ไมโครซอฟต์อธิบายถึงความเสี่ยงด้านความปลอดภัยของใบรับรอง Secure Boot ที่จะหมดอายุในปี 2026 บน Windows 11

• ใบรับรอง Secure Boot ที่เริ่มใช้ในปี 2011 จะหมดอายุในปลายเดือนมิถุนายน ปี 2026
• คอมพิวเตอร์จะยังคงบูตเครื่องได้ตามปกติแม้หลังจากหมดอายุแล้ว
• อุปกรณ์ที่ไม่มีใบรับรองที่อัปเดตแล้วจะเข้าสู่สถานะความปลอดภัยที่ลดลง
• อุปกรณ์ที่ใช้ Windows 11 และ Windows 10 จะได้รับการอัปเดตโดยอัตโนมัติผ่าน Windows Update
• ระบบที่ไม่รองรับ รวมถึง Windows 10 หลังเดือนตุลาคม 2025 ที่ไม่มี ESU จะไม่ได้รับใบรับรองใหม่

ไมโครซอฟต์ยืนยัน แล้ว ว่า อุปกรณ์ที่ใช้ใบรับรอง Secure Boot รุ่นแรกที่เปิดตัวในปี 2011 จะเริ่มหมดอายุในปลายเดือนมิถุนายน 2026 ซึ่งจะทำให้เกิดการอัปเดตความปลอดภัยครั้งใหญ่ที่ส่งผลกระทบต่อคอมพิวเตอร์รุ่นใหม่เกือบทุกเครื่อง

Secure Boot คือกลไกความปลอดภัยที่มีอยู่ในเฟิร์มแวร์ Unified Extensible Firmware Interface (UEFI) ซึ่งทำงานเมื่อเริ่มต้นระบบ ก่อนที่ระบบปฏิบัติการจะโหลด จุดประสงค์ของฟีเจอร์นี้คือการตรวจสอบว่าเฉพาะโค้ดที่เชื่อถือได้และลงนามแบบดิจิทัลเท่านั้นที่จะสามารถทำงานได้ในระหว่างการเริ่มต้นระบบ ซึ่งจะบล็อกบูตคิทและภัยคุกคามระดับต่ำอื่นๆ ที่พยายามบุกรุกระบบในระหว่างการบูต ตลอด 15 ปีที่ผ่านมา กระบวนการนี้อาศัยใบรับรองที่ฝังอยู่ในเฟิร์มแวร์ของอุปกรณ์ แต่ปัจจุบันใบรับรองเหล่านั้นกำลังจะหมดอายุการใช้งานตามแผนแล้ว

คอมพิวเตอร์ของคุณจะใช้งานไม่ได้ในปี 2026 หรือไม่?

คำตอบสั้นๆ คือ ไม่เมื่อใบรับรองเดิมหมดอายุ คอมพิวเตอร์จะยังคงบูตได้ และWindows 11 (หรือ 10) จะยังคงโหลดได้ตามปกติ แอปพลิเคชันจะไม่ล้มเหลวโดยไม่คาดคิด และคุณจะไม่พบการหยุดชะงักในทันที

อย่างไรก็ตาม ระบบที่ไม่ได้รับใบรับรอง Secure Boot ที่อัปเดตแล้ว จะเข้าสู่สถานะความปลอดภัยที่ลดลง แต่ไม่ได้หมายความว่าคอมพิวเตอร์จะไม่ปลอดภัยในทันที เพียงแต่หมายความว่าอุปกรณ์จะไม่สามารถยอมรับการอัปเดตในอนาคตของห่วงโซ่ความเชื่อถือ Secure Boot ได้อีกต่อไป

เมื่อเวลาผ่านไป เมื่อมีการค้นพบช่องโหว่ระดับบูตใหม่ๆ ระบบเหล่านั้นอาจไม่สามารถติดตั้งมาตรการป้องกันใหม่ๆ ได้ เครื่องยังคงทำงานต่อไป แต่ระบบป้องกันตอนเริ่มต้นจะไม่ได้รับการพัฒนาอีกต่อไป และข้อจำกัดในระยะยาวนี้คือสิ่งที่น่ากังวลอย่างแท้จริง

