Certyfikaty bezpiecznego rozruchu systemu Windows wygasają w czerwcu 2026 r.: Co zrobić teraz?

Zaufanie kryptograficzne, które leży u podstaw każdego nowoczesnego rozruchu systemu Windows, przechodzi cichą, ale istotną transformację. Certyfikaty Secure Boot, dostarczane z komputerami od 2011 roku, zaczną wygasać w czerwcu 2026 roku, a Microsoft pracuje nad ich zastąpieniem nowszą rodziną certyfikatów z 2023 roku, dostarczaną za pośrednictwem usługi Windows Update. Przerażająca wersja tej historii jest taka, że ​​urządzenia mogą nie uruchamiać się. Rzeczywistość jest jednak znacznie mniej dramatyczna i dla większości użytkowników problem jest praktycznie niezauważalny.

Szybka odpowiedź: Włącz usługę Windows Update i zainstaluj najnowsze aktualizacje zbiorcze . Następnie otwórz Zabezpieczenia systemu Windows, przejdź do Zabezpieczenia urządzeń > Bezpieczny rozruch i upewnij się, że status pokazuje nowy łańcuch zaufania 2023. W przypadku większości obsługiwanych urządzeń nie jest wymagana ręczna praca z oprogramowaniem układowym.

---

Które certyfikaty Secure Boot tracą ważność w 2026 roku?

To nie jest jeden termin. Infrastruktura z 2011 roku będzie stopniowo zamykana etapami w ciągu roku, dlatego krążą różne daty. Pierwsze daty wygaśnięcia zaczynają się pod koniec czerwca, a klucze do systemu operacyjnego Windows wygasają kilka miesięcy później, w październiku.

Certyfikat	ال	Data ważności
KEK CA 2011	Klucz wymiany kluczy, używany do aktualizacji baz danych podpisów	24 czerwca 2026 r
UEFI CA 2011	Podpis strony trzeciej	27 czerwca 2026 r
Windows Production PCA 2011	Oryginalny klucz Menedżera rozruchu systemu Windows	Październik 2026

Wprowadzone na rynek w 2023 roku komputery zastępcze zostały zaprojektowane tak, aby podtrzymać to zaufanie i oczekuje się, że pozostaną ważne do 2038 roku. Najbliższym celem jest po prostu przeniesienie istniejących komputerów do nowej serii, zanim stara seria stanie się bezużyteczna.

---

Co się stanie, jeśli nie dotrzymam terminu w czerwcu 2026 r.?

Już pierwszego dnia nic nie pójdzie źle. Komputer, który nadal korzysta z certyfikatów z 2011 roku, będzie działał normalnie. Wygaśnięcie certyfikatu nie oznacza, że ​​urządzenie zostanie całkowicie wyłączone.

Koszt jest wolniejszy i kumuluje się. Systemy, które nadal korzystają ze starszych certyfikatów, mogą przestać otrzymywać krytyczne aktualizacje zabezpieczeń rozruchu i mogą nie otrzymywać przyszłych aktualizacji listy odwołań DBX. Lista ta blokuje znane złośliwe komponenty rozruchowe i zagrożenia typu bootkit, takie jak BlackLotus. Z czasem urządzenie, które nie otrzyma serii 2023, staje się trudniejsze do ochrony przed atakami na poziomie oprogramowania układowego i może oczekiwać przyszłego menedżera rozruchu lub środowiska odzyskiwania z zaufanymi materiałami, których brakuje urządzeniu.

Dlatego sformułowanie „działa dziś” jest trafne. Nie jest jednak tym samym, co „pozostaje bezpieczne na zawsze”.

Jak sprawdzić stan bezpiecznego rozruchu w systemie Windows

Nie musisz już zgadywać, kiedy pojawią się aktualizacje. System Windows wyświetla teraz status certyfikatu bezpośrednio w aplikacji Zabezpieczenia systemu Windows, eliminując konieczność wyszukiwania w programie PowerShell, jak to miało miejsce wcześniej.

1. Wpisz „Zabezpieczenia systemu Windows” w pasku wyszukiwania i otwórz go. To wbudowany panel sterowania do ochrony urządzenia.

2. Wybierz opcję „Zabezpieczenia urządzenia” , a następnie przewiń w dół do pozycji „Bezpieczny rozruch” . Tekst statusu i kolor identyfikatora wskazują aktualny stan urządzenia.

3. Przeczytaj komunikat. „Bezpieczny rozruch jest włączony, co zapobiega ładowaniu złośliwego oprogramowania podczas uruchamiania urządzenia” to stan normalny. Wiersz informujący o „starszej konfiguracji zaufania rozruchowego, która powinna zostać zaktualizowana” oznacza, że ​​proces migracji nie został jeszcze zakończony.

Jeśli wolisz jednoznaczną odpowiedź „tak” lub „nie”, otwórz program PowerShell jako administrator i uruchom pojedyncze skanowanie. Komputer musi być w trybie UEFI z włączonym bezpiecznym rozruchem; polecenie nie zadziała z poziomu maszyny wirtualnej.

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Wartość referencyjna True Do istnienia certyfikatu z 2023 r. Co do False Oznacza to, że nowy certyfikat nie został jeszcze wdrożony.

