Windows 11

BitLocker回復ループ、Windows 11だけ修正

情報の灯台

2026年5月14日 08:1500

Microsoftが4月の更新で引き起こしたBitLocker回復ループを5月に修正した。対象はWindows 11の24H2と25H2のみ。23H2、Windows 10、Serverの管理者は48桁の回復キーを握って次の更新を待つ。

4月の更新で何が起きたか

4月14日に配信されたKB5083769を入れたあと、一部のWindows 11が再起動の途中で見慣れない青い画面に切り替わる。BitLocker回復キーを入力しないと先に進めない。回復キーを社内のサーバーやMicrosoftアカウントに退避していない端末では、その時点で業務が止まる。

問題が起きるのは特定の条件を満たした端末に限られる。BitLockerがOSドライブを暗号化していて、グループポリシーで「ネイティブUEFIファームウェア構成のTPM プラットフォーム検証プロファイルを構成する」が有効化され、検証プロファイルにPCR7(Platform Configuration Register 7)が含まれている。さらにシステム情報で「Secure Boot State PCR7 Binding」が「Not Possible」と表示され、UEFI CA 2023証明書がSecure Boot署名データベースに登録済みで、2023年署名版のWindows Boot Managerをまだ使っていない端末。

5つの条件がすべて揃った瞬間に発火する地雷だ。家庭用PCではまず踏まない。踏むのはIT部門が管理するエンタープライズ端末。Microsoft自身が「unrecommended(推奨されない)」と呼ぶグループポリシー設定を採用している組織が、まさにその設定ゆえに被害を受けた。

「This update addresses an issue where some devices might enter BitLocker Recovery after updating boot files on systems with certain Trusted Platform Module (TPM) validation settings, including invalid PCR7 (Platform Configuration Register 7) configurations.」

(この更新は、特定のTPM検証設定、特に不正なPCR7構成を持つシステムで、ブートファイルの更新後にBitLocker回復が発生する問題を解消する)

Windows 11だけ救われた

5月12日に配信された KB5089549 で、Windows 11 24H2と25H2のBitLocker発火問題は修正された。OSビルドは26100.8457(24H2)と26200.8457(25H2)に上がる。Microsoftのリリースノートには「(Known issue) Fixed」と明記されている。

問題は、4月の同じ問題に巻き込まれた他のプラットフォームだ。Windows 11 23H2、Windows 10、Windows Server 2025も同じBitLocker回復ループを起こしたが、5月12日に配信された各プラットフォーム向けの更新では、この問題は Known issue (既知の問題)のまま残されている。Windows 11 23H2向けのKB5087420、Windows 10 ESU向けのKB5087544、どちらもリリースノートで「将来のWindows更新で恒久的な解決が計画されている」と明記する。回避策で凌げ、という指示だ。

修正の差は意図的なものだ。Microsoftは「a permanent resolution is planned for a future update(永続的な解決は将来の更新で予定されている)」と説明する。Windows 11だけ先に救済し、他は次回以降まで待たせる 、という配分を選んだ。

4月のBitLocker暴発に巻き込まれたOSと、5月の修正ステータス

OSバージョン	発生した4月のKB	5月のKB	BitLockerの修正状況
Windows 11 24H2/25H2	KB5083769	KB5089549	修正済み
Windows 11 23H2	KB5082052	KB5087420	未修正Known issue
Windows 10 ESU	KB5082200	KB5087544	未修正Known issue
Windows Server 2025	KB5082063	KB5087539	未修正Known issue
Windows Server 2022	KB5082142	—	未修正Known issue

※ Microsoftリリースノートで「(Known issue) Fixed」と明記されているのはWindows 11 24H2/25H2のみ。他のOSは「将来のWindows更新で恒久的な解決が予定」とされる。

エンタープライズが後回しになる構造

ここに違和感がある。今回の問題はそもそも、企業のIT部門が管理ポリシーで踏み込んだ設定を有効化した結果として起きる症状だ。家庭用Windows 11では発生しにくい。被害の中心はエンタープライズ環境であり、そのエンタープライズ環境ではWindows ServerとWindows 10 ESU、それに長期サポート対象のWindows 11 23H2がまだ厚く現役で動いている。