เหตุใด Microsoft จึงเปลี่ยนใบรับรอง Secure Boot

ใบรับรองความปลอดภัยไม่ได้มีไว้ให้ใช้งานได้ตลอดไป เนื่องจากมาตรฐานความปลอดภัยมีการพัฒนาขึ้นเรื่อยๆ กุญแจเข้ารหัสและจุดยึดความเชื่อถือจึงต้องได้รับการอัปเดตเพื่อป้องกันไม่ให้ข้อมูลประจำตัวที่ล้าสมัยกลายเป็นช่องโหว่ การหมดอายุของใบรับรอง Secure Boot ปี 2011 นั้นได้รับการวางแผนไว้ตั้งแต่แรกแล้ว

สิ่งที่ทำให้การเปลี่ยนแปลงนี้มีความสำคัญคือขนาดของระบบ Secure Boot ทำงานในระดับเฟิร์มแวร์ ไม่ใช่แค่ภายในระบบปฏิบัติการเท่านั้น การอัปเดตระบบนี้จึงต้องอาศัยการประสานงานระหว่างฝ่ายบริการของ Windows 11 (และ 10) เฟิร์มแวร์ของอุปกรณ์ และผู้ผลิตฮาร์ดแวร์ ในอุปกรณ์ที่มีการกำหนดค่าเฉพาะตัวนับล้านเครื่องทั่วโลก

ไมโครซอฟต์ระบุว่านี่เป็นหนึ่งในความพยายามบำรุงรักษาด้านความปลอดภัยที่มีการประสานงานกันครั้งใหญ่ที่สุดในระบบนิเวศของ Windows

วิธีการส่งมอบการอัปเดต

บริษัทซอฟต์แวร์ยักษ์ใหญ่ได้เริ่มทยอยปล่อยใบรับรอง Secure Boot ใหม่ผ่านการอัปเดตรายเดือนสำหรับเวอร์ชันที่รองรับแล้ว รวมถึง Windows 11 และ 10 สำหรับผู้ใช้ตามบ้านและธุรกิจส่วนใหญ่ที่อนุญาตให้บริษัทจัดการการอัปเดต การอัปเดตจะเกิดขึ้นโดยอัตโนมัติในเบื้องหลัง

ในบางกรณี โดยเฉพาะอย่างยิ่งในฮาร์ดแวร์รุ่นเก่า อาจจำเป็นต้องอัปเดตเฟิร์มแวร์จากผู้ผลิตอุปกรณ์ก่อนจึงจะสามารถใช้ใบรับรองใหม่ได้อย่างสำเร็จ ไมโครซอฟต์ระบุว่าได้ทำงานอย่างใกล้ชิดกับผู้ผลิตคอมพิวเตอร์รายใหญ่ (เช่น เดลล์, เอชพี และเลโนโว) เพื่อเตรียมอุปกรณ์ให้พร้อมสำหรับการเปลี่ยนแปลงนี้

อุปกรณ์เกือบทั้งหมดที่ผลิตตั้งแต่ปี 2024 เป็นต้นมามีใบรับรองที่อัปเดตแล้ว และระบบเกือบทั้งหมดที่จัดส่งในปี 2025 จะได้รับการติดตั้งใบรับรองดังกล่าวมาให้แล้วตั้งแต่แกะกล่อง

แล้วถ้าเป็น Windows เวอร์ชันที่ไม่รองรับล่ะ?

อุปกรณ์ที่ใช้ระบบปฏิบัติการเวอร์ชันที่ไม่ได้รับการสนับสนุนจะไม่ได้รับใบรับรอง Secure Boot ใหม่ผ่าน Windows Update ซึ่งรวมถึง Windows 10 หลังจากสิ้นสุดการสนับสนุนในเดือนตุลาคม 2025 เว้นแต่ว่าอุปกรณ์นั้นจะลงทะเบียนรับการอัปเดตความปลอดภัยเพิ่มเติม (Extended Security Updates )

ระบบเหล่านั้นจะยังคงใช้งานได้ต่อไปหลังจากใบรับรองปี 2011 หมดอายุ แต่จะถูกจำกัดความสามารถในการรับการปรับปรุงด้านความปลอดภัยในระดับบูตในอนาคตอย่างถาวร เนื่องจากแพลตฟอร์มมีการพัฒนาขึ้นเรื่อยๆ อาจทำให้ระบบเหล่านั้นเสี่ยงต่อภัยคุกคามใหม่ๆ และปัญหาความเข้ากันได้กับเฟิร์มแวร์ ฮาร์ดแวร์ หรือ Windows รุ่นใหม่ๆ มากขึ้นเรื่อยๆ

คุณควรทำอย่างไรต่อไป?

สำหรับคนส่วนใหญ่ วิธีที่ปลอดภัