Виртуальные машины Windows Server 2022 не загружаются после обновления (KB5022842)

Что произошло

Несколько пользователей сообщили, что виртуальные машины (VM) с Windows Server 2022 перестали загружаться после установки обновления KB5022842 (февраль 2023 Patch Tuesday). Microsoft подтвердила наличие проблемы на Windows Health Dashboard и расследует её.

«После установки KB5022842 на гостевых виртуальных машинах (VM), работающих под Windows Server 2022 на некоторых версиях VMware ESXi, Windows Server 2022 может не запускаться. Проблема затрагивает только VM с включённым Secure Boot. Затронутые версии VMware ESXi — vSphere ESXi 7.0.x и более ранние.»

Почему это происходит

Secure Boot предотвращает выполнение неподписанных или изменённых загрузочных компонентов во время старта ОС. Внутреннее взаимодействие обновления KB5022842 с механизмом Secure Boot в некоторых конфигурациях ESXi приводит к тому, что VM не доходит до стадии загрузки. Microsoft расследует причину и пока не выпустила исправление.

Важно: Microsoft официально не выпустила фикс на момент публикации. Используйте временные меры и инцидентные процедуры, описанные ниже.

Затронутые платформы

• Гостевые ОС: Windows Server 2022 с включённым Secure Boot.
• Гипервизор: VMware vSphere ESXi 7.0.x и более ранние. Обновление до ESXi 8.0 заявлено как обходной путь.

Временные решения

Ниже — проверенные пользователями обходные пути. Выберите тот, который соответствует политикам вашей организации.

1. Отключите Secure Boot в настройках VM

1. В клиенте vSphere откройте инвентарь и щёлкните правой кнопкой по виртуальной машине ➔ Изменить параметры.
2. На вкладке Параметры VM (VM Options) разверните Параметры загрузки (Boot Options).
3. Убедитесь, что прошивка (firmware) установлена в значение EFI.
4. Снимите флажок Secure Boot, чтобы отключить Secure Boot.
5. Нажмите OK и попробуйте загрузить VM.

Этот способ прост и быстр, но отключение Secure Boot снижает защиту загрузочного процесса. Примите во внимание требования безопасности перед применением.

2. Обновите vSphere ESXi до версии 8.0

1. Перейдите на сайт VMware и откройте раздел «Customers Connect».

2. Введите электронную почту и пароль, затем нажмите Sign In.

3. Откройте «VMware vSphere Hypervisor (ESXi) Download Center» и выберите версию 8.0 в выпадающем меню.

4. Выберите редакцию (например, Standard) и нажмите Go to Downloads.

5. Если у вас есть лицензия, кнопка Download Now будет доступна; при отсутствии лицензии можно использовать Download Trial.

Обновление ESXi до 8.0 может устранить несовместимость с Secure Boot без необходимости отключать его. Планируйте обновление в соответствии с процессами Change Management и выполните резервное копирование конфигураций.

Альтернативные подходы и когда они не помогут

• Восстановление из моментальной копии (snapshot) или бэкапа: если у вас есть рабочая снепшот/резервная копия от доустановки обновления — откат может вернуть VM в рабочее состояние. Это полезно, если политика безопасности запрещает отключение Secure Boot.
• Использовать другую платформу виртуализации (временный перенос VM): возможно, но это затратный путь и требует совместимости.
• Переустановка ОС — крайняя мера и обычно не требуется.

Что не поможет: простый рестарт гостевой ОС без изменения Secure Boot или гипервизора — если проблема валидации загрузки, рестарт не решит её.

Инцидентный план — быстрый runbook

1. Оцените влияние: какие сервера/приложения недоступны.
2. Проверка: подтвердите, что VM использует Windows Server 2022 и что Secure Boot включён.
3. Быстрый обход (если допустим): отключите Secure Boot и загрузите VM.
4. Если отключение неприемлемо — переключитесь на план обновления гипервизора (ESXi 8.0) в окно обслуживания.
5. Если есть снепшоты до обновления — рассмотрите откат как временную меру.
6. После восстановления работы соберите логи и создайте запрос в поддержку Microsoft/VMware.
7. Верните Secure Boot и проведите тесты после появления официального исправления.

Чек-листы по ролям

Администратор виртуализации:

• Проверить версии ESXi на хостах.
• Выполнить резервное копирование конфигураций хостов.
• Подготовить план обновления до ESXi 8.0.

Системный администратор Windows:

• Проверить, какие VM используют Windows Server 2022 и имеют включённый Secure Boot.
• Если возможно, согласовать отключение Secure Boot с командой безопасности.
• Подготовить откатные накопители (snapshots, бэкапы).

Операции и поддержка приложений:

• Уведомить заинтересованные команды о риске и планах восстановления.
• Подготовить коммуникации для пользователей.

Матрица рисков и смягчение

• Риск: отключение Secure Boot уменьшает безопасность загрузки. Митигаторы: выполнять только временно, ограничить доступ к VM, протестировать приложения.
• Риск: обновление ESXi может нарушить совместимость с другими VM/плагинами. Митигаторы: тестовый стенд, бэкап конфигураций, план отката.
• Риск: потеря данных при откате/восстановлении. Митигаторы: актуальные резервные копии, проверка бэкапов.

Критерии приёмки

• Восстановлена загрузка всех затронутых VM.
• Приложения работают в штатном режиме, интеграционные тесты пройдены.
• При отключении Secure Boot — документированное разрешение от подразделения безопасности.

Короткие пояснения (глоссарий)

• Secure Boot: механизм UEFI, который проверяет подписи загрузочных компонентов и предотвращает загрузку неподписанного кода.
• ESXi: гипервизор VMware vSphere.
• Snapshot: моментальная копия состояния виртуальной машины.

Когда обратиться за поддержкой

Свяжитесь с поддержкой Microsoft и VMware, если временные решения не помогают или вы столкнулись с потерей данных. Приложите системные логи, конфигурацию VM и версии гипервизора.

Социальный превью

OG Title: Проблемы загрузки Windows Server 2022 VM после KB5022842

OG Description: После обновления KB5022842 некоторые Windows Server 2022 VM с Secure Boot не загружаются на ESXi 7.x. Временные решения — отключить Secure Boot или обновить ESXi до 8.0.

Короткое объявление (100–160 слов): Обнаружена проблема: после февральского обновления KB5022842 некоторые виртуальные машины с Windows Server 2022 и включённым Secure Boot перестают загружаться на VMware ESXi 7.0.x и более ранних версиях. Microsoft подтвердила инцидент и проводит расследование. Временные решения — временно отключить Secure Boot в настройках VM или обновить гипервизор до ESXi 8.0. Прежде чем отключать Secure Boot, согласуйте действие с командой безопасности и обеспечьте наличие актуальных бэкапов и снепшотов. Планируйте обновление ESXi через окно обслуживания и протестируйте совместимость на стенде.

Итог

Если ваши Windows Server 2022 VM не загружаются после KB5022842, примените временные меры из этого руководства: сначала оцените влияние, затем либо временно отключите Secure Boot, либо подготовьте и выполните обновление ESXi до 8.0. Фикс от Microsoft пока не опубликован — следите за обновлениями на Windows Health Dashboard и в техподдержке VMware.

Важно: действуйте в соответствии с политиками безопасности вашей организации и документируйте все изменения.