Windows 11/Server: WinRE USB-ongelma ja KB5070762-päivitys

Microsoft on julkaissut hätäkorjauksen (out-of-band, OOB) Windows 11:lle ja Windows Serverille sen jälkeen, kun käyttäjät havaitsivat, että USB-näppäimistöt ja -hiiret lakkaavat toimimasta Windows Recovery Environmentissä (WinRE). Nopean korjauksen kohteena ovat laitteet, joilla ajetaan Windows 11 24H2- ja 25H2-versioita sekä Windows Server 2025 -versioita. Tämä päivitys on tarkoitettu palauttamaan USB-syöttölaitteiden toimivuus palautusympäristössä, mikä on kriittinen osa vikatilanteiden ja järjestelmän palautuksen hallintaa.

Nopea reagointi häiritsevään WinRE-virheeseen

14. lokakuuta 2025 toimitettu Patch Tuesday -päivitys sisälsi WinRE:hen liittyvän komponentin, jonka vuoksi syntyi odottamaton sivuvaikutus: USB-syöttölaitteet eivät vastanneet palautusympäristössä. Käytännössä tämä tarkoitti, että käyttäjä saattoi käynnistää järjestelmän WinRE-tilaan, mutta ei pystynyt valitsemaan palautusvaihtoehtoja, koska näppäimistö ja hiiri eivät toimineet — vaikka samat laitteet toimivat normaalisti täydessä Windows-ympäristössä. Tällaista tilannetta voidaan luonnehtia vakavaksi käyttökokemuksen ja järjestelmän palautusmahdollisuuksien kannalta, koska WinRE on usein viimeinen vaihtoehto korjaaville toimenpiteille, kuten järjestelmän palautukselle, käynnistyskorjaukselle ja komentoriville pääsylle.

Vikatilanteen korjaamiseksi Microsoft julkaisi KB5070762:n, joka on Safe OS -dynamiikkapäivitys (tunnetaan myös nimellä Dynamic Update -paketti). Tämä päivitys seuraa aiempaa hätäjulkaisua KB5070773, joka käsitteli suoraan alkuperäistä USB-syöttöongelmaa. Microsoft kuvailee KB5070762:ta päivitykseksi, joka parantaa Windows Recovery Environmentin toimivuutta Windows 11:ssä (24H2 ja 25H2) sekä Windows Server 2025:ssä. Päivityksen tehtävänä on palauttaa WinRE:n kyky tunnistaa ja käsitellä USB-laitteita, mukaan lukien sekä kytketyt USB-näppäimistöt että USB-hiiret, sekä langattomien mahdollisten adapterien kautta yhdistetyt laitteet, jotka käyttävät HID-profiilia.

Mitä Safe OS Dynamic Update todellisuudessa tekee

Dynamic Update -paketit on suunniteltu sovellettaviksi olemassa oleviin Windows-kuviin ennen käyttöönottoa. Ne sisältävät korjauksia Setup.exe-binaareihin, SafeOS-komponentteihin, joita WinRE käyttää, sekä muita asennusaikaisia parannuksia. Tällaiset päivitykset voivat kattaa käynnistysaikaiset ajurit, sisäiset WinRE-moduulit ja muut komponentit, jotka eivät välttämättä päivity tavallisella Windows Update -ketjulla. Dynamic Update -paketit ovat erityisen hyödyllisiä, kun halutaan varmistaa, että Language Packit (LP) ja Features on Demand (FOD) -ominaisuudet säilyvät oikein päivitysten ja asennusten yhteydessä — esimerkiksi VBScript ja tietyt kielen lisäosat ja ominaisuudet voidaan edelleen jakaa FOD-muodossa Windows 11 24H2 -versiossa.

Teknisesti Safe OS -ympäristö (SafeOS) on eristetty asennus- ja palautusympäristö, jonka sisällä WinRE ajaa olennainen diagnostiikka- ja palautustyökalut. Kun SafeOS-komponentteihin kohdistuu muutos tai virhe, kuten USB-ajurien tai HID-käsittelyn poikkeava toiminta, se voi ilmetä juuri siinä ympäristössä ilman, että koko Windows-käyttöjärjestelmä näyttäisi olevan viallinen. Dynamic Update -pakettien etu on se, että ne voivat korjata näitä SafeOS-tason komponentteja ennen kuin kuva asennetaan loppukäyttäjän koneelle tai ennen työnkulkuja, jotka perustuvat ajan tasalla olevaan asennuskuvaan. Tämä minimoi riskin, että samankaltaiset WinRE-ongelmat leviävät laajasti organisaation uusille laitteille tai päivitykseen menneisiin koneisiin.

