Microsoft объясняет риски безопасности, связанные с истечением срока действия сертификатов Secure Boot в 2026 году в Windows 11.

• Срок действия сертификатов Secure Boot, введенных в 2011 году, истекает в конце июня 2026 года.
• После истечения срока действия компьютеры продолжат загружаться в обычном режиме.
• Устройства без обновленных сертификатов переходят в состояние пониженной безопасности.
• Поддерживаемые устройства под управлением Windows 11 и Windows 10 получают обновления автоматически через Центр обновления Windows.
• Неподдерживаемые системы, включая Windows 10, выпущенные после октября 2025 года без ESU, не получат новые сертификаты.

Компания Microsoft подтвердила , что срок действия оригинальных сертификатов Secure Boot, введенных в 2011 году, начнет истекать в конце июня 2026 года, что приведет к запуску крупного обновления безопасности, затрагивающего практически все современные компьютеры.

Secure Boot — это механизм безопасности, доступный в микропрограмме UEFI (Unified Extensible Firmware Interface), который запускается при загрузке системы, до загрузки операционной системы. Цель этой функции — убедиться, что во время запуска может выполняться только доверенный код с цифровой подписью, блокируя буткиты и другие низкоуровневые угрозы, пытающиеся скомпрометировать систему во время загрузки. В течение последних 15 лет этот процесс основывался на сертификатах, встроенных в микропрограмму устройства, но срок действия этих сертификатов подходит к концу.

Ваш компьютер перестанет работать в 2026 году?

Короткий ответ — нет. После истечения срока действия исходных сертификатов компьютеры продолжат загружаться, и Windows 11 (или 10) будет загружаться в обычном режиме. Приложения не перестанут работать внезапно, и вы не заметите немедленных сбоев.

Однако системы, не получившие обновленные сертификаты Secure Boot, перейдут в состояние пониженной безопасности. Это, однако, не означает, что компьютер сразу становится небезопасным. Это просто означает, что устройство больше не сможет принимать будущие обновления цепочки доверия Secure Boot.

Со временем, по мере обнаружения новых уязвимостей на уровне загрузки, эти системы могут оказаться неспособными установить новые средства защиты. Машина продолжает работать, но её средства защиты при запуске перестают развиваться, и именно это долгосрочное ограничение вызывает реальную обеспокоенность.

Почему Microsoft заменяет сертификаты Secure Boot

Сертификаты безопасности не предназначены для вечного действия. По мере развития стандартов безопасности необходимо обновлять ключи шифрования и доверенные точки, чтобы предотвратить превращение устаревших учетных данных в уязвимости. Истечение срока действия сертификатов Secure Boot 2011 года было запланировано с самого начала.

Значимость этого перехода обусловлена ​​масштабом. Безопасная загрузка работает на уровне встроенного ПО, а не только в самой операционной системе. Для ее обновления требуется координация между службами поддержки Windows 11 (и 10), встроенным ПО устройств и производителями оборудования для миллионов уникальных конфигураций устройств по всему миру.

Компания Microsoft описывает это как одну из крупнейших скоординированных кампаний по поддержанию безопасности в экосистеме Windows.

Как осуществляется доставка обновления

Программный гигант уже начал распространение новых сертификатов Secure Boot посредством регулярных ежемесячных обновлений для поддерживаемых версий, включая Windows 11 и 10. Для большинства домашних пользователей и предприятий, которые разрешают компании управлять обновлениями, обновления должны происходить автоматически в фоновом режиме.

В некоторых случаях, особенно на старом оборудовании, перед успешным применением новых сертификатов может потребоваться обновление прошивки от производителя устройства. Microsoft заявляет, что тесно сотрудничала с крупными производителями компьютеров (такими как Dell, HP и Lenovo) для подготовки устройств к переходу.

Практически все устройства, выпущенные после 2024 года, уже имеют обновленные сертификаты, и почти все системы, отгруженные в 2025 году, поставляются с ними по умолчанию.

А что насчет неподдерживаемых версий Windows?

Устройства, работающие под управлением неподдерживаемых версий операционной системы, не получат новые сертификаты Secure Boot через Центр обновления Windows. Это касается и Windows 10 после окончания её поддержки в октябре 2025 года, если устройство не подключено к программе расширенных обновлений безопасности .

Эти системы продолжат функционировать и после истечения срока действия сертификатов 2011 года, но их возможности по получению будущих улучшений безопасности на уровне загрузки останутся навсегда ограниченными. По мере развития платформы это может постепенно увеличивать уязвимость к новым угрозам и проблемам совместимости с более новыми версиями прошивки, оборудования или Windows.

Что вам следует предпринять сейчас?

Для большинства пользователей наиболее безопасный вариант действий прост: не забывайте обновлять Windows 11 (и 10) и убедитесь, что прошивка вашего устройства актуальна, проверив страницу поддержки производителя. Компания Microsoft сообщила, что дополнительная информация о состоянии обновлений сертификатов появится в приложении «Безопасность Windows» в ближайшие месяцы, что обеспечит большую прозрачность процесса.

Вы всегда можете проверить и обновить сертификат Secure Boot вручную, следуя этим инструкциям.

Организациям, управляющим большим количеством компьютеров, следует рассматривать это как проверку и планирование развертывания, а не просто как обновление в рамках «Вторника обновлений».