) 不會在其錯誤報告中顯示同步處理錯誤詳細資料。 此功能已暫時移除，以解決遠端程式碼執行弱點 CVE-2025-59287。