19 октября 2026 года истекает срок действия Microsoft Windows Production PCA 2011 – сертификата, которым подписывают загрузчик Windows. Это последняя из основных контрольных дат перехода Microsoft на новые сертификаты Secure Boot в 2026 году. Срок действия двух других сертификатов 2011 года истек в июне.
Состояние безопасной загрузки показывает программа «Сведения о системе» (msinfo32). Изображение: Comss.ru
Компьютер продолжит загружаться и после этой даты. Согласно рекомендациям Microsoft, ПК без новых сертификатов «по-прежнему будет запускаться и работать в обычном режиме», а стандартные обновления Windows продолжат устанавливаться. Однако он больше не сможет получать новые средства защиты начальных этапов загрузки.
Срок действия последнего основного сертификата Secure Boot истекает 19 октября
Secure Boot – функция прошивки UEFI, которая перед запуском компьютера проверяет цифровые подписи загрузочных компонентов: от драйверов UEFI до ОС. С момента появления поддержки Secure Boot в Windows компьютеры доверяли сертификатам Microsoft, выпущенным в 2011 году. Теперь компания заменяет их сертификатами 2023 года.
| Старый сертификат | Дата истечения срока действия | Замена |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 июня 2026 года | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27 июня 2026 года | Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 19 октября 2026 года | Windows UEFI CA 2023 |
Сертификат KEK разрешает обновлять базы разрешенных (DB) и отозванных (DBX) подписей. Microsoft UEFI CA 2011 используется для подписи сторонних загрузчиков, приложений EFI и модулей Option ROM. Сертификатом Windows Production PCA 2011 подписывают диспетчер загрузки Windows – Windows Boot Manager. Его замена, Windows UEFI CA 2023, хранится в базе DB.
Во время июньской сессии вопросов и ответов о Secure Boot инженеры Microsoft сообщили, что компания сможет подписывать диспетчеры загрузки старым ключом до октября. Поэтому для будущих версий потребуется сертификат 2023 года. Прошивка продолжит доверять загрузчикам, подписанным до истечения срока действия сертификата, если его не добавят в список отзыва DBX.
ПК без сертификатов 2023 года не получает «обновления диспетчера загрузки Windows, баз Secure Boot и списков отзыва», а также исправления новых уязвимостей в цепочке загрузки. Пример угрозы, от которой защищают такие списки отзыва, – BlackLotus. Этот буткит, обнаруженный в 2023 году, обходил Secure Boot даже на компьютерах со всеми установленными обновлениями Windows 11.
Как проверить наличие новых сертификатов Secure Boot в Windows 11
Сертификаты 2023 года поступают через Центр обновления Windows. По словам Microsoft, «во многих случаях никаких действий не требуется». На ПК должна быть установлена поддерживаемая версия Windows, обновления не должны быть приостановлены, а Secure Boot должен быть включен. Проверить это можно в программе «Сведения о системе» (msinfo32), в строке «Состояние безопасной загрузки». Компьютеры с Windows 10 получают сертификаты только при участии в программе расширенных обновлений безопасности ESU.
Для проверки откройте Безопасность Windows > Безопасность устройства > Безопасная загрузка. Windows 11 начала показывать состояние сертификатов в этом разделе в апреле. Microsoft объясняет значение каждого сообщения:
- «Все необходимые обновления сертификатов применены» (All required certificate updates have been applied) – обновление завершено.
- «Устаревшая конфигурация доверия загрузки» (Older boot trust configuration) – Windows должна обновить ее автоматически. Установите ожидающие обновления и перезагрузите компьютер.
- «Затронуто известной проблемой» (Affected by a known issue) – Microsoft приостановила обновление для этого ПК до появления исправления.
- «Ограничения оборудования или прошивки» (Hardware or firmware limitations) – потребуется помощь производителя компьютера.
- «Получение необходимых обновлений больше невозможно» (Can no longer receive required updates) – ПК по-прежнему использует сертификат с истекшим сроком действия.
