TL;DR
アップデートのバグ: Microsoft の 2026 年 4 月の KB5082063 アップデートにより、一部の Windows Server 2025 および Windows 11 デバイスは最初の再起動時に BitLocker リカバリが強制されます。範囲: この問題は、PCR7 検証を含む特定の TPM グループ ポリシー構成を持つ企業管理システムのみに影響します。回避策: Microsoft では、問題を防ぐために、既知の問題のロールバックを更新または適用する前に、TPM 検証ポリシーを削除することをお勧めします。再発する問題: 火曜日のパッチ更新によって予期しない BitLocker 回復プロンプトがトリガーされるのは、2022 年以来 4 回目です。
Microsoft の 2026 年 4 月のパッチ火曜日アップデートにより、一部の Windows Server 2025 および Windows 11 管理者が自分のマシンからアクセスできなくなります。 4 月にリリースされた KB5082063 セキュリティ更新プログラムをインストールした後14 (OS ビルド 26100.32690)、影響を受けるデバイスは BitLocker リカバリを起動し、アクセスを許可する前に 48 桁のキーを要求します。
Microsoft 特定の TPM グループ ポリシー構成を持つシステムが、最初の再起動時に問題が発生します。 Windows Server 2025 以降の更新プログラム KB5083769 および KB5082052 は Windows 11 でも同じ問題を引き起こし、サーバー環境以外にも範囲を広げています。
Microsoft によると、影響を受ける構成が次のとおりであるため、この問題が個人のデバイスに影響を及ぼす可能性は低いとのことです。通常、企業が管理するシステムで見られます。影響を受けるセットアップを実行している IT チームにとって、このインシデントは、パッチ火曜日の展開により予期せぬ BitLocker の回復プロンプトが強制的に表示されるのは、この 4 年間で 4 回目です。
問題の原因
Microsoft の KB5082063 ドキュメント、この問題は 5 つの特定の条件がすべて満たされた場合にのみ発生します。同時に出会った。 OS ドライブで BitLocker ドライブ暗号化を有効にする必要があります。さらに、TPM プラットフォーム検証のグループ ポリシー設定は PCR7 を含むように構成する必要がありますが、msinfo32.exe はセキュア ブート状態 PCR7 バインディングを「不可能」として報告します。
最後に、Windows UEFI CA 2023 証明書が セキュア ブート署名データベースであり、デバイスは 2023 署名付き Windows ブート マネージャーをまだ実行していてはなりません。
根本的に、Microsoft による 2023 署名付きセキュア ブート証明書の段階的展開は、新旧のブート マネージャー署名チェーンが同じデバイス上に共存する場合、BitLocker の PCR7 検証と競合します。 Microsoft が現在「非推奨」としているセットアップであるグループ ポリシーを通じて PCR7 検証を構成した組織は、会社の継続的なセキュリティ最新化の取り組みと独自のコンプライアンス要件の間で板挟みになっています。
回復キーは、一度入力すると 1 回だけ必要になります。グループ ポリシーの構成が変更されていない限り、その後の再起動では再度要求されることはありません。
回避策と Microsoft の対応
Microsoft は恒久的な修正に取り組んでおり、2 つの一時的な回避策。管理者は、更新プログラムを展開する前に TPM 検証グループ ポリシー構成を削除し、BitLocker 保護を無効にして再度有効にすることができます。または、IT チームは、更新プログラムをインストールする前に既知の問題ロールバック (KIR) を適用して、2023 ブート マネージャーへの自動切り替えを防ぐことができます。
KIR は法人顧客向けの Microsoft サポートを通じて利用でき、特定の問題のある変更を元に戻すことができます。
既に更新プログラムを適用している管理者に対して、Microsoft はサポート ドキュメントで次のように保証しています。
「このシナリオでは、BitLocker 回復キーを入力する必要があるのは 1 回だけです。グループ ポリシー構成が変更されていない限り、その後の再起動では BitLocker 回復画面は表示されません。」
Microsoft (KB5082063 サポート記事)
BitLocker の複雑さにもかかわらず、4 月のアップデートを完全にスキップすることはお勧めできません。 4 月のパッチ火曜日サイクルでは、積極的に悪用されたゼロデイ 2 件を含む 167 件の脆弱性に対処したため、これらの重要なセキュリティ アップデートはエンタープライズ環境にとって非常に重要であり、延期することはできません。
繰り返し発生するパターン
Microsoft セキュリティ アップデート後の BitLocker 回復の問題は、2022 年以降繰り返し発生しています。その年の 8 月、Windows デバイスは KB5012170 セキュリティ アップデートをインストールした後、回復プロンプトでスタックするようになりました。 2024 年 8 月、Microsoft は、2024 年 7 月の更新後にサポートされているすべての Windows バージョンに影響を与える同様の問題を修正しました。ごく最近では、2025 年 5 月に Microsoft が Windows 10 システム上の BitLocker 回復問題に対処するための緊急アップデートをリリースしました。
Windows Server 2025 は、BitLocker 以外にもアップデート関連の問題に直面しています。 2025 年 5 月、セキュリティ アップデートの公開後、プラットフォームは Kerberos 認証の不具合に見舞われました。 4 年間で 4 件のインシデントは、Microsoft のセキュア ブート証明書の最新化と BitLocker の TPM 検証バインディングの間に継続的な緊張があることを示しており、企業環境では現在、すべてのパッチ チューズデー展開計画でこの矛盾を考慮する必要があります。
