Windows Server 2022: September-Update KB5030216 bereitet Boot-Probleme (auch VMware und Hyper-V)

[English]Ich hole nochmals ein Thema hoch, welches Administratoren seit Monaten beschäftigt, aber wohl mit den September 2023-Sicherheitsupdates einige Maschinen mit Windows Server 2022 getroffen hat. Nach Installation des Sicherheitsupdates KB5030216 können die Maschinen nicht mehr booten. Das gilt auch für virtuelle Maschinen unter Hyper-V oder VMware ESXi.

Windows Server 2022 Update KB5030216

Das kumulative Update KB5030216 wurde zum 12. September 2023 für Windows Server 2022 freigegeben (siehe Patchday: Windows 11/Server 2022-Updates (12. September 2023)). Microsoft schreibt zwar im Supportbeitrag zu diesem Update, dass Windows Server 2022 auf virtuellen Gastmaschinen (VMs) möglicherweise nicht mehr startet. Das betrifft nur Windows Server 2022 VMs mit aktiviertem Secure Boot. Explizit werden VMware ESXi und vSphere ESXi 7.0.x als betroffene Umgebungen genannt.

Es gibt dazu den Supportbeitrag Virtual Machine with Windows Server 2022 KB5022842 (OS Build 20348.1547) configured with secure boot enabled not booting up (90947) von Mai 2023, der von Microsoft als Lösung verlinkt wird. Denn im Mai 2023 trat das Boot-Problem erstmals auf und wurde durch Updates von Microsoft sowie Aktualisierung der VMware-Produkte angeblich gelöst.

Leser melden Probleme

Administratoren, die hier im Blog mitlesen, dürfte der im Mai 2023 aufgetretene und von VMware im Supportbeitrag beschriebene Sachverhalt bekannt sein. Was mir daher komisch vorkommt, ist der Umstand, dass sich Leser hier im Blog mit der Beobachtung melden, dass es Boot-Probleme unter Windows Server 2022 in Verbindung mit dem Update gibt.

In diesem Kommentar hat sich ein Administrator gemeldet und schreibt, dass das Update KB5030216 den Windows Server 2022 gekillt habe. Der Server sei nach der Update-Installation nicht mehr hochgefahren, und ist in den Reparatur Modus gegangen. Leider hat die Reparatur nichts gebracht und das Update habe ich auch nicht mehr deinstallieren lassen. Ich interpretiere diesen Kommentar so, dass das Problem auf einem Bare-Metal-Server auftrat. Der Leser schreibt aber, dass er auch in der VM wo er den Server testet, das gleiche Problem habe.

Ein Administrator berichtet in einem weiteren Kommentar von einem Kunden, wo eine virtuelle Maschine mit Windows Server 2022 auf einem Windows Server 2022 Hyper-V Host nach den Updates nicht mehr bootet. Dank Backup war das Problem zwar schnell behoben, aber die Update-Installation musste deaktiviert werden.

Es hakt auch bei Windows Server 2019

Irgend etwas muss da doch gewaltig haken. In diesem Kommentar meldet sich ein Leser, der schreibt, dass der seit Monaten keine Updates mehr auf manche Windows Server 2016 und Windows Server 2019 Maschinen installieren kann, wenn bei diesen Secure Boot aktiv ist. Eine Lösung hat er keine Gefunden,  die Installation scheitert immer nach dem Reboot bei ca. 99%. Die Log-Files geben bezüglich einer Diagnose auch nichts her.

Und in diesem Kommentar meldet jemand vier Maschinen mit Windows Server 2019, die nach dem Update vom September 2023 in die Wiederherstellung fahren. Weitere ca. 50 andere Server machen keine Probleme. Zusammenhänge konnte der Administrator keine entdecken. Es sind sowohl VMware als auch Hyper V als Virtualisierungslösung im Einsatz. Die nicht startenden Maschinen finden sich auf VMware.

Es hängt an VBS

In diesem Kommentar gibt der Leser an, dass man das Problem unter VMware eingrenzen konnte. Die betroffenen VMs hatten in den VMware-Einstellungen der virtuellen Maschinen VBS (Virtualisierende basierte Sicherheit) aktiv. Innerhalb der VM war das per Lokaler Sicherheitsrichtlinie ebenfalls aktiv. Nach Deaktivieren des Secure Boot und der VBS konnte das Update ohne Probleme installiert werden. Danach kann man diese Features auch wieder einschalten.

Diskussion in der VMware-Community

Ein Blog-Leser weist hier darauf hin, dass es Probleme mit dem September 2023-Update in Verbindung mit VMware auf AMD CPUs und Windows Server 2019 VMs mit VBS und aktiviertem Secure Launch gebe. Diese konkrete Funktion lasse sich nach dem Update auch nicht wieder aktivieren. Es gibt eine Diskussion in der VMware Community zu diesem Thema.