Microsoft упростила установку критических обновлений Secure Boot в Windows 11

Microsoft добавила централизованные скрипты развертывания Secure Boot в обновлении «Вторника Патчей», чтобы упростить управление обновлениями.

На прошлой неделе Microsoft выпустила обновления в рамках «Вторника Патчей» — KB5087544 для Windows 10 и KB5089549 для Windows 11, а также соответствующие обновления среды восстановления. Также стали доступны официальные ISO-образы Windows 11, Версия 25H2 (Сборка ОС 26200.8457) через Media Creation Tool. При этом Microsoft предупредила, что обновление Windows 11 может вызывать проблемы при установке, для которых компания уже предложила обходные решения. Кроме того, система по-прежнему уязвима перед проблемой безопасности «MiniPlasma», о которой сообщалось ранее.

Обновления безопасности Windows, май 2026

Тем не менее, в обновлении Microsoft незаметно добавила полезное изменение: в корневом каталоге системы, обычно на диске C, появилась новая папка SecureBoot.

Изначально компания не упомянула это в примечаниях к релизу, но позже добавила информацию:

Secure Boot: обновление добавляет новую папку SecureBoot в каталог C:\Windows на поддерживаемых устройствах.

C:\Windows\SecureBoot\ExampleRolloutScripts

С обновлением Microsoft собрала все необходимые ресурсы в одном месте – внутри папки ExampleRolloutScripts. Эти скрипты позволяют системным администраторам автоматизировать установку обновлений через развертывание GPO (Group Policy Object), а также отслеживать статус обновления Secure Boot в корпоративных средах. Они охватывают как первый этап – обнаружение и мониторинг статуса, так и второй этап — завершение развертывания обновленных сертификатов.

В новой папке Secure Boot доступны следующие примеры PowerShell-скриптов:

• Detect-SecureBootCertUpdateStatus.ps1 — сбор данных о статусе устройств.
• Aggregate-SecureBootData.ps1 — создание отчетов и дашбордов.
• Deploy-GPO-SecureBootCollection.ps1 — автоматизация создания GPO для сбора данных.
• Start-SecureBootRolloutOrchestrator.ps1 — полностью автоматизированная оркестрация с автоматическим развертыванием GPO для установки сертификатов.
• Deploy-OrchestratorTask.ps1 — развертывание оркестратора как задачи Windows Scheduled Task для автоматического обновления.
• Get-SecureBootRolloutStatus.ps1 — просмотр статуса развертывания сертификатов Secure Boot с любого рабочего места.
• Enable-SecureBootUpdateTask.ps1 — включение задачи обновления Secure Boot.

В начале 2024 года Microsoft объявила об обновлении ключей Secure Boot, поскольку к 2026 году им исполнится 15 лет – именно тогда истекает срок их действия. Поэтому новые сертификаты 2023 года начали распространяться через последние обновления Windows 11. Обновленные сертификаты Secure Boot и загрузчика являются важной защитой от вредоносного ПО уровня загрузки системы, например bootkit-атак. Ранее Microsoft уже объясняла, что именно с этим связаны множественные перезагрузки системы во время обновлений.

Для домашних пользователей Microsoft также добавила специальный индикатор в приложение «Безопасность Windows», который помогает определить, установлены ли необходимые обновленные сертификаты.