惠普BIOS更新引发严重问题

五月底，惠普发布了一份支持公告，正式确认了一个棘手的问题。

其四月初推送的一批BIOS更新存在缺陷，导致大量商用笔记本、台式机和工作站陷入了一个令人头疼的“BitLocker恢复密钥无限循环”。

同时，这次更新还意外阻断了微软原计划在2024年进行的Secure Boot证书更新流程。

受影响范围

这次事件波及面不小，涵盖了惠普旗下的商用笔记本、台式机和工作站产品线。

受影响的操作系统版本包括：

• Windows 11 23H2
• Windows 11 24H2
• Windows 11 25H2

简单来说，用户一旦安装了有问题的BIOS更新，电脑启动后会直接跳转到BitLocker恢复界面。

最麻烦的是，即便你输入了正确的恢复密钥并成功进入了桌面，系统也不会记录这次“解锁”。

结果就是，下次重启电脑时，它会再次要求你输入恢复密钥，如此往复，形成了一个无解的死循环。

问题根源：Secure Boot变量被意外修改

问题的根子出在BIOS更新对Secure Boot相关变量的修改上。

这次更新改变了“密钥交换密钥”和“签名数据库”。这直接导致了TPM（可信平台模块）芯片中记录的启动度量值发生了变化。

而这个变化后的度量值，与当初BitLocker加密硬盘时记录的基准值对不上了。TPM一比对发现不匹配，便拒绝释放解密硬盘所需的密钥，从而触发了恢复流程。

更棘手的是，由于固件更新过程本身不稳定，新的密钥和证书始终无法被成功提交到主板的NVRAM中。

这就造成了一个尴尬的局面：固件的实际状态永远无法与BitLocker期望的基准状态对齐。

于是，每一次重启都像是一次全新的“身份验证失败”，无限循环就此产生。

部分硬件配置的用户遭遇更糟，他们的机器在开机自检阶段就直接卡在了惠普的Logo界面，无法进入任何恢复选项。

例如，一些惠普ZBook Ultra G1a等高端移动工作站的用户反馈，BIOS版本01.04.05 Rev A直接导致了系统完全冻结。

与微软全球证书更新计划的冲突

这件事的背景，其实与微软一项全球性的安全升级计划有关。

由于目前广泛使用的、签发于2011年的加密密钥即将在全球范围内过期，微软要求所有主板厂商必须在2026年6月之前，为设备部署更新的Secure Boot证书（即UEFI CA 2024）。

而惠普四月份的这版固件更新，恰恰在不恰当的时机打断了这一关键的“证书交接”链条。

当Windows 11系统尝试将暂存的新证书密钥移交给主板固件时，硬件层面遇到了未处理的异常，交接失败，进而引发了后续一系列的启动问题。

如何确认问题

对于企业IT管理员来说，可以通过检查注册表来确认设备是否卡在了这个环节。

路径是：HKLM:SYSTEMCurrentControlSetControlSecureBootServicing。

如果其中的UEFICA2024Status值长期显示为“In Progress”，并且UEFICA2024Error的值大于零，那就基本可以断定证书更新流程已经失败。

官方手动修复方案

针对这个问题，惠普提供了手动修复的步骤。操作不算太复杂，但需要一些耐心：

1. 开机时反复按F10键，进入BIOS设置界面。
2. 在“Security”（安全）菜单中，找到并进入“Secure Boot Configuration”（安全启动配置）。
3. 在此界面中，确保勾选上“Microsoft Option ROM UEFI CA 2024”、“Microsoft UEFI CA 2024”以及“Enable MS UEFI CA Key”这三个选项。
4. 保存设置并退出，重启电脑。

这个过程实际上是在手动引导系统，将Windows暂存区里的证书文件写入到主板的NVRAM中。可能需要重复多次重启才能成功。

验证修复是否成功

进入Windows后，为了确认修复成功，可以打开PowerShell，运行以下命令进行验证：

Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootServicing" -Name "UEFICA2024Status"

如果返回的状态显示为“Updated”，那么恭喜你，问题已经解决了。