---

Co oznaczają zielone, żółte i czerwone znaczki Secure Boot?

Wskaźnik stanu w Zabezpieczeniach systemu Windows pokazuje trzy wyraźne stany. Użyj go, aby określić, czy możesz już przestać się martwić, czy też urządzenie wymaga dokładniejszego skanowania.

Odznaka	znaczenie	Akcja
Zielony	Potwierdzono nowe certyfikaty na rok 2023	Nie jest wymagane żadne działanie.
żółty	Nadal korzysta ze starszych certyfikatów lub oczekuje na stopniową dystrybucję.	ثبّت Aktualizacje Uruchom ponownie urządzenie i sprawdź później.
czerwony	Problem z konfiguracją rozruchu uniemożliwia aktualizację.	Rozwiąż problemy z oprogramowaniem sprzętowym lub konfiguracją bezpiecznego rozruchu albo zastosuj oprogramowanie sprzętowe OEM.

Czerwony wskaźnik jest szczególnie istotny dla zespołów IT. Zazwyczaj oznacza on, że stan oprogramowania układowego, układ dysków lub urządzenie docelowe uniemożliwia automatyczne dostarczenie urządzenia przez firmę Microsoft, więc samo ponowne uruchomienie usługi Windows Update może nie rozwiązać problemu. W takich przypadkach konieczne może być rozwiązanie bardziej złożonych problemów z oprogramowaniem układowym lub ustawieniami rozruchu . Aby uzyskać więcej informacji na temat aktualizacji systemu do systemu Windows 11, zapoznaj się z naszymi innymi artykułami.

---

Folder SecureBoot i dodatkowe ponowne uruchomienia: Dlaczego są normalne?

Dwa aspekty tej aktualizacji budzą obawy użytkowników. Pierwszy to pojawienie się nowego folderu o nazwie SecureBoot Na dysku C: ten folder to legalny, tymczasowy obszar przechowywania, w którym system Windows umieszcza pliki certyfikatów przed zainstalowaniem ich w oprogramowaniu sprzętowym płyty głównej. Usunięcie tego folderu to swego rodzaju „porządek”, który powoduje dokładnie te problemy, których chcesz uniknąć, dlatego zaleca się pozostawienie go bez zmian.

Drugim aspektem są częste restarty. Przesyłanie danych do oprogramowania układowego wymaga jednego restartu w celu przygotowania certyfikatów, kolejnego w celu ich zastosowania przez oprogramowanie układowe oraz trzeciego w celu załadowania nowo podpisanego bootloadera. Dlatego aktualizacja wymagająca częstszych restartów niż zwykle jest w tym przypadku oczekiwanym zachowaniem, a nie oznaką niepowodzenia instalacji.

Nie ma również potrzeby wyłączania funkcji BitLocker. Ten proces jest zgodny z funkcją BitLocker i automatycznie blokuje klucze zarówno dla funkcji BitLocker, jak i trybu Virtual Secure Mode, zapewniając, że funkcja Windows Hello i szyfrowanie dysku pozostaną nienaruszone po ponownym uruchomieniu.

---

Kiedy aktualizacja certyfikatu Secure Boot jest pomijana lub blokowana?

Nie wszystkie urządzenia otrzymują nowe certyfikaty i jest to celowe. Zasady regulujące tę kwestię są konkretne i jasne.

• Starsze systemy BIOS Te systemy są całkowicie pomijane. Nie obsługują bezpiecznego rozruchu, dlatego są oznaczane jako niezdolne do obsługi, a system Windows nigdy nie próbuje ich aktualizować.
• Urządzenia CSM (moduł obsługi zgodności) Aktualizację można zainstalować pod warunkiem, że system obsługuje UEFI i Secure Boot.
• Wyłączanie bezpiecznego rozruchu w BIOS-ie Aktualizacja jest celowo blokowana. Ze względu na znaczne różnice w implementacjach UEFI, Microsoft wymaga aktywnego włączenia funkcji Secure Boot, aby uniknąć uszkodzenia sekwencji rozruchowej.

Jeśli celowo wyłączysz funkcję Bezpiecznego rozruchu, urządzenie będzie nadal korzystać ze starych certyfikatów do momentu ponownego uruchomienia. Warto zwrócić uwagę na pewien szczególny przypadek: wyczyszczenie pamięci CMOS lub zresetowanie systemu BIOS po migracji może przywrócić pierwotną konfigurację i spowodować naruszenie funkcji Bezpiecznego rozruchu podczas uruchamiania. Zazwyczaj można to naprawić, zezwalając systemowi Windows na ponowne zastosowanie certyfikatów lub importując najnowsze klucze za pomocą ustawień oprogramowania układowego.

Czy urządzenia z systemem Windows 10 również tego potrzebują?

Tak, urządzenia z systemem Windows 10 wymagają tej aktualizacji. Infrastruktura bazowa dla funkcji Secure Boot jest współdzielona, ​​co oznacza, że ​​obsługiwane systemy Windows 10 otrzymują te same certyfikaty 2023. Jednak kwalifikowalność jest warunkiem wstępnym; urządzenie z systemem Windows 10 musi mieć włączoną usługę Extended Security Updates (ESU), aby nadal otrzymywać odpowiednie aktualizacje, ponieważ transfer certyfikatów odbywa się za pośrednictwem usługi Windows Update.

