Ошибка 0x80096004 при обновлении Windows: решение

Ошибка 0x80096004 при обновлении Windows означает TRUST_E_CERT_SIGNATURE — сбой проверки цифровой подписи файлов обновления. Windows не может убедиться в подлинности загруженных файлов и отказывается их устанавливать. Ошибка устраняется восстановлением доверенных сертификатов и компонентов проверки подписей. Подробнее об управлении обновлениями в нашем блоге.

Что означает ошибка 0x80096004 и почему возникает

Код 0x80096004 соответствует TRUST_E_CERT_SIGNATURE — ошибка при проверке подписи сертификата. Windows проверяет цифровую подпись каждого файла обновления перед установкой. Если проверка не проходит, обновление блокируется.

Механизм проверки подписей:

1. Windows загружает файл обновления с серверов Microsoft
2. Проверяет цифровую подпись файла используя хранилище доверенных сертификатов
3. Если цепочка доверия нарушена или подпись не совпадает — возникает ошибка 0x80096004

Основные причины ошибки:

• Неверные дата и время — SSL-сертификаты имеют срок действия, неверное время делает действующий сертификат «недействительным»
• Поврежденное хранилище сертификатов — корневые сертификаты удалены или повреждены
• Повреждение компонентов WU — файлы проверки подписей corrupted
• Вмешательство безопасного ПО — некоторые корпоративные инструменты безопасности изменяют поведение проверки сертификатов
• Поврежденный загруженный файл — файл обновления скачан с ошибкой

Лицензионная Windows из нашего каталоге Windows получает обновления корректно и все компоненты проверки подписей работают штатно.

Проверка системного времени и сертификатов

Наиболее частая причина ошибки 0x80096004 — неверные дата или время на компьютере. Это первое что нужно проверить.

Проверка и исправление времени:

1. Щелкните правой кнопкой по часам в панели задач
2. Выберите «Настройка времени и даты»
3. Убедитесь что часовой пояс установлен правильно
4. Включите «Устанавливать время автоматически»
5. Нажмите «Синхронизировать сейчас»

Принудительная синхронизация через командную строку:

w32tm /resync /force
net stop w32time
net start w32time
w32tm /resync

Проверка корневых сертификатов через PowerShell:

# Список доверенных корневых сертификатов
Get-ChildItem -Path Cert:LocalMachineRoot | Select-Object Subject, NotAfter, Thumbprint | Sort-Object NotAfter

Обновление корневых сертификатов вручную:

# Принудительное обновление через certutil
certutil -generateSSTFromWU roots.sst
certutil -addstore -f Root roots.sst

Также проверьте хранилище промежуточных сертификатов:

certmgr.msc

Откройте «Доверенные корневые центры сертификации» и убедитесь что присутствуют сертификаты Microsoft. Если хранилище пустое или в нем нет Microsoft-сертификатов — это причина ошибки.

Сброс компонентов Windows Update и очистка кэша

Поврежденный кэш обновлений может содержать частично загруженные файлы с неверной подписью. Сброс компонентов очищает кэш и пересоздает базу этих обновлений.

Полный сброс через командную строку от администратора:

net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver

ren C:WindowsSoftwareDistribution SoftwareDistribution.old
ren C:WindowsSystem32catroot2 catroot2.old

net start wuauserv
net start cryptSvc
net start bits
net start msiserver

Дополнительная очистка папок кэша:

Stop-Service wuauserv -Force
Remove-Item "C:WindowsSoftwareDistributionDownload*" -Recurse -Force -ErrorAction SilentlyContinue
Start-Service wuauserv

Перерегистрация DLL-компонентов Windows Update:

regsvr32 wuapi.dll
regsvr32 wuaueng.dll
regsvr32 cryptdlg.dll

После сброса перезагрузите компьютер и запустите проверку обновлений.

Восстановление системных файлов через SFC и DISM

Повреждение системных файлов может нарушать работу компонентов проверки подписей. SFC и DISM восстанавливают поврежденные файлы из оригинальных источников.

Запуск DISM для восстановления образа Windows (требует интернет):

DISM /Online /Cleanup-Image /CheckHealth
DISM /Online /Cleanup-Image /ScanHealth
DISM /Online /Cleanup-Image /RestoreHealth

Запустите команды последовательно и дождитесь завершения каждой. DISM /RestoreHealth может занять 15-30 минут.

После DISM запустите SFC:

sfc /scannow

Восстановление хранилища компонентов Windows если DISM завершается с ошибкой:

# Использовать ISO как источник
DISM /Online /Cleanup-Image /RestoreHealth /Source:WIM:D:sourcesinstall.wim:1 /LimitAccess

Где D: — диск с подключенным ISO Windows. Подробнее о загрузке ISO для загрузки оригинального образа.

Перезапустите компьютер после завершения всех команд. Если SFC сообщает «Защита ресурсов Windows обнаружила поврежденные файлы и успешно их восстановила» — причина найдена и устранена. Повторите попытку обновления.

