Microsoft wyjaśnia zagrożenia bezpieczeństwa związane z wygaśnięciem certyfikatów Secure Boot w 2026 r. w systemie Windows 11

• Certyfikaty Secure Boot wprowadzone w 2011 r. wygasają pod koniec czerwca 2026 r.
• Po upływie terminu komputery będą uruchamiać się normalnie.
• Urządzenia bez zaktualizowanych certyfikatów przechodzą w stan obniżonego bezpieczeństwa.
• Urządzenia z systemem Windows 11 i Windows 10 otrzymują aktualizacje automatycznie za pośrednictwem usługi Windows Update.
• Systemy nieobsługiwane, w tym Windows 10 po październiku 2025 r. bez ESU, nie otrzymają nowych certyfikatów.

Firma Microsoft potwierdziła , że ​​ważność certyfikatów Secure Boot wprowadzonych w 2011 r. wygaśnie pod koniec czerwca 2026 r., co spowoduje wprowadzenie ważnej aktualizacji zabezpieczeń, która wpłynie na niemal każdy współczesny komputer.

Secure Boot to mechanizm bezpieczeństwa dostępny w oprogramowaniu układowym Unified Extensible Firmware Interface (UEFI), który uruchamia się podczas uruchamiania systemu, przed załadowaniem systemu operacyjnego. Celem tej funkcji jest weryfikacja, czy podczas uruchamiania może być wykonywany wyłącznie zaufany, podpisany cyfrowo kod, blokując bootkity i inne zagrożenia niskiego poziomu, które próbują naruszyć bezpieczeństwo systemu podczas rozruchu. Przez ostatnie 15 lat proces ten opierał się na certyfikatach wbudowanych w oprogramowanie układowe urządzeń, ale obecnie certyfikaty te zbliżają się do końca planowanego cyklu życia.

Czy Twój komputer przestanie działać w 2026 roku?

Krótka odpowiedź brzmi: nie. Po wygaśnięciu oryginalnych certyfikatów komputery będą się nadal uruchamiać, a system Windows 11 (lub 10) będzie się ładować normalnie. Aplikacje nie będą nagle przestawać działać, a Ty nie odczujesz natychmiastowych przerw.

Jednak systemy, które nie otrzymają zaktualizowanych certyfikatów Secure Boot, przejdą w stan obniżonego bezpieczeństwa. Nie oznacza to jednak, że komputer od razu stanie się niebezpieczny. Oznacza to po prostu, że urządzenie nie będzie już w stanie akceptować przyszłych aktualizacji łańcucha zaufania Secure Boot.

Z czasem, w miarę odkrywania nowych luk w zabezpieczeniach na poziomie rozruchu, systemy te mogą nie być w stanie zainstalować nowych zabezpieczeń. Maszyna nadal działa, ale jej zabezpieczenia startowe przestają się rozwijać, a to właśnie to długoterminowe ograniczenie stanowi prawdziwy problem.

Dlaczego Microsoft zastępuje certyfikaty Secure Boot

Certyfikaty bezpieczeństwa nie są wieczne. Wraz z rozwojem standardów bezpieczeństwa, klucze szyfrujące i punkty odniesienia (trust anchors) muszą być aktualizowane, aby zapobiec sytuacji, w której nieaktualne dane uwierzytelniające staną się lukami w zabezpieczeniach. Wygaśnięcie certyfikatów Secure Boot z 2011 roku było planowane od samego początku.

To przejście ma ogromne znaczenie ze względu na skalę. Bezpieczny rozruch działa na poziomie oprogramowania układowego, a nie tylko w samym systemie operacyjnym. Jego aktualizacja wymaga koordynacji między serwisem Windows 11 (i 10), oprogramowaniem układowym urządzeń oraz producentami sprzętu w milionach unikalnych konfiguracji urządzeń na całym świecie.

Microsoft opisuje to jako jedną z największych skoordynowanych akcji mających na celu poprawę bezpieczeństwa w całym ekosystemie Windows.

W jaki sposób dostarczana jest aktualizacja

Gigant oprogramowania rozpoczął już wdrażanie nowych certyfikatów Secure Boot w ramach regularnych, comiesięcznych aktualizacji obsługiwanych wersji, w tym Windows 11 i 10. W przypadku większości użytkowników domowych i firm, które pozwalają firmie zarządzać aktualizacjami, aktualizacje powinny następować automatycznie w tle.

W niektórych przypadkach, zwłaszcza w przypadku starszego sprzętu, aktualizacja oprogramowania sprzętowego od producenta urządzenia może być wymagana przed pomyślnym zastosowaniem nowych certyfikatów. Microsoft twierdzi, że ściśle współpracował z głównymi producentami komputerów (takimi jak Dell, HP i Lenovo), aby przygotować urządzenia do przejścia na nową wersję.

Prawie wszystkie urządzenia wyprodukowane od 2024 r. zawierają już zaktualizowane certyfikaty, a niemal wszystkie systemy dostarczone w 2025 r. będą je mieć fabrycznie wyposażone w te certyfikaty.

A co z nieobsługiwanymi wersjami systemu Windows?

Urządzenia z nieobsługiwanymi wersjami systemu operacyjnego nie otrzymają nowych certyfikatów bezpiecznego rozruchu za pośrednictwem usługi Windows Update. Dotyczy to również systemu Windows 10 po zakończeniu jego wsparcia w październiku 2025 r., chyba że urządzenie jest zarejestrowane w programie rozszerzonych aktualizacji zabezpieczeń .

Systemy te będą nadal działać po wygaśnięciu certyfikatów z 2011 roku, ale ich możliwości w zakresie przyszłych ulepszeń zabezpieczeń na poziomie rozruchu pozostaną trwale ograniczone. Wraz z rozwojem platformy może to stopniowo zwiększać narażenie na nowe zagrożenia i problemy ze zgodnością z nowszymi wersjami oprogramowania sprzętowego, sprzętu lub systemu Windows.

Co powinieneś teraz zrobić?

Dla większości użytkowników najbezpieczniejszym rozwiązaniem jest po prostu regularne aktualizowanie systemu Windows 11 (i 10) oraz sprawdzanie aktualnego oprogramowania sprzętowego urządzenia na stronie pomocy technicznej producenta. Firma Microsoft poinformowała, że ​​w nadchodzących miesiącach w aplikacji Zabezpieczenia systemu Windows pojawią się dodatkowe informacje o stanie aktualizacji certyfikatów, co zapewni lepszy wgląd w cały proces.

Certyfikat Secure Boot możesz zawsze sprawdzić i zaktualizować ręcznie, postępując zgodnie z tymi instrukcjami.

Organizacje zarządzające dużą liczbą komputerów powinny traktować to jako ćwiczenie w zakresie walidacji i planowania wdrożenia, a nie zwykłą aktualizację w ramach tzw. „wtorkowego patcha”.