Microsoft spiega i rischi per la sicurezza derivanti dalla scadenza nel 2026 dei certificati Secure Boot su Windows 11.

• I certificati Secure Boot introdotti nel 2011 scadranno alla fine di giugno 2026.
• I computer continueranno ad avviarsi normalmente anche dopo la scadenza.
• I dispositivi sprovvisti di certificati aggiornati entrano in uno stato di sicurezza degradato.
• I dispositivi Windows 11 e Windows 10 supportati ricevono automaticamente gli aggiornamenti tramite Windows Update.
• I sistemi non supportati, incluso Windows 10 dopo ottobre 2025 senza ESU, non riceveranno i nuovi certificati.

Microsoft ha confermato che i dispositivi dotati dei certificati Secure Boot originali introdotti nel 2011 inizieranno a scadere alla fine di giugno 2026, innescando un importante aggiornamento di sicurezza che interesserà quasi tutti i computer moderni.

Secure Boot è il meccanismo di sicurezza disponibile nel firmware Unified Extensible Firmware Interface (UEFI) che viene eseguito all'avvio, prima del caricamento del sistema operativo. Lo scopo di questa funzionalità è verificare che solo il codice attendibile e firmato digitalmente possa essere eseguito durante l'avvio, bloccando i bootkit e altre minacce di basso livello che tentano di compromettere un sistema durante l'avvio. Negli ultimi 15 anni, questo processo si è basato su certificati incorporati nel firmware del dispositivo, ma tali certificati stanno ora raggiungendo la fine del loro ciclo di vita previsto.

Il tuo computer smetterà di funzionare nel 2026?

In breve, no. Quando i certificati originali scadranno, i computer continueranno ad avviarsi e Windows 11 (o 10) continuerà a caricarsi normalmente. Le applicazioni non smetteranno improvvisamente di funzionare e non si noteranno interruzioni immediate.

Tuttavia, i sistemi che non ricevono i certificati Secure Boot aggiornati entreranno in uno stato di sicurezza degradato. Ciò non significa, però, che il computer sia immediatamente insicuro. Significa semplicemente che il dispositivo non sarà più in grado di accettare futuri aggiornamenti alla catena di fiducia di Secure Boot.

Nel tempo, con la scoperta di nuove vulnerabilità a livello di avvio, questi sistemi potrebbero non essere più in grado di installare nuove misure di protezione. La macchina continua a funzionare, ma le sue protezioni all'avvio non si evolvono più, e questa limitazione a lungo termine rappresenta la vera preoccupazione.

Perché Microsoft sta sostituendo i certificati Secure Boot

I certificati di sicurezza non sono destinati a durare in eterno. Con l'evoluzione degli standard di sicurezza, le chiavi di crittografia e gli ancoraggi di fiducia devono essere aggiornati per evitare che le credenziali obsolete si trasformino in vulnerabilità. La scadenza dei certificati Secure Boot del 2011 era stata pianificata fin dall'inizio.

Ciò che rende significativa questa transizione è la sua portata. Secure Boot opera a livello di firmware, non solo all'interno del sistema operativo stesso. Il suo aggiornamento richiede il coordinamento tra i team di manutenzione di Windows 11 (e 10), i produttori di firmware per i dispositivi e i produttori di hardware, considerando milioni di configurazioni di dispositivi uniche in tutto il mondo.

Microsoft descrive questa operazione come uno dei più grandi sforzi coordinati di manutenzione della sicurezza nell'intero ecosistema Windows.

Modalità di distribuzione dell'aggiornamento

Il colosso del software ha già iniziato a distribuire i nuovi certificati Secure Boot tramite aggiornamenti mensili per le versioni supportate, tra cui Windows 11 e 10. Per la maggior parte degli utenti domestici e delle aziende che consentono all'azienda di gestire gli aggiornamenti, questi dovrebbero avvenire automaticamente in background.

In alcuni casi, soprattutto su hardware più datato, potrebbe essere necessario un aggiornamento del firmware da parte del produttore del dispositivo prima che i nuovi certificati possano essere applicati correttamente. Microsoft afferma di aver collaborato a stretto contatto con i principali produttori di computer (come Dell, HP e Lenovo) per preparare i dispositivi alla transizione.

Quasi tutti i dispositivi prodotti a partire dal 2024 includono già i certificati aggiornati e quasi tutti i sistemi spediti nel 2025 li includono di serie.

Che dire delle versioni di Windows non supportate?

I dispositivi che eseguono versioni del sistema operativo non supportate non riceveranno i nuovi certificati di avvio protetto tramite Windows Update. Questo include Windows 10 dopo la fine del supporto a ottobre 2025, a meno che il dispositivo non sia iscritto al programma di aggiornamenti di sicurezza estesi .

Questi sistemi continueranno a funzionare anche dopo la scadenza dei certificati del 2011, ma la loro capacità di ricevere futuri aggiornamenti di sicurezza a livello di avvio rimarrà permanentemente limitata. Con l'evoluzione della piattaforma, ciò potrebbe gradualmente aumentare l'esposizione a nuove minacce e problemi di compatibilità con firmware, hardware o versioni di Windows più recenti.

Cosa dovresti fare ora?

Per la maggior parte degli utenti, la soluzione più sicura è semplice: ricordarsi di mantenere Windows 11 (e 10) sempre aggiornato e assicurarsi che il firmware del dispositivo sia aggiornato consultando la pagina di supporto del produttore. Microsoft ha indicato che nei prossimi mesi ulteriori informazioni sullo stato degli aggiornamenti dei certificati saranno disponibili nell'app Sicurezza di Windows, offrendo maggiore visibilità sul processo.

È sempre possibile verificare e aggiornare manualmente il certificato Secure Boot seguendo queste istruzioni.

Le organizzazioni che gestiscono un gran numero di computer dovrebbero considerare questo aggiornamento come un'attività di convalida e pianificazione della distribuzione, piuttosto che come un semplice aggiornamento del Patch Tuesday.