W przypadku zwykłych użytkowników, okres obowiązywania ESU dla systemu Windows 10 obowiązuje przez rok po zakończeniu wsparcia podstawowego. Po zamknięciu tego okresu, urządzenie z systemem Windows 10, które nie zostało zmigrowane, będzie miało znacznie osłabioną ochronę rozruchu, ponieważ nie będzie już otrzymywać aktualizacji.

---

Wymuś ręczną aktualizację certyfikatu Secure Boot

Większość użytkowników domowych zazwyczaj nie musi wykonywać tego kroku. Proces migracji jest zaprojektowany tak, aby przebiegał automatycznie za pośrednictwem usługi Windows Update, a włączenie diagnostyki w Ustawieniach > Prywatność i bezpieczeństwo > Diagnostyka i opinie pomaga systemowi zidentyfikować istniejące certyfikaty. Jeśli jednak masz problemy z urządzeniem, które nie radzi sobie z aktualizacjami , istnieje obsługiwana metoda ręcznego uruchomienia aktualizacji.

1. Otwórz wiersz polecenia jako administrator i wybierz flagę „Dostępne aktualizacje”. Spowoduje to, że system Windows skonfiguruje aktualizację Bezpiecznego rozruchu.

reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

2. Uruchom zaplanowane zadanie, które wykona aktualizację.

Start-ScheduledTask -TaskName "MicrosoftWindowsPISecure-Boot-Update"

3. Uruchom ponownie komputer; spodziewaj się, że uruchomi się on automatycznie kilka razy przed ustabilizowaniem. Następnie ponownie uruchom skanowanie programu PowerShell, o którym mowa powyżej. Wynik wskazuje... True Do 2023 roku certyfikat jest już aktywny.

Uwaga: Jeśli aktualizacja nadal się nie powiedzie, urządzenie może wymagać aktualizacji oprogramowania układowego od producenta. Niektóre starsze płyty główne nie akceptują nowej architektury certyfikatów bez zaktualizowanej wersji UEFI.

---

Serwery, Hyper-V i floty przedsiębiorstw

Środowiska zarządzane wymagają większej uwagi niż komputery konsumenckie. System Windows Server nie obsługuje automatycznego procesu aktualizacji przeznaczonego dla użytkowników indywidualnych, dlatego administratorzy muszą ręcznie wprowadzać nowe certyfikaty, postępując zgodnie z wytycznymi firmy Microsoft dotyczącymi przygotowywania serwerów do aktualizacji certyfikatów Secure Boot. Wdrożenia Hyper-V mogą również wymagać aktualizacji zarówno na maszynach wirtualnych hosta, jak i gościa, zanim zmiany zostaną prawidłowo zaimplementowane.

Nie włączaj zasady „Włącz aktualizacje certyfikatów bezpiecznego rozruchu” dla całej floty urządzeń. Różnice w oprogramowaniu układowym między modelami mogą powodować awarie, a wymuszenie masowego restartu bez weryfikacji zgodności platformy może uwięzić zaszyfrowane urządzenia w pętli odzyskiwania BitLockera. Dlatego najpierw przetestuj reprezentatywny podzbiór każdego modelu urządzenia.

Rozruch sieciowy (rozruch PXE) ma swoje ograniczenia. Protokół może zapewnić tylko jednego menedżera rozruchu na klienta, co oznacza, że ​​menedżery rozruchu z 2011 i 2023 roku nie mogą współistnieć w jednym pliku boot.wim. Po migracji całej floty administratorzy mogą ręcznie przesłać i zaktualizować plik boot.wim za pomocą narzędzia DISM. Do celów monitorowania firma Microsoft udostępnia skrypty programu PowerShell, a urządzenia zarządzane przez usługę Intune mogą wyświetlać identyfikator zdarzenia 1801, gdy certyfikaty są dostępne, ale jeszcze nie zostały zastosowane. Dzienniki Podglądu zdarzeń w źródle WMI modułu TPM to kolejne miejsce do potwierdzenia statusu.

---

Kluczowym wnioskiem jest to, że czerwiec 2026 roku to ostateczny termin, a nie katastrofa. Urządzenia z systemami Windows 11 i Windows 10 będą nadal działać po wygaśnięciu certyfikatów z 2011 roku, a czysta instalacja systemu Windows 11 lub aktualizacja 26H2 nadal będą działać. Należy jednak zwrócić uwagę na urządzenia, które od dawna były zaniedbywane, takie jak nieużywane kopie zapasowe, kioski serwisowe i komputery laboratoryjne, które nie były aktualizowane wystarczająco długo, aby otrzymać nową serię. Wszyscy pozostali powinni regularnie aktualizować system Windows, zezwalać na jego ponowne uruchomienie po wyświetleniu monitu, pozostawić nowy folder na miejscu i sprawdzać, czy po zakończeniu aktualizacji pojawi się zielona ikona.