A atualização de abril de 2026 põe em risco o arranque do BitLocker no Windows Server 2025

A Microsoft resolveu um problema que, após a atualização de segurança de abril de 2026, provocava que alguns servidores com o Windows Server 2025 arrancassem no ecrã de recuperação do BitLocker e pidiram a chave de recuperação para o primeiro reinício. Embora o fenômeno afetasse principalmente ambientes corporativos com configurações de BitLocker e TPM pouco recomendadas, o episódio volta a colocar sobre a mesa riscos operacionais reais para infraestrutura crítica quando as atualizações interagem com validações de plataforma e assinaturas de arranque.

Em termos técnicos, a falha acontecia em equipas que cumpriam uma série de condições muito concretas: BitLocker ativado na unidade do sistema operacional, a directiva do grupo "Configure TPM platform validation profile for native UEFI firmware configurations" configurada incluindo o PCR7, a ferramenta de informação do sistema (msinfo32.exe) mostrando que o "Secure Boot State PCR7 Binding" era "Not Possible", a presença do certificado Windows UEFI CA 2023 na DB de Secure Boot e que a equipe não estava já usando o Windows Boot Manager assinado com a cadeia 2023. Quando todas essas circunstâncias foram dadas, a atualização automática do gestor de arranque poderia disparar a recuperação de BitLocker ao considerar que o estado da plataforma tinha mudado.

A Microsoft distribuiu correções em junho de 2026: a atualização para Windows Server 2025 é publicada sob KB5094125 e correspondente para Windows 11 23H2 baixo KB5093998. As notas oficiais explicam ainda que os dispositivos impactados registrarão o evento 1032 no registro de sistema durante a instalação de atualizações, uma pista útil para identificar equipamentos que tentaram instalar o gestor de arranque 2023-signed e teriam forçado a recuperação.

Para administradores que ainda não podem colocar esses adesivos, a Microsoft recomenda duas vias de mitigação: remover a configuração da directiva de grupo problemática antes de instalar as actualizações ou aplicar um Known Issue Rollback (KIR) que evita a mudança automática para o Windows Boot Manager assinado em 2023. As instruções e a descrição do KIRs estão disponíveis na documentação da Microsoft sobre Known Issue Rollbacks, e é conveniente planear as janelas de manutenção controladas para evitar surpresas.

Para além do adesivo imediato, existem várias acções práticas que tornam esta lição uma melhoria sustentável da posição de segurança e operação: verificar se as chaves de recuperação do BitLocker estão corretamente armazenadas e acessíveis(por exemplo, no Active Directory ou Azure AD), validar em laboratório qualquer mudança de política TPM/UEFI antes de o rodar em produção e monitorizar eventos relevantes como o ID 1032 e registos relacionados com o BitLocker e o Secure Boot durante a implantação.

Para problemas de diagnóstico, inspeccione msinfo32 para confirmar o estado de PCR7 e Secure Boot, verifique a DB de Secure Boot para verificar a presença do certificado Windows UEFI CA 2023 e use as diretrizes de grupo para localizar a configuração "Configure TPM platform validation profile for native UEFI firmware configurations". Se uma equipe entrar na recuperação do BitLocker, a entrada única da chave costuma restaurar o arranque; no entanto, em servidores remotos ou em nuvens privadas isso pode implicar downtime significativo se não houver pessoal para introduzir a chave fisicamente.

É importante salientar que, segundo a Microsoft, a incidência tem um alcance limitado e é menos provável em dispositivos pessoais; no entanto, os ambientes empresariais com políticas avançadas de TPM e de arranque seguro são os mais expostos. Para equipamentos de operações e segurança, isto significa ajustar procedimentos de implantação de sistemas de sistemas: priorizar testes em staging, preparar acesso a chaves de recuperação e coordenar operações para janelas de manutenção.

Finalmente, convém adotar uma prática preventiva: documentar e automatizar a gestão e cópia de segurança de chaves de BitLocker, auditar mudanças em políticas de TPM e Secure Boot e manter um catálogo de controladores e assinaturas de arranque aprovadas. A interação entre adesivos, firmware e políticas de segurança é um vetor recorrente de risco operacional; aplicar controles de validação e recuperação testados reduz a probabilidade de interrupções inesperadas após atualizações críticas.

Para mais informações técnicas e guias da Microsoft sobre BitLocker e sua administração, consultar a documentação oficial em BitLocker overview, além das páginas de suporte das actualizações assinaladas KB5094125 e KB5093998.