Грешка в сигурностните обновления предизвикваше неочаквани искания за BitLocker ключове в корпоративни среди

Microsoft официално коригира известен проблем в Windows Server 2025, който караше част от системите да преминават в режим BitLocker Recovery след инсталиране на актуализациите за сигурност от април 2026 г.

Макар проблемът да засягаше ограничен брой конфигурации, той създаде сериозни затруднения за ИТ екипите, тъй като засегнатите сървъри изискваха ръчно въвеждане на BitLocker ключове след рестартиране.

Какво представлява проблемът

BitLocker е вградената технология на Microsoft за криптиране на дискове, предназначена да защитава данните при физически достъп до устройството или кражба на носители за съхранение.

При определени събития, които могат да бъдат интерпретирани като промяна в защитената среда за стартиране, BitLocker автоматично активира режим за възстановяване и изисква въвеждане на ключ за отключване.

След инсталирането на априлските актуализации за сигурност през 2026 г. някои сървъри започнаха неочаквано да преминават в този режим.

Според Microsoft причината е свързана с взаимодействие между:

• Trusted Platform Module (TPM);
• Secure Boot;
• специфични BitLocker политики;
• новия Windows Boot Manager, подписан с Windows UEFI CA 2023 сертификат.

Кои системи са били засегнати

Microsoft подчертава, че проблемът не е бил масов и е засягал само устройства, при които са изпълнени няколко специфични условия едновременно.

Сред тях са:

• активиран BitLocker върху системния дял;
• конфигурирана групова политика за TPM валидиране при UEFI системи;
• включен PCR7 в профила за валидиране;
• наличие на Windows UEFI CA 2023 сертификат;
• липса на вече активен Boot Manager, подписан с този сертификат;
• конфигурации, при които PCR7 Binding е отчетен като „Not Possible“.

На практика това означава, че проблемът засяга основно корпоративни среди с по-специфични политики за защита, а не обикновени домашни потребители.

Защо се появяваше BitLocker Recovery

След инсталиране на актуализациите системата автоматично подменяше определени компоненти от процеса на зареждане.

BitLocker интерпретираше тази промяна като потенциално събитие, свързано със сигурността и изискваше потвърждение чрез ключ за възстановяване.

В повечето случаи:

• ключът трябваше да бъде въведен само веднъж;
• следващите рестартирания преминаваха нормално;
• проблемът не се повтаряше при непроменена конфигурация.

Въпреки това в големи корпоративни среди подобно поведение може да доведе до значителни оперативни затруднения и прекъсвания на услугите.

Как Microsoft реши проблема

Корекцията вече е включена в актуализациите:

Windows Server 2025

• KB5094125

Windows 11 23H2

• KB5093998

Според Microsoft новият механизъм предотвратява автоматичното инсталиране на Boot Manager-а, подписан с Windows UEFI CA 2023, когато бъде открита несъвместима BitLocker конфигурация.

По този начин се избягва задействането на режима за възстановяване.

Как администраторите могат да разпознаят засегнатите системи

Microsoft посочва, че системите, попаднали под влиянието на проблема, могат да регистрират:

Event ID 1032

в системния журнал на Windows по време на инсталиране на актуализации.

Това събитие може да помогне на администраторите при диагностика и идентифициране на засегнатите устройства.

Какво трябва да направят организациите

За организациите, които все още не са внедрили юнските актуализации, Microsoft препоръчва:

• инсталиране на последните кумулативни обновления;
• проверка на TPM и BitLocker политиките;
• потвърждение, че се използва PCR7 профил за защита;
• преглед на системните журнали за Event ID 1032;
• тестване на актуализациите в контролирана среда преди масово внедряване.

За среди, в които актуализацията не може да бъде приложена веднага, Microsoft предлага използване на механизма:

Known Issue Rollback (KIR)

който предотвратява автоматичното преминаване към новия Boot Manager и съответно избягва активирането на BitLocker Recovery.

Част от по-широка тенденция

Това не е първият подобен случай през последните години.

През:

• август 2024 г. Microsoft коригира сходен проблем след актуализациите за сигурност от юли;
• май 2025 г. компанията публикува извънредни корекции за Windows 10 поради идентични BitLocker затруднения;
• април 2026 г. проблемът се прояви отново при част от Windows Server 2025 инфраструктурите.

Тези случаи показват колко чувствително е взаимодействието между BitLocker, TPM, Secure Boot и процеса на обновяване на системните компоненти.

Защо подобни инциденти са критични за бизнеса

BitLocker е сред най-важните защитни механизми в корпоративните Windows среди, но всяка грешка в неговото взаимодействие с актуализациите може да доведе до оперативни прекъсвания и затруднен достъп до критични системи.

Макар в случая да не става дума за уязвимост в сигурността, а за проблем със съвместимостта, последствията могат да бъдат сериозни за организации, които управляват стотици или хиляди сървъри.

Особено засегнати са среди с автоматизирани процеси, отдалечени локации или ограничен физически достъп до инфраструктурата, където ръчното въвеждане на BitLocker ключове може да доведе до значителни забавяния.

С юнските актуализации Microsoft окончателно решава проблема, който караше част от Windows Server 2025 системите да преминават в режим BitLocker Recovery след инсталиране на актуализации за сигурност. Организациите, използващи засегнатите конфигурации, трябва възможно най-скоро да внедрят новите корекции и да проверят своите BitLocker политики, за да избегнат бъдещи прекъсвания.