如果你是一台高端惠普商用电脑（如 EliteBook、ProBook 或 ZBook 工作站）的用户，并且在 2026 年 4 月初更新了 BIOS，那么请小心了。
惠普正式承认，这次固件更新存在严重缺陷，导致大量设备陷入 BitLocker 恢复死循环，甚至在启动时就卡死在 Logo 界面。
发生了什么？
问题源于微软即将在 2026 年 6 月到期的旧版安全启动证书。为了过渡到新证书，Windows 11 需要在主板的 NVRAM 中暂存并更新密钥。
然而，惠普有问题的 BIOS 更新在修改安全启动变量时出现了异常：
- TPM 度量不匹配：固件更改了平台配置寄存器（PCR）中的启动度量值，导致其与 BitLocker 密封密钥时的基线不一致。
- 密钥释放失败：TPM 芯片认为系统被篡改，拒绝释放解密密钥，强制进入 BitLocker 恢复界面。
- 死循环：即使用户输入正确的恢复密钥进入系统，由于新证书未能成功写入固件，下次重启时度量值依然不匹配，再次要求输入密钥。
更糟糕的是，部分设备甚至无法进入恢复界面，直接卡在惠普 Logo 处冻结。
谁受影响？
- 机型：惠普商用笔记本电脑、台式机和高端工作站。
- 系统：运行 Windows 11 23H2、24H2 和 25H2 的设备。
- 时间点：安装了 2026 年 4 月初发布的特定 BIOS 版本的用户。
如何自救？（手动解决方法）
惠普提供了一套通过 BIOS 设置强制兼容的方案：
- 进入 BIOS：开机时反复按
F10。 - 找到安全启动配置：进入 Security > Secure Boot Configuration。
- 启用证书选项：勾选相应的框以启用所需的证书选项（具体选项名称需参照惠普支持文档，通常涉及允许加载第三方或更新证书）。
- 保存并重启：保存更改并退出。
- 等待更新完成：系统可能会多次重启以应用新的安全启动证书。
- 验证与回退：进入 Windows 后，可运行 PowerShell 脚本验证注册表状态。惠普建议，更新成功后，为了保持最高安全性，可以回到 BIOS 取消勾选刚才的选项（前提是不使用第三方引导加载程序）。
匆忙更新的代价
这次事故并非孤例。它暴露了 PC 行业在应对微软严格安全截止日期时的窘境。
微软要求硬件厂商在 2026 年 6 月前完成安全启动证书的迁移。为了合规，许多厂商（包括惠普）匆忙推送固件更新，却忽略了充分的验证测试。结果，原本旨在提升安全性的更新，反而成了破坏系统稳定性的元凶。
对于企业 IT 部门来说，这是一个惨痛的教训：
- 不要盲目推送：在大规模部署固件更新前，务必在小范围内进行充分测试。
- 备份恢复密钥：确保所有设备的 BitLocker 恢复密钥已备份至 Azure AD 或本地安全位置。
- 关注官方公告：密切关注惠普和微软的支持文档，及时获取修复补丁或临时解决方案。
写在最后
对于花费数千美元购买专业级设备的用户来说，稳定性是最基本的诉求。然而，他们却成了厂商匆忙合规的“测试员”。
惠普此次的快速回应和提供手动解法值得肯定，但更重要的是，整个行业需要重新审视固件更新的质量控制流程。毕竟，安全不应以牺牲可用性为代价。
如果你正被困在 BitLocker 循环中，不妨试试上述方法。希望你的数据安然无恙，也希望下一次更新能真正带来安全感，而不是焦虑。
