Windows Server 2025の2026年4月アップデートで深刻障害｜LSASSクラッシュ・DC再起動ループの原因と緊急対処法

2026年4月14日のパッチチューズデーにおいて、Windows Server 2025向けに以下の更新プログラムが配信されました。

SharePoint Serverで第三者が別のユーザーになりすますことができる脆弱性です。すでに実際の攻撃への悪用が確認されており、エンタープライズ環境では特に早急な対応が必要です。

ブラウザエンジンの深刻なバグです。サーバー上でブラウザベースの管理ツールを使用している環境では注意が必要です。

今回の最も深刻な障害です。KB5082063の適用後、ドメインコントローラー（DC）でLSASS（Local Security Authority Subsystem Service）がクラッシュし、サーバーが自動的に再起動を繰り返す状態に陥ります。

• KB5082063適用後の再起動でサーバーが起動しない
• イベントログに「LSASS.exe」のクラッシュエラーが記録される
• ドメイン参加PCからのログインがすべて失敗する
• Active Directory認証サービスが応答しなくなる
• サーバーが自動的に再起動を繰り返す

Macrium Reflect・Acronis Cyber Protect・NinjaOne・UrBackupなどのバックアップソフトが正常に動作しなくなります。

原因： バックアップソフトが共通して使用する「psmounterex.sys」ドライバが、CVE-2023-43896への対策としてWindowsのブロックリストに追加されたためです。

表示されるエラーメッセージ：

アップデート適用後の再起動時に、BitLockerが有効なサーバーやPCで突然「BitLocker回復キーを入力してください」という画面が表示されます。

• OSドライブでBitLockerが有効になっている
• TPM検証プロファイルにPCR7が含まれているが「バインディング不可能」の状態
• 非推奨のグループポリシー（TPMプラットフォーム検証プロファイル）が有効

一部の環境では、KB5082063のインストール自体が途中で失敗し、ロールバックされるケースが確認されています。この場合もOOBパッチ（KB5091157）の適用で解決します。

• OOBパッチを先にダウンロードする

  Microsoft Update CatalogからKB5091157をダウンロードします。
  URL：catalog.update.microsoft.com で「KB5091157」を検索

• 定例パッチ（KB5082063）を適用する

  WSUSまたはWindows Updateから通常通り適用します。

• 直ちにOOBパッチ（KB5091157）を適用する

  定例パッチ適用後、再起動前または再起動後にOOBパッチを適用します。

  wusa.exe KB5091157.msu /quiet /norestart
• サーバーを再起動して確認する

  LSASSが正常に起動し、Active Directory認証が機能していることを確認します。

• セーフモードまたはDSRM（ディレクトリサービス復元モード）で起動する

  起動時に F8 を押し「セーフモード」を選択。または起動メニューから「ディレクトリサービス復元モード」を選択します。

  bcdedit /set safeboot dsrepair
• 問題のあるパッチをアンインストールする

  wusa /uninstall /kb:5082063 /quiet /norestart
• OOBパッチ（KB5091157）をダウンロードして適用する

  別のPCでMicrosoft Update CatalogからKB5091157をダウンロードし、USBメモリ等でDCに転送して適用します。

  wusa.exe KB5091157.msu /quiet /norestart
• セーフモード設定を解除して再起動する

  bcdedit /deletevalue safeboot

  その後サーバーを再起動します。

• Active Directory・LSASS・認証の正常動作を確認する

  イベントビューアーでLSASSのエラーがないことを確認し、ドメイン参加PCからのログインをテストします。

  net logon dcdiag /test:replications repadmin /showrepl
• 定例パッチ（KB5082063）を再適用する

  OOBパッチ適用後は、KB5082063を再度適用しても安全です。セキュリティ修正のため、適用を推奨します。

各ベンダーが新しいドライバを含む修正版をリリースしています。

コマンドプロンプトを管理者として開き実行します。

• BitLocker回復キーを確認する

  以下の場所で確認できます。

  • Active Directory： AD管理ツールでコンピューターオブジェクトを確認
  • Microsoft Entra ID（旧Azure AD）： 管理ポータルのデバイス管理から確認
  • Microsoftアカウント： account.microsoft.com/devices/recoverykey
  • 印刷・保存したバックアップ： BitLocker設定時に保存した場所
• 48桁の回復キーを入力して起動する

  正しく入力するとサーバーが起動します。

• グループポリシーの設定を見直す（再発防止）

  非推奨のTPMプラットフォーム検証プロファイルのグループポリシーが有効になっている場合は無効化します。

  gpedit.msc → コンピューターの構成 → 管理用テンプレート → Windowsコンポーネント → BitLockerドライブ暗号化 → 「ネイティブUEFIファームウェア構成のTPMプラットフォーム検証プロファイル」 → 「未構成」または「無効」に設定

KB5082063を適用する前に、以下を必ず確認・実施してください。

• DCのフルバックアップ（またはスナップショット）を取得した
• BitLocker回復キーをActive DirectoryまたはEntra IDに保存・確認した
• PAMが有効な環境か確認した（有効な場合は特に注意）
• 非GCのDCが存在するか確認した
• OOBパッチ（KB5091157）を事前にダウンロードした
• まず非重要なDCに適用してテストする計画を立てた
• 業務時間外または低負荷時間帯での適用を計画した
• 適用後のロールバック手順を確認・準備した

• バックアップソフト（Macrium・Acronis等）を最新バージョンに更新した
• パッチ適用前に手動バックアップを取得した
• バックアップの復元テストを事前に実施した
• VSSスナップショットが正常に動作するか確認した

すべてのDCに同時適用せず、非重要DCでのテスト適用 → 安定確認 → 本番DCへの展開という段階的なプロセスを徹底してください。

すべてのサーバー・PCのBitLocker回復キーをActive DirectoryまたはMicrosoft Entra IDに集中管理し、定期的にバックアップが正常に保存されているか確認してください。

バックアップソフトへの依存リスクを考慮し、重要なサーバーデータは外部ストレージやオフラインメディアへの定期バックアップを並行して実施してください。

定例パッチチューズデー以外にも緊急パッチがリリースされる場合があります。Microsoft Security Update GuideやWSUSのアラートを定期的に確認する体制を整えてください。