Windows 11更新问题导致BitLocker锁死，微软紧急暂停推送解读

7月14日消息，微软近日证实部分Windows 11电脑在更新安全启动（Secure Boot）证书时遇到问题，可能导致设备卡在BitLocker修复画面。微软已暂停向受影响设备推送该更新。

安全启动是内置于电脑UEFI固件中的安全机制，确保设备启动时仅执行受信任的软件，防止恶意程序在开机层级入侵。

微软在2011年核发的安全启动证书现已过期，其中Microsoft Corporation KEK CA 2011已于6月24日到期，另一份Microsoft UEFI CA 2011将于10月到期。

所有Windows 10/11 PC都需要将UEFI安全启动数据库（DB）和密钥交换密钥（KEK）更新为对应的2023年新证书版本。

这项证书更换通过6月补丁星期二更新KB5094126推送给大多数受支持的Windows 11设备，然而实际执行中，当安全启动状态、固件测量值或启动文件发生意外变化时，BitLocker会拒绝信任当前环境并要求输入修复密钥。

如果系统BIOS或固件与KB5094126推送的新安全启动证书不兼容，TPM将拒绝解封BitLocker密钥，设备便卡在加密修复画面无法启动，2023年证书也无法顺利写入系统。

事实上，惠普今年4月的BIOS更新就已经触发过BitLocker修复循环和启动失败，波及部分高端机型，6月KB5094126将安全启动2023证书推送范围扩大后，更多设备暴露出同类问题。

微软目前已采取预防性措施，主动封锁并暂停向高风险设备推送安全启动证书更新，受影响的PC会在Windows安全应用中出现提示：“由于已知问题，安全启动已被阻止。”

微软表示，被归入此范围的设备需要更新硬件固件才能解决，但OEM厂商的BIOS更新可能尚未发布，用户需要等待各品牌对应的BIOS后才能完全更新。

微软同时提醒用户，在安装BIOS更新前务必确保BitLocker修复密钥可用，以免触发修复循环后无法解锁。