KB5082063 alerte pourrait forcer le mode de récupération BitLocker démarrer sur Windows Server 2025

Microsoft a confirmé que la mise à jour de sécurité d'avril 2026, identifiée comme KB5082063, peut faire démarrer certains serveurs avec Windows Server 2025 en mode de récupération de BitLocker après l'installation du patch. Il ne s'agit pas d'un échec généralisé: l'entreprise signale une interaction très concrète entre la configuration de BitLocker, certains réglages du module de plateforme fiable (TPM) et la chaîne de démarrage sécurisée de l'UEFI.

BitLocker numéros disques pour protéger les données en cas de vol ou d'accès non autorisé, et son mécanisme de récupération est activé lorsque Windows détecte des changements qui pourraient compromettre l'intégrité du démarrage. Par exemple, les mises à jour TPM ou les modifications du gestionnaire de démarrage peuvent faire demander à la machine la clé de récupération pour s'assurer que quiconque essaie d'accéder au système est légitime. Si vous voulez examiner comment BitLocker fonctionne, Microsoft conserve un guide technique en ligne: la documentation officielle de BitLocker.

Dans ce cas particulier, Microsoft explique que le démarrage en mode récupération ne se produit que lorsqu'il y a plusieurs conditions en même temps: BitLocker est activé dans l'unité système d'exploitation; il y a une directive de groupe qui définit le profil de validation de la plate-forme TPM pour le firmware natif UEFI et ce profil inclut le PCR7; l'outil d'information système (msinfo32.exe) signale que le lien PCR7 pour Secure Boot n'est pas possible; et en outre le certificat "Windows UEFI CA 2023" est présent dans la base de signatures de Secure Boot, ce qui rend l'appareil non admissible à l'utilisation de l'appareil comme gestionnaire par défaut, à condition qu'il ne soit pas par défaut. Ces conditions se produisent généralement dans des environnements d'entreprise avec des politiques de sécurité avancées, et ne sont pas communes dans l'équipement personnel.

Microsoft souligne que, dans l'équipement affecté, la clé de récupération ne devrait être introduite qu'une fois dans le premier redémarrage après la mise à jour; les redémarrages ultérieurs ne devraient pas être demandés avant que la directive ne change. Vous pouvez lire la note officielle sur ce problème et ses recommandations dans la mise à jour de l'avis de santé: KB5082063 - Problèmes connus.

La maison a également publié des mesures temporaires pour éviter les interruptions dans les déploiements massifs. Parmi les options recommandées aux administrateurs est de supprimer la directive de groupe qui force le profil PCR7 avant d'installer la mise à jour, et de vérifier que les liens BitLocker utilisent correctement le profil PCR7. S'il n'est pas possible de supprimer cette directive avant de la mettre à jour, Microsoft suggère d'appliquer un problème connu Rollback (KIR) pour empêcher le système de changer automatiquement au gestionnaire de démarrage signé en 2023 et ainsi empêcher la récupération de BitLocker d'être déclenché. Plus d'informations sur les mécanismes connus de retour de problèmes et leur utilisation sont disponibles sur la page santé de Windows: Rétroaction connue (KIR) - Windows.

Ce type d'incompatibilités n'est pas nouveau dans l'historique récent des mises à jour Windows. Microsoft a dû émettre des correctifs d'urgence et des solutions temporaires lors d'incidents précédents qui ont également causé le démarrage du mode de récupération de BitLocker, comme les événements liés aux mises à jour de mai 2025 et juillet 2024. Un cas précédent, avec la mise à jour KB5012170, a également laissé l'équipement coincé sur l'écran de récupération et laissé une impression sur les forums techniques et les rapports; vous pouvez vérifier l'entrée de support sur cette mise à jour pour voir comment il a été résolu: KB5012170 - soutien.

Si vous gérez des serveurs ou des équipements dans un réseau d'entreprise, il est maintenant raisonnable de revoir les politiques de BitLocker et de TPM avant de déployer le KB5082063 sur une base massive. Tester un petit groupe contrôlé et préparer un plan de récupération (y compris avoir les clés BitLocker accessibles en toute sécurité) peut éviter les surprises dans la production. Pour ceux qui gèrent les politiques de plate-forme TPM et veulent approfondir le comportement des enregistrements PCR, la documentation PCR TPM peut servir de support technique : PCR et TPM - Microsoft Docs.

Bref, la mise à jour d'avril 2026 peut conduire à une seule demande pour la clé de récupération dans des configurations commerciales très spécifiques; Microsoft a publié des instructions et des procédures d'atténuation et travaille déjà sur une solution finale. Le maintien de la communication avec les équipes de sécurité et les gestionnaires de déploiement, en plus de suivre les guides officiels, demeure la meilleure pratique pour minimiser les risques lors de l'application des correctifs critiques.