Alerta KB5082063 pode forçar o arranque no modo de recuperação do BitLocker no Windows Server 2025

A Microsoft confirmou que a atualização de segurança de abril de 2026, identificada como KB5082063, pode provocar que alguns servidores com Windows Server 2025 comecem no modo de recuperação do BitLocker após instalar o adesivo. Não se trata de uma falha generalizada: a empresa aponta para uma interação muito concreta entre a configuração do BitLocker, certos ajustes do Trusted Platform Module (TPM) e a cadeia de arranque segura da UEFI.

BitLocker número discos para proteger dados em caso de roubo ou acesso não autorizado, e seu mecanismo de recuperação é ativado quando o Windows detecta mudanças que poderiam comprometer a integridade do arranque. Por exemplo, atualizações do TPM ou modificações no gestor de arranque podem fazer com que a máquina peça a chave de recuperação para garantir que quem tenta acessar o sistema é legítimo. Se você quer repassar como funciona o BitLocker, a Microsoft mantém um guia técnico online: Documentação oficial do BitLocker.

Neste caso específico, a Microsoft explica que o arranque em modo de recuperação ocorre apenas quando se dão várias condições ao mesmo tempo: o BitLocker está ativado na unidade do sistema operacional; há uma directiva de grupo que configura o perfil de validação da plataforma TPM para o firmware UEFI nativo e esse perfil inclui o PCR7; a ferramenta de informação do sistema (msinfo32.exe) relata que a vinculação PCR7 para o Secure Boot não é possível; e além disso o certificado "Windows UEFI CA 2023" está presente na base de assinaturas do Secure Boot, o que torna o computador elegível para que o gestor de arranque assinado em 2023 se torne o predefinido, desde que o dispositivo não estivesse já a usar esse gestor. Estas condições são geralmente baseadas em ambientes corporativos com políticas de segurança avançadas, e não são habituais em equipamentos pessoais.

A Microsoft pontua que, nas equipes afetadas, a chave de recuperação só teria que ser introduzida uma única vez No primeiro reinício após a actualização; os reinícios posteriores não devem voltar a pedir-lhe enquanto a configuração de directivas não mudar. Você pode ler a nota oficial sobre este problema e suas recomendações no aviso de saúde da atualização: KB5082063 - Known issues.

A casa também publicou medidas temporárias para evitar interrupções de implantação em massa. Entre as opções que recomendam os administradores está eliminar a directiva de grupo que força o perfil com PCR7 antes de instalar a atualização, e verificar que as ligações de BitLocker usam corretamente o perfil PCR7. Se não for possível remover essa directiva antes de atualizar, a Microsoft sugere aplicar um Known Issue Rollback (KIR) para impedir que o sistema mude automaticamente para o gestor de arranque assinado em 2023 e assim evitar que a recuperação de BitLocker seja diferente. Mais informações sobre os mecanismos de retrocesso de problemas conhecidos e seu uso figura na página de saúde do Windows: Known Issue Rollback (KIR) - Windows.

Este tipo de incompatibilidades não é novo na história recente das atualizações do Windows. A Microsoft teve de emitir adesivos de emergência e soluções temporárias em incidentes anteriores que também provocaram arranques em modo de recuperação de BitLocker, como os eventos relacionados com as atualizações de maio de 2025 e julho de 2024. Um caso anterior, com a atualização KB5012170, também deixou equipamentos atascados no ecrã de recuperação e deixou marcas em fóruns e relatórios técnicos; você pode consultar a entrada de suporte sobre essa atualização para ver como se resolveu: KB5012170 – suporte.

Se você administra servidores ou equipamentos em uma rede corporativa, o razoável agora é rever as políticas de BitLocker e de TPM antes de colocar o KB5082063 em massa. Fazer testes num pequeno grupo controlado e preparar um plano de recuperação (incluindo ter as chaves de BitLocker acessíveis de forma segura) Pode evitar surpresas em produção. Para aqueles que gerem políticas de plataforma TPM e queiram aprofundar em como se comportam os registros PCR, a documentação sobre PCR de TPM pode servir de apoio técnico: PCRs e TPM - Microsoft Docs.

Em resumo: a atualização de abril de 2026 pode provocar um único pedido da chave de recuperação em configurações empresariais muito concretas; a Microsoft publicou instruções e procedimentos de mitigação e trabalha já em uma solução definitiva. Manter a comunicação com os equipamentos de segurança e com os responsáveis pela implantação, além de seguir os guias oficiais, continua a ser a melhor prática para minimizar riscos ao aplicar adesivos críticos.