19 октября 2026 года истекает срок действия Microsoft Windows Production PCA 2011 — сертификата для подписи загрузчика Windows. Microsoft заменяет его на Windows UEFI CA 2023. По разъяснению компании, компьютеры без обновления продолжат запускаться и работать, но не смогут получать новые исправления защиты загрузки, которым нужны обновлённые сертификаты. Telegram-канал создателя Трешбокса про технологии
Речь об обновлении сертификатов доверия существующего Secure Boot, а не о новой версии технологии. Этот механизм в прошивке UEFI проверяет цифровые подписи загрузочного ПО до запуска ОС. Microsoft заменяет сертификаты поколения 2011 года сертификатами поколения 2023 года; октябрьская дата касается именно старого сертификата подписи загрузчика Windows.
Без замены сертификатов станут недоступны новые защитные обновления ранней стадии загрузки, требующие обновлённых сертификатов: обновления Windows Boot Manager, баз доверенных и отозванных подписей Secure Boot, а также исправления новых уязвимостей загрузочной цепочки. Стандартные обновления Windows продолжат устанавливаться в пределах действующей поддержки ОС. Истечение сертификата не означает прекращения всех обновлений безопасности или мгновенного отключения Secure Boot.
Новые сертификаты поступают поэтапно через Windows Update с учётом готовности конфигурации. В бюллетене от 13 октября Microsoft подтвердила, что переход ещё продолжается. Большинству домашних пользователей поддерживаемых систем достаточно штатных обновлений и перезагрузки по запросу: обновления не должны быть приостановлены, Secure Boot должен быть включён, а необходимые обновления прошивки — установлены. Некоторым ПК сначала потребуется совместимая прошивка производителя. Если Secure Boot выключен, Microsoft советует уточнить готовность прошивки до изменения настроек.
Для обычной Windows 10 22H2 есть отдельное ограничение: её стандартная поддержка закончилась 14 октября 2025 года. В инструкции для пользователей Microsoft связывает дальнейшее получение обновлений безопасности, включая обновления Secure Boot, с участием в программе расширенных обновлений ESU. Отключать Secure Boot ради обхода истечения сертификатов компания не рекомендует: это снижает защиту от вредоносного ПО, запускающегося до ОС.
Проверить результат можно в приложении «Безопасность Windows»: «Безопасность устройства» → Secure Boot. Важен текст состояния — одна зелёная галочка сама по себе не подтверждает замену сертификатов. Статус Fully updated означает, что все необходимые обновления сертификатов применены и установлен обновлённый Windows Boot Manager.
Источник: trashbox.ru