Microsoft предупреждает о скором истечении срока действия сертификатов Secure Boot 2011 года — это произойдет в июне 2026 года. Пользователям рекомендуется заранее проверить готовность своих ПК к переходу на новую цепочку сертификатов и обновить прошивку, если это потребуется.

Что изменится после 2026 года

Microsoft уже начала внедрять новую цепочку сертификатов Secure Boot, которая станет обязательной для Windows после окончания срока действия оригинальных сертификатов 2011 года. Однако следующий этап перехода зависит не только от самой Windows, но и от готовности прошивки (UEFI) вашего устройства.

Если прошивка UEFI не поддерживает новые сертификаты 2023 года, Windows Update может попытаться выполнить переход, но устройство может оказаться в состоянии «пониженной безопасности». В этом случае будущие обновления, связанные с безопасностью загрузки, могут применяться некорректно.

Сроки истечения сертификатов

Доверенные корневые сертификаты Secure Boot от Microsoft, выпущенные в 2011 году, начнут истекать с конца июня 2026 года. Например, по данным Dell:

• 24 июня 2026 года истекает Microsoft Corporation KEK CA 2011,
• 27 июня 2026 года — Microsoft Corporation UEFI CA 2011,
• 19 октября 2026 года — Microsoft Windows Production PCA 2011.

Последствия для пользователей

Производители сходятся во мнении, что системы продолжат загружаться, но устройства без перехода на новую цепочку сертификатов 2023 года могут потерять возможность получать будущие обновления загрузчика и Secure Boot. Это и называется «пониженной безопасностью».

Ключевой технический механизм уже реализован в поддерживаемых версиях Windows. С обновлений, выпущенных с 13 февраля 2024 года, появилась возможность применять сертификат Windows UEFI CA 2023 к базе разрешённых подписей Secure Boot (db). Это обновление необходимо для получения будущих обновлений загрузчика через ежемесячные патчи.

Рекомендации производителей

• Microsoft отмечает, что большинство устройств получат новые сертификаты автоматически через обновления, но некоторым потребуется обновление прошивки OEM для корректного применения новых сертификатов.
• Dell различает активную базу Secure Boot (обновляется через Windows Update) и базу по умолчанию (обновляется через BIOS). Некоторые действия с прошивкой, например переход в «Expert Key Mode», могут стереть активные переменные, если база по умолчанию не обновлена.
• Lenovo рекомендует обновить BIOS, чтобы добавить сертификаты 2023 года в переменные Secure Boot по умолчанию. Иногда требуются дополнительные шаги для активации новых переменных, а также рекомендуется заранее сохранить ключи восстановления BitLocker.
• HP сообщает, что работает с Microsoft для подготовки устройств к новым сертификатам и предупреждает, что истечение срока действия сертификатов может помешать получению обновлений безопасности, связанных с Secure Boot и Windows Boot Manager.
• ASUS предоставляет подробную инструкцию по переходу, включая проверку наличия новых сертификатов в прошивке и действия в случае их отсутствия. В FAQ описаны шаги по восстановлению ключей по умолчанию или сбросу к заводским настройкам после обновления BIOS.

Особенности для самостоятельных сборок ПК

Пользователи, собирающие ПК самостоятельно, могут столкнуться с необходимостью ручного вмешательства для активации новых ключей, даже если Windows уже доставила соответствующие обновления.

Для корпоративных пользователей

Microsoft приводит конкретные индикаторы успешного внедрения:

• Событие с ID 1808 в журнале событий Windows подтверждает успешное применение,
• Событие с ID 1801 указывает на сбои,
• Ключ реестра UEFICA2023Status должен иметь значение «Updated», а отсутствие ключа UEFICA2023Error говорит об отсутствии ошибок.

Важные рекомендации

Если обнаружены проблемы или производитель рекомендует обновление BIOS, сначала следует применить обновления прошивки OEM, а затем — связанные с Secure Boot обновления Windows. Это подчёркивает, что обновления Windows — лишь часть процесса.

Связь с поддержкой Windows 10

Обновление сертификатов — ещё один аргумент для пользователей Windows 10. Поддержка этой версии завершилась 14 октября 2025 года, и для получения обновлений безопасности после этой даты потребуется программа Extended Security Updates (ESU).

Microsoft подчёркивает: устройства на неподдерживаемых версиях Windows не получают обновлений, поэтому переход на новые сертификаты напрямую связан с использованием поддерживаемых версий ОС (или ESU для Windows 10, если применимо).