Alerta KB5082063 podría forzar el arranque en modo de recuperación de BitLocker en Windows Server 2025

Microsoft ha confirmado que la actualización de seguridad de abril de 2026, identificada como KB5082063, puede provocar que algunos servidores con Windows Server 2025 arranquen en el modo de recuperación de BitLocker tras instalar el parche. No se trata de un fallo generalizado: la compañía apunta a una interacción muy concreta entre la configuración de BitLocker, ciertos ajustes del Trusted Platform Module (TPM) y la cadena de arranque segura de UEFI.

BitLocker cifra discos para proteger datos en caso de robo o acceso no autorizado, y su mecanismo de recuperación se activa cuando Windows detecta cambios que podrían comprometer la integridad del arranque. Por ejemplo, actualizaciones del TPM o modificaciones en el gestor de arranque pueden hacer que la máquina pida la clave de recuperación para garantizar que quien intenta acceder al sistema es legítimo. Si quieres repasar cómo funciona BitLocker, Microsoft mantiene una guía técnica en línea: documentación oficial de BitLocker.

En este caso concreto, Microsoft explica que el arranque en modo de recuperación ocurre solo cuando se dan varias condiciones a la vez: BitLocker está activado en la unidad del sistema operativo; hay aplicada una directiva de grupo que configura el perfil de validación de plataforma TPM para firmware UEFI nativo y ese perfil incluye el PCR7; la herramienta de información del sistema (msinfo32.exe) reporta que la vinculación PCR7 para Secure Boot no es posible; y además el certificado "Windows UEFI CA 2023" está presente en la base de firmas de Secure Boot, lo que hace al equipo elegible para que el gestor de arranque firmado en 2023 se convierta en el predeterminado, siempre que el dispositivo no estuviera ya usando ese gestor. Estas condiciones concurren, por lo general, en entornos corporativos con políticas de seguridad avanzadas, y no son habituales en equipos personales.

Microsoft puntualiza que, en los equipos afectados, la clave de recuperación solo tendría que introducirse una única vez en el primer reinicio tras la actualización; los reinicios posteriores no deberían volver a pedirla mientras la configuración de directivas no cambie. Puedes leer la nota oficial sobre este problema y sus recomendaciones en el aviso de salud de la actualización: KB5082063 - Known issues.

La casa también ha publicado medidas temporales para evitar interrupciones en despliegues masivos. Entre las opciones que recomiendan a los administradores está eliminar la directiva de grupo que fuerza el perfil con PCR7 antes de instalar la actualización, y verificar que las vinculaciones de BitLocker usan correctamente el perfil PCR7. Si no es posible quitar esa directiva antes de actualizar, Microsoft sugiere aplicar un Known Issue Rollback (KIR) para impedir que el sistema cambie automáticamente al gestor de arranque firmado en 2023 y así evitar que se dispare la recuperación de BitLocker. Más información sobre los mecanismos de retroceso de problemas conocidos y su uso figura en la página de salud de Windows: Known Issue Rollback (KIR) - Windows.

Este tipo de incompatibilidades no es nuevo en la historia reciente de las actualizaciones de Windows. Microsoft tuvo que emitir parches de emergencia y soluciones temporales en incidentes anteriores que también provocaron arranques en modo de recuperación de BitLocker, como los sucesos relacionados con las actualizaciones de mayo de 2025 y julio de 2024. Un caso anterior, con la actualización KB5012170, también dejó equipos atascados en la pantalla de recuperación y dejó huella en foros y reportes técnicos; puedes consultar la entrada de soporte sobre esa actualización para ver cómo se resolvió: KB5012170 – soporte.

Si administras servidores o equipos en una red corporativa, lo razonable ahora es revisar las políticas de BitLocker y de TPM antes de desplegar KB5082063 de forma masiva. Hacer pruebas en un pequeño grupo controlado y preparar un plan de recuperación (incluyendo tener las claves de BitLocker accesibles de forma segura) puede evitar sorpresas en producción. Para quienes gestionan políticas de plataforma TPM y quieran profundizar en cómo se comportan los registros PCR, la documentación sobre PCR de TPM puede servir de apoyo técnico: PCRs y TPM - Microsoft Docs.

En resumen: la actualización de abril de 2026 puede provocar una única petición de la clave de recuperación en configuraciones empresariales muy concretas; Microsoft ha publicado instrucciones y procedimientos de mitigación y trabaja ya en una solución definitiva. Mantener la comunicación con los equipos de seguridad y con los responsables de despliegue, además de seguir las guías oficiales, sigue siendo la mejor práctica para minimizar riesgos al aplicar parches críticos.