Microsoft legt de beveiligingsrisicos uit van het aflopen van Secure Boot-certificaten in 2026 op Windows 11.

• De Secure Boot-certificaten die in 2011 zijn geïntroduceerd, verlopen eind juni 2026.
• Computers zullen na afloop van de geldigheidsperiode gewoon blijven opstarten.
• Apparaten zonder bijgewerkte certificaten komen in een status met verminderde beveiliging terecht.
• Ondersteunde Windows 11- en Windows 10-apparaten ontvangen automatisch updates via Windows Update.
• Niet-ondersteunde systemen, waaronder Windows 10 na oktober 2025 zonder ESU, zullen de nieuwe certificaten niet ontvangen.

Microsoft heeft bevestigd dat apparaten met de oorspronkelijke Secure Boot-certificaten uit 2011 vanaf eind juni 2026 verlopen. Dit zal een belangrijke beveiligingsupdate activeren die vrijwel alle moderne computers treft.

Secure Boot is het beveiligingsmechanisme dat beschikbaar is in de Unified Extensible Firmware Interface (UEFI)-firmware en dat bij het opstarten wordt uitgevoerd, voordat het besturingssysteem wordt geladen. Het doel van deze functie is om te controleren of alleen vertrouwde, digitaal ondertekende code tijdens het opstarten kan worden uitgevoerd, waardoor bootkits en andere bedreigingen op laag niveau die proberen een systeem tijdens het opstarten te compromitteren, worden geblokkeerd. De afgelopen 15 jaar was dit proces afhankelijk van certificaten die in de firmware van het apparaat waren ingebed, maar die certificaten naderen nu het einde van hun geplande levensduur.

Zal uw computer in 2026 ophouden met werken?

Het korte antwoord is nee. Wanneer de oorspronkelijke certificaten verlopen, zullen computers gewoon blijven opstarten en zal Windows 11 (of 10) normaal blijven laden. Applicaties zullen niet plotseling vastlopen en u zult geen onmiddellijke verstoring merken.

Systemen die de bijgewerkte Secure Boot-certificaten niet ontvangen, komen echter in een toestand van verminderde beveiliging terecht. Dit betekent echter niet dat de computer direct onveilig is. Het betekent alleen dat het apparaat geen toekomstige updates van de Secure Boot-vertrouwensketen meer kan accepteren.

Naarmate er in de loop der tijd nieuwe kwetsbaarheden op opstartniveau worden ontdekt, kunnen die systemen mogelijk geen nieuwe beveiligingsmaatregelen meer installeren. De machine blijft wel draaien, maar de opstartbeveiliging wordt niet langer aangepast, en die beperking op de lange termijn is de grootste zorg.

Waarom Microsoft Secure Boot-certificaten vervangt

Beveiligingscertificaten zijn niet bedoeld om eeuwig mee te gaan. Naarmate beveiligingsnormen evolueren, moeten encryptiesleutels en vertrouwensankers worden bijgewerkt om te voorkomen dat verouderde referenties kwetsbaarheden worden. Het verlopen van de Secure Boot-certificaten uit 2011 was vanaf het begin gepland.

Wat deze overgang zo belangrijk maakt, is de schaal. Secure Boot werkt op firmwareniveau, niet alleen binnen het besturingssysteem zelf. Het bijwerken ervan vereist coördinatie tussen Windows 11 (en 10)-onderhoud, apparaatfirmware en hardwarefabrikanten voor miljoenen unieke apparaatconfiguraties wereldwijd.

Microsoft omschrijft dit als een van de grootste gecoördineerde inspanningen op het gebied van beveiligingsonderhoud binnen het Windows-ecosysteem.

Hoe de update wordt geleverd

De softwaregigant is al begonnen met het uitrollen van de nieuwe Secure Boot-certificaten via reguliere maandelijkse updates voor ondersteunde versies, waaronder Windows 11 en 10. Voor de meeste thuisgebruikers en bedrijven die het bedrijf toestaan ​​updates te beheren, zouden de updates automatisch op de achtergrond moeten plaatsvinden.

In sommige gevallen, met name bij oudere hardware, is mogelijk een firmware-update van de fabrikant nodig voordat de nieuwe certificaten succesvol kunnen worden toegepast. Microsoft zegt nauw te hebben samengewerkt met grote computerfabrikanten (zoals Dell, HP en Lenovo) om apparaten voor te bereiden op de overgang.

Vrijwel alle apparaten die sinds 2024 zijn geproduceerd, bevatten al de bijgewerkte certificaten, en vrijwel alle systemen die in 2025 worden geleverd, zijn er standaard mee uitgerust.

En wat te denken van niet-ondersteunde Windows-versies?

Apparaten die een niet-ondersteunde versie van het besturingssysteem gebruiken, ontvangen de nieuwe Secure Boot-certificaten niet via Windows Update. Dit geldt ook voor Windows 10 na het einde van de ondersteuning in oktober 2025, tenzij het apparaat is aangemeld voor uitgebreide beveiligingsupdates .

Deze systemen zullen blijven functioneren nadat de certificaten van 2011 verlopen, maar ze zullen permanent beperkt blijven in hun mogelijkheden om toekomstige beveiligingsupdates op opstartniveau te ontvangen. Naarmate het platform zich verder ontwikkelt, kan dit geleidelijk leiden tot een grotere blootstelling aan nieuwe bedreigingen en compatibiliteitsproblemen met nieuwere firmware, hardware of Windows-versies.

Wat moet je nu doen?

Voor de meeste mensen is de veiligste aanpak eenvoudig: zorg ervoor dat Windows 11 (en 10) volledig is bijgewerkt en controleer of de firmware van uw apparaat actueel is door de ondersteuningspagina van uw fabrikant te raadplegen. Microsoft heeft aangegeven dat er de komende maanden meer informatie over de status van certificaatupdates in de Windows Beveiliging-app zal verschijnen, waardoor er meer inzicht in het proces wordt geboden.

U kunt het Secure Boot-certificaat altijd handmatig controleren en bijwerken met behulp van deze instructies.

Organisaties die een groot aantal computers beheren, moeten dit beschouwen als een validatie- en implementatieplanningsoefening in plaats van een simpele Patch Tuesday-update.