Ручная установка обновления и дополнительные методы

Если автоматическое обновление не работает после всех предыдущих шагов, установите обновление вручную через Microsoft Update Catalog.

Ручная загрузка и установка обновления:

1. Запишите KB-номер обновления которое не устанавливается
2. Откройте catalog.update.microsoft.com
3. Введите KB-номер в строке поиска
4. Скачайте файл .msu для вашей архитектуры
5. Запустите .msu от имени администратора

Проверка службы криптографии:

# Проверить статус
Get-Service CryptSvc

# Перезапустить
Restart-Service CryptSvc -Force

# Установить тип запуска
Set-Service CryptSvc -StartupType Automatic

Проверка политики выполнения цепочки сертификатов:

certutil -setreg chainChainCacheResyncFiletime @now

Если ошибка возникает только для конкретных обновлений, временно приостановите их и дождитесь следующего накопительного обновления которое включит пропущенные исправления. Подробнее об управлении в разделе управлении обновлениями.

Если ничего не помогает, рассмотрите восстановление через точках восстановления до состояния когда обновления работали. Ознакомьтесь с справочником кодов ошибок Windows Update от Microsoft.

Проверенные конфигурации для стабильной работы

Тестирование проводилось на нескольких конфигурациях. Ниже приведены результаты, которые помогут оценить применимость решений к вашей системе.

На SSD-накопителях операции восстановления и сканирования выполняются в 3-5 раз быстрее. Если система установлена на HDD, рассмотрите перенос Windows на SSD.

Расширенная диагностика

Когда стандартные методы не помогают, переходите к углубленной диагностике. Каждый из приведенных инструментов раскрывает свой аспект проблемы.

Журнал событий Windows

Откройте eventvwr.msc и проверьте разделы Система и Приложение. Ищите записи с красным крестом (ошибки) и желтым треугольником (предупреждения) за последние 24 часа. Код события и источник подскажут, какой компонент дал сбой.

# Быстрый просмотр последних ошибок через PowerShell
Get-EventLog -LogName System -EntryType Error -Newest 20 | Format-Table TimeGenerated, Source, Message -AutoSize

Проверка целостности системных файлов

# Запуск SFC из командной строки администратора
sfc /scannow

# Если SFC обнаружил проблемы, запустите DISM
DISM /Online /Cleanup-Image /RestoreHealth

# После DISM повторите SFC
sfc /scannow

Процесс DISM загружает эталонные файлы из Windows Update. Убедитесь в стабильном интернет-соединении. На медленном канале операция занимает до 30 минут.

Мониторинг стабильности

Введите perfmon /rel в строке Выполнить (Win + R). Монитор стабильности покажет историю сбоев за последние недели в виде графика. Каждое падение рейтинга стабильности ведет к конкретному событию — щелкните на дату для подробностей.

Профилактика и предотвращение повторных ошибок

Исправить ошибку один раз недостаточно. Важно настроить систему так, чтобы проблема не вернулась. Вот конкретные шаги.

Регулярное обслуживание

• Запускайте sfc /scannow раз в месяц для проверки целостности файлов
• Очищайте папку C:WindowsTemp и %TEMP% еженедельно
• Проверяйте свободное место на системном диске — минимум 15% должно быть свободно
• Обновляйте драйверы через Диспетчер устройств, а не через сторонние программы

Создание точки восстановления перед изменениями

Перед установкой обновлений, драйверов или программ создавайте точку восстановления. Это занимает 30 секунд, но экономит часы при откате:

# Создание точки восстановления через PowerShell
Checkpoint-Computer -Description "Перед обновлением" -RestorePointType MODIFY_SETTINGS

Подробная инструкция доступна в статье о создании точек восстановления.

Резервное копирование

Настройте автоматическое резервное копирование через встроенную историю файлов или создайте полный образ системы. При критических сбоях восстановление из образа занимает 15-20 минут вместо нескольких часов ручной настройки.

Часто задаваемые вопросы

Что означает ошибка 0x80096004 при обновлении Windows?

Код 0x80096004 означает TRUST_E_CERT_SIGNATURE — ошибку проверки цифровой подписи. Windows не может подтвердить подлинность файлов обновления через цепочку доверенных сертификатов и блокирует установку в целях безопасности.

Почему неверное время вызывает ошибку обновления?

SSL-сертификаты и сертификаты подписи кода имеют срок действия. Если системное время значительно отличается от реального, действующий сертификат может выглядеть как истекший или еще не начавший действовать. Это вызывает ошибки проверки доверия.

Безопасно ли запускать certutil -addstore для добавления сертификатов?

Безопасно если вы добавляете сертификаты только из файла roots.sst сгенерированного командой certutil -generateSSTFromWU. Этот файл содержит официальные корневые сертификаты Microsoft. Никогда не добавляйте сертификаты из непроверенных источников.

Можно ли пропустить ошибку 0x80096004 и продолжить работу?

Можно приостановить проблемное обновление на срок до 5 недель через Параметры обновления. Однако рекомендуется устранить причину ошибки так как она указывает на проблему с системой безопасности — нарушение проверки цифровых подписей.