19 октября 2026 года истекает срок действия сертификата Microsoft Windows Production PCA 2011 — им подписан загрузчик Windows Boot Manager. Это последний крупный дедлайн перехода Secure Boot на сертификаты 2023 года: два других сертификата 2011 года истекли в июне. Компьютер после этой даты не перестанет загружаться.
Что именно истекает и что приходит на замену
Secure Boot — функция UEFI, которая проверяет подпись каждого компонента загрузки, от UEFI-драйверов до операционной системы, до старта ПК. С момента появления поддержки Secure Boot в Windows компьютеры доверяли сертификатам Microsoft, выпущенным в 2011 году. Сейчас Microsoft заменяет их набором 2023 года.
| Старый сертификат | Истекает | Замена |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 июня 2026 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27 июня 2026 | Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 19 октября 2026 | Windows UEFI CA 2023 |
Сертификат KEK разрешает обновлять базы разрешённых (DB) и отозванных (DBX) подписей. Microsoft UEFI CA 2011 подписывает сторонние загрузчики, EFI-приложения и option ROM. Windows Production PCA 2011 подписывает Windows Boot Manager, а его замена, Windows UEFI CA 2023, хранится в DB.
Что произойдёт с ПК без новых сертификатов
По руководству Microsoft, компьютер без новых сертификатов «всё равно запустится и будет работать нормально», обычные обновления Windows продолжат устанавливаться. Но такая машина перестанет получать новые средства защиты ранней стадии загрузки: обновления Windows Boot Manager, баз Secure Boot и списков отзыва, а также исправления для новых уязвимостей цепочки загрузки.
Именно такие отзывы блокируют угрозы вроде BlackLotus — буткита 2023 года, который обходил Secure Boot на полностью обновлённых Windows 11. Инженеры Microsoft на июньской сессии вопросов и ответов по Secure Boot говорили, что компания может подписывать загрузчики старым ключом до октября, но будущим загрузчикам Windows потребуется сертификат 2023 года. Прошивка продолжает доверять загрузчикам, подписанным до истечения срока, если сертификат не добавлен в список отзыва DBX.
Как проверить свой компьютер
Сертификаты 2023 года приходят через Windows Update, и, по словам Microsoft, «во многих случаях никаких действий не требуется». Нужны поддерживаемая версия Windows, неустановленные на паузу обновления и включённый Secure Boot — его состояние показывает System Information (msinfo32) в строке «Secure Boot State». Компьютеры на Windows 10 получают сертификаты только с ESU.
Проверить статус можно в разделе «Безопасность Windows» > «Безопасность устройства» > «Secure Boot». Windows 11 начала показывать там состояние сертификатов в апреле, и Microsoft поясняет каждое сообщение:
- «Все необходимые обновления сертификатов применены» — всё готово.
- «Устаревшая конфигурация доверия при загрузке» — Windows должна обновиться сама: установите ожидающие обновления и перезагрузитесь.
- «Затронуто известной проблемой» — Microsoft приостановила обновление для вашего ПК до выхода исправления.
- «Ограничения оборудования или прошивки» — нужна помощь производителя ПК.
- «Больше не может получать необходимые обновления» — компьютер остался на истёкшем сертификате.
Если раздела Secure Boot нет, значит, ПК использует Legacy BIOS, Secure Boot выключен или Windows 11 работает на неподдерживаемом оборудовании в обход требований. При жёлтом или красном предупреждении стоит заглянуть на страницу поддержки производителя: у Dell, HP, Lenovo, Asus и Acer есть страницы Secure Boot с обновлениями BIOS. Перед обновлением прошивки сохраните ключ восстановления BitLocker: некоторые апрельские обновления BIOS от HP отправляли ПК в цикл восстановления BitLocker.
Чего делать не стоит
Microsoft прямо указывает, что Secure Boot «не следует отключать в обход истечения срока действия сертификата». Windows всё равно переведёт такой ПК на загрузчик, подписанный сертификатом 2023 года, и если позже включить Secure Boot обратно, машина может не загрузиться — прошивка будет доверять только сертификату 2011 года. Сброс BIOS к заводским настройкам несёт похожий риск, если в этих настройках нет сертификатов 2023 года.