Miksi tämä on tärkeää

Kuvittele tilanne, jossa sinun täytyy palauttaa järjestelmä kriittisessä tilanteessa, mutta et voi navigoida palautusvalikossa, koska USB-näppäimistö ei vastaa. Tällaista skenaariota Microsoft halusi estää tällä hätäjulkaisulla. Korjaamalla SafeOS- ja WinRE-komponentteja yritys palautti normaalin USB-tuen palautusympäristössä, jotta järjestelmänvalvojat ja loppukäyttäjät voivat suorittaa vianetsintää ja korjauksia luotettavasti. Tämä on erityisen tärkeää organisaatioille, jotka käyttävät keskitettyä kuvienhallintaa (imaging) ja joissa rollback- tai recovery-toiminnot ovat osa SLA-vaatimuksia. Lisäksi WinRE:n vakaus on olennainen osa myös katastrofipalautussuunnitelmia (disaster recovery) ja tietoturvaprosesseja, joissa tuetaan esimerkiksi lukittujen tilien palautusta, BitLocker-avainten käsittelyä ja muiden käynnistysongelmien korjausta.

Lisäksi tämä tapaus korostaa sitä, miten tärkeää on testata asennuskuvia ja palautusympäristöjä käytännössä: usein tuotantoympäristöissä varmistetaan Windowsin pääkäyttöä, mutta WinRE:n ja SafeOS:n käyttäytymistä ei välttämättä testata yhtä kattavasti. KB5070762 muistuttaa organisaatioita siitä, että palautusympäristön testaus, ajurien yhteensopivuustarkastukset ja Dynamic Update -pakettien soveltaminen osaksi kuvanhallintaprosessia vähentävät käyttökatkoksia ja nopeuttavat palautusprosessia.

Miten saat päivityksen

Microsoftin mukaan päivityksen pitäisi ladata ja asentua automaattisesti niihin järjestelmiin, joita ongelma koskee. Jos haluat asentaa päivityksen manuaalisesti tai hallita käyttöönottoa tarkemmin, voit etsiä KB5070762:n Microsoft Update Catalog -sivustolta ja ladata oikean paketin järjestelmäsi kokoonpanolle ja arkkitehtuurille. On suositeltavaa valita oikea versio (x86, x64, ARM) ja huomioida järjestelmän build-numero ennen latausta. Lisäksi organisaation päivitysprosessissa kannattaa dokumentoida, missä vaiheessa Dynamic Update on sovellettu osaksi master-kuvaa, jotta uudelleenkäynnistykset ja asennustestit voidaan suorittaa hallitusti.

• Tarkista Windows Update automaattista toimitusta varten (Check Windows Update for automatic delivery).
• Etsi "KB5070762" Microsoft Update Catalog -sivustolta ja lataa paketti manuaalisesti halutulle arkkitehtuurille (x86/x64/ARM).
• Sovella Dynamic Update -paketteja kuviin ennen käyttöönottoa, jos hallitset käyttöjärjestelmän provisiointia tai imaging-prosesseja.

Suurille organisaatioille on suositeltavaa integroida Safe OS -dynamiikkapäivitykset osaksi standardoitua kuvanhallintaprosessia (imaging/DEPLOY) niin, että kaikki uudet laitekuvat sisältävät korjaukset ennen jakelua. Tämä varmistaa sen, että uudelleenkäynnistetyt ja vasta asennetut laitteet eivät kohtaa samaa WinRE-USB-ongelmaa ja että ylläpitohenkilöstö voi käyttää palautustyökaluja ilman lisätyötä. Pienkäyttäjille riittää usein, että sallii Windows Updaten hoitaa asennuksen automaattisesti; toimenpide palauttaa USB-toiminnallisuuden WinRE-tilassa ja mahdollistaa esimerkiksi käynnistyskorjaukset, palautuspisteet ja komentorivipääsyn ilman lisälaiteongelmia.

KB5070762:n asennuksen jälkeen on suositeltavaa testata palautusympäristön toiminta: käynnistä kone WinRE-tilaan (esimerkiksi Shift + Käynnistä uudelleen -toiminnolla tai asennusmedian kautta), kokeile eri USB-näppäimistöjä ja -hiiriä, sekä tarkista, että kaikki tarvittavat diagnostiset työkalut latautuvat ja toimivat odotetusti. Jos laitteessa on turvaominaisuuksia kuten BitLocker, varmista myös, että palautusprosessit ja avainten hallinta toimivat päivityksen jälkeen ilman yhteensopivuusongelmia. Näin varmistat, että hätätilanteessa palautustoiminnot eivät jää kiinni laiteajureihin tai WinRE-komponentteihin liittyvään virheeseen.

Microsoftin nopea OOB-vastaus korostaa, kuinka kriittinen WinRE:n vakaus on sekä vianmäärityksen että katastrofipalautuksen kannalta. Jos halusit päivittää Windowsin turvapäivitysten jälkeen ja havaitsit USB-syöttökatkokset WinRE-tilassa lokakuun tietoturvapäivityksen jälkeen, asenna KB5070762 mahdollisimman pian tai varmista, että organisaatiosi IT-osasto on ottanut päivityksen käyttöön kuviinsa. Näin minimoit riskin, että palautuspolkuja ei voida käyttää todellisissa hätätilanteissa.