つまり、修正が真っ先に必要だったのは エンタープライズ側のOS だった可能性が高い。にもかかわらず先に直ったのは、コンシューマ向けの最新版であるWindows 11 24H2と25H2。Microsoftの優先順位の付け方が、被害の分布と逆向きになっている。

Windows Serverをドメインコントローラーや認証基盤で運用している組織にとって、BitLocker回復キーを48桁入力するために夜中にデータセンターへ駆けつけるコストは、家庭用PC一台のロックアウトとは桁が違う。それでも修正の到着順は同じ「Windows 11が先」なのだ。

4月のKB5083769等で発生→5月のKB5089549でWindows 11 24H2/25H2のみ修正→Windows 11 23H2、Windows 10 ESU、Windows Serverは恒久パッチを待機。被害の中心はエンタープライズ環境だが、修正の優先順位はコンシューマ向け最新OSが先という配分になっている。

4月から続いた回避策の二転三転

修正が遅れる間、Microsoftは複数の回避策を提示してきた。グループポリシーで「Configure TPM platform validation profile for native UEFI firmware configurations」を削除し、gpupdate /forceで反映する。続いてBitLockerを一時停止し、再有効化してPCR7プロファイルへバインドを切り替える。

グループポリシーの該当項目を「未構成」に変更してから更新を適用し、その後BitLockerの保護を一時停止して再有効化する。これによりWindowsが選択するデフォルトのPCRプロファイルへバインディングが切り替わる。

商用ライセンスを持つ組織には、 KIR (Known Issue Rollback)も用意された。これは2023年版Boot Managerへの自動切り替えそのものを止める仕組みで、Microsoftのビジネスサポートに連絡して入手する形式だった。途中で一度公開された別の回避策は、理由を告げられないまま撤回されている。

回避策の出入りは、Microsoft自身もこの問題の挙動を完全には掌握できていなかった証拠だ。今回ようやくWindows 11向けの恒久パッチが届いたが、Microsoftが「全プラットフォームで利用可能になるまで」というただし書きをまだ取り下げていない以上、回避策の知識は当面の運用責任者の手元に残しておく必要がある。

繰り返されてきたBitLockerの暴発

BitLockerが意図せず回復モードに突入する事案は、今回が初めてではない。2022年8月にはKB5012170のあとにWindows端末が回復画面で固まり、2024年7月の更新でも同種の回復プロンプトが大量発生した。2025年5月にはWindows 10向けに帯域外の緊急更新が配信され、同じくBitLocker回復キーを要求される問題を抑え込んだ。

セキュリティ更新後のBitLocker暴発、近年の繰り返し

2022年8月

KB5012170後にWindows端末が回復画面で停止

Secure Boot DBX更新が引き金。複数のWindowsクライアントとサーバーで一斉に発火。

2024年7月

7月のセキュリティ更新で
全バージョン横断の回復プロンプト

サポート対象のWindows全バージョンで同時発生。Microsoftは翌8月に修正を配信。

2025年5月

Windows 10で帯域外の
緊急更新を配信

5月のセキュリティ更新が引き起こした回復キー要求を、Microsoftは緊急更新で抑え込んだ。

2026年4月

4月のSecure Boot証明書移行で
5系統のOSが同時発火

KB5083769等を起点に、Windows 11/10/Serverが同条件で回復ループ。5月の修正で救われたのはWindows 11 24H2/25H2のみ。

※ 2022年8月・2024年7月・2025年5月・2026年4月。1年〜2年に一度のペースで、セキュリティ更新がBitLocker回復画面を呼び出す事案が繰り返されている。

そして2026年4月。月単位の付き合いで言えば、利用者は1年か2年に一度、自分のPCがいきなり48桁のキー入力画面で止まる体験をしていることになる。BitLockerは攻撃者から守るための機能であり、正しく動いているときは見えない。見えるときは、たいてい何かが壊れている。

Windows 11ユーザーのうち24H2と25H2は5月12日の更新で一段落した。一方で、Windows 11 23H2、Windows 10 ESU契約者、Windows Serverの管理者は、6月以降のSecure Boot証明書失効スケジュールと並行して、いまだ修正されていないBitLockerの地雷を抱えたまま運用を続けることになる。

修正の順番ひとつで、企業の夜が長くなることもある。

参照元