Обновление всё ещё раскатывается
Microsoft выпустила обновление для всех подходящих ПК за несколько часов до первого истечения срока и продолжает его распространять. Обновление KB5124008 от 8 сентября добавило «дополнительные данные для высоконадёжного таргетинга устройств», что открыло обновление для большего числа ПК. С обновлением от 13 октября Microsoft сообщает, что продолжит доставлять новые сертификаты Secure Boot подходящим устройствам через Windows Update.
Раскатка выглядит медленной из-за базы данных высокой достоверности Microsoft: ПК группируются в корзины по оборудованию и прошивке, и корзина получает обновление автоматически только после успешного обновления похожих ПК. Июньское обновление перевело большинство потребительских ПК с диагностическими данными в группу высокой достоверности, и Microsoft обновляет эти данные дважды в месяц. ПК, который месяцами был офлайн, всё равно получит сертификаты, когда снова подключится к сети.
Dell не будет выпускать обновления BIOS для платформ, поддержка которых закончилась до 1 января 2026 года. На старых ПК Secure Boot идёт непросто: случались зависшие обновления KEK и циклы BitLocker даже на последней прошивке HP. Некоторые платы ASUS, MSI и ASRock испытывали трудности с обновлениями 2023 года ещё в марте.
Кстати, PCA 2011 подписывает и файлы Windows вне процесса загрузки. В августовском документе о подписи кода Microsoft пишет, что подпись Windows переходит на Microsoft Windows Production PCA 2026, и сборки Release Preview 26100.9539 и 26200.9539 от 10 сентября уже подписаны им. Разработчикам Microsoft советует не закреплять сертификаты Secure Boot в своих приложениях.
И последнее: не считайте, что одного обновления Windows достаточно. ПК может перезагрузиться несколько раз, пока сертификаты переходят в прошивку, а папка SecureBoot в C:\Windows — ожидаемое явление. Microsoft считает компьютер полностью обновлённым, только когда на нём есть и сертификаты 2023 года, и новый загрузчик, — поэтому доверять стоит зелёной галочке. Если же вы только присматриваетесь к Windows 11 или планируете обновление парка, пригодится разбор что на самом деле нового в Windows 11 26H2.
Частые вопросы
Кого касается истечение сертификата 19 октября?
Всех, кто использует Windows 11 с включённым Secure Boot и ещё не получил сертификаты 2023 года. Компьютеры на Windows 10 получают их только с ESU.
Перестанет ли мой ПК загружаться после 19 октября?
Нет. По руководству Microsoft, ПК без новых сертификатов «всё равно запустится и будет работать нормально», и обычные обновления Windows продолжат устанавливаться.
Что я теряю без сертификатов 2023 года?
Новые средства защиты ранней стадии загрузки: обновления Windows Boot Manager, баз Secure Boot и списков отзыва, а также исправления для новых уязвимостей цепочки загрузки.
Как быстро проверить статус сертификатов?
Откройте «Безопасность Windows» > «Безопасность устройства» > «Secure Boot». Зелёная галочка и сообщение «Все необходимые обновления сертификатов применены» означают, что всё готово.
Что делать при сообщении «Устаревшая конфигурация доверия при загрузке»?
Установить все ожидающие обновления Windows и перезагрузиться — Windows должна обновить конфигурацию самостоятельно.
Можно ли просто отключить Secure Boot?
Нет. Microsoft прямо указывает, что Secure Boot не следует отключать в обход истечения срока. Windows всё равно переведёт ПК на загрузчик 2023 года, и последующее включение Secure Boot может сделать машину незагружаемой.
Почему обновление не приходит на мой ПК?
Microsoft раскатывает сертификаты корзинами по оборудованию и прошивке и обновляет данные таргетинга дважды в месяц. Если статус «Затронуто известной проблемой», обновление приостановлено до выхода исправления.
Нужно ли обновлять BIOS?
При жёлтом или красном предупреждении проверьте страницу поддержки производителя: у Dell, HP, Lenovo, Asus и Acer есть страницы Secure Boot с обновлениями BIOS. Перед этим сохраните ключ восстановления BitLocker.
Как понять, что ПК обновлён полностью?
Microsoft считает компьютер обновлённым, только когда на нём есть и сертификаты 2023 года, и новый загрузчик. Ориентируйтесь на зелёную галочку, а не на факт установки одного обновления.
Источник: windowslatest.com