惠普确认4月BIOS固件缺陷致笔记本和台式机启动异常

科技媒体Windows Latest在5月27日发布的一篇报道，揭开了近期一系列企业IT故障的根源。报道指出，惠普已正式承认，其于2026年4月发布的一批BIOS固件更新，导致了旗下多款商用笔记本、台式机和工作站出现启动故障。

此前一天，已有消息称惠普正在调查部分高端笔记本在更新BIOS后无法启动的问题，当时焦点主要集中在ZBook Ultra G1a和EliteBook X G1a等型号上。然而，随着官方支持公告的发布，问题的全貌才清晰起来——这并非个别型号的偶发事件，而是一次影响范围广泛的固件缺陷。

根据惠普的声明，有问题的4月BIOS更新影响了运行Windows 11 23H2、24H2乃至25H2系统的多种商用设备。对于终端用户而言，安装更新后主要会遇到两种棘手的状况：要么是机器直接卡在开机Logo界面，无法进入系统；要么是反复进入BitLocker恢复界面，即便输入了正确的恢复密钥，下次重启时噩梦依旧会重演。

那么，究竟是什么原因导致了这场连锁故障？惠普将问题的根源指向了微软的安全证书更新。具体来说，是微软在2023年发布的Secure Boot证书更新。正常情况下，Windows 11系统会将暂存的安全密钥交给主板，并写入NVRAM。但惠普这批有缺陷的4月固件，恰恰在这个关键的“交接”环节上出了岔子，导致新证书未能被完整提交和应用。

惠普也确认，一旦设备陷入BitLocker恢复循环，通常意味着2023年的Secure Boot证书并未被正确应用。

如何排查与应对？

对于企业IT管理员来说，当务之急是快速定位受影响的设备。惠普提供了一条通过注册表检查的路径：可以查看SecureBoot\Servicing下的UEFICA2023Status和UEFICA2023Error两个键值。

如果UEFICA2023Status长时间停留在“In Progress”（进行中）状态，并且UEFICA2023Error的值大于0，这通常就是证书更新失败的明确信号。

惠普还给出了一个至关重要的管理建议：在通过远程管理工具大规模部署固件更新之前，务必先在全网范围内暂停BitLocker加密。否则，一个有缺陷的固件推送，很可能将单台设备的启动问题，瞬间放大为整个部门或分支机构的大面积瘫痪。

手动修复步骤

对于已经“中招”的单个设备，用户或管理员可以尝试手动修复。具体操作是：在开机时反复按F10键进入BIOS设置界面。

然后，导航至“Security”（安全）菜单下的“Secure Boot Configuration”（安全启动配置）。

在此页面中，需要确保启用以下三个选项：Microsoft Option ROM UEFI CA 2023、Microsoft UEFI CA 2023，以及Enable MS UEFI CA Key。启用后保存设置并重启电脑。

完成此操作后，系统可能会自动重启数次以应用更改。待整个过程结束后，可以进入Windows系统，通过PowerShell命令再次检查UEFICA2023Status的状态，确认其是否已成功变更为“Updated”（已更新）。