Предупреждение об ограничениях прошивки отмечается желтым значком – таким же, как сообщение об устаревшей конфигурации доверия загрузки. При этом устаревшая конфигурация может обновиться автоматически, а ограничения прошивки требуют вмешательства.
Если раздела Secure Boot нет, это может означать, что компьютер использует Legacy BIOS, безопасная загрузка отключена либо Windows 11 установлена на неподдерживаемом оборудовании с обходом требований. Действия на случай, если ПК не получил обновление, описаны в отдельном руководстве.
Если безопасная загрузка отключена, раздела «Безопасная загрузка» в «Безопасности устройства» нет. Изображение: Comss.ru
При желтом или красном предупреждении проверьте страницу поддержки производителя ПК. У Dell, HP, Lenovo, Asus и Acer есть разделы о Secure Boot с обновлениями BIOS. Предварительно сохраните резервную копию ключа восстановления BitLocker: некоторые апрельские обновления BIOS от HP вызывали циклический переход к восстановлению BitLocker.
Не отключайте Secure Boot ради обхода проблемы. Microsoft подчеркивает, что эту функцию «не следует отключать, чтобы обойти истечение срока действия сертификатов». Windows переводит такие компьютеры на диспетчер загрузки, подписанный сертификатом 2023 года, даже при отключенной безопасной загрузке. Если позже включить ее, а прошивка доверяет только сертификату 2011 года, ПК может перестать загружаться. Сброс BIOS к заводским настройкам несет аналогичный риск, если в них нет сертификатов 2023 года.
Microsoft продолжает распространять обновление Secure Boot после июньских сроков
Microsoft сделала обновление доступным для всех подходящих ПК за несколько часов до истечения срока действия первого сертификата и продолжает его распространение. Обновление KB5124008 от 8 сентября добавило «дополнительные данные для определения устройств с высокой уверенностью в успешном обновлении», что открыло доступ к обновлению большему числу ПК. В описании обновления от 13 октября Microsoft сообщила, что «продолжит доставлять новые сертификаты Secure Boot на подходящие устройства через Windows Update».
Постепенное распространение связано с базой устройств, для которых Microsoft с высокой уверенностью ожидает успешного обновления. Компьютеры объединяют в группы по оборудованию и прошивке. Группа получает обновление автоматически только после успешной установки на похожих ПК. Июньское обновление включило в эту категорию большинство потребительских компьютеров, передающих диагностические данные. Microsoft обновляет базу дважды в месяц. Даже если ПК несколько месяцев не подключался к интернету, он получит сертификаты после восстановления подключения.
Dell не будет выпускать обновления BIOS для платформ, срок обслуживания которых завершился до 1 января 2026 года. На старых компьютерах переход на новые сертификаты Secure Boot сопровождается проблемами: обновления KEK не завершаются, а системы попадают в цикл восстановления BitLocker даже с последними прошивками HP. Еще в марте проблемы с обновлениями 2023 года возникали на некоторых платах ASUS, MSI и ASRock.
PCA 2011 также используется для подписи файлов Windows, не связанных с загрузкой. Согласно августовскому документу Microsoft о подписи кода, компания переводит подпись Windows на Microsoft Windows Production PCA 2026. Выпущенные 10 сентября сборки канала Release Preview 26100.9539 и 26200.9539 уже подписаны этим сертификатом. Microsoft рекомендует разработчикам не привязывать проверку в своих приложениях к конкретным сертификатам Secure Boot.
Установка одного обновления Windows еще не означает, что переход завершен. При добавлении сертификатов в прошивку компьютеру может потребоваться несколько перезагрузок. Появление папки SecureBoot в C:\Windows также предусмотрено процессом обновления. Microsoft считает ПК полностью обновленным только после установки сертификатов 2023 года и нового диспетчера загрузки. Поэтому ориентироваться следует на зеленую галочку в разделе безопасной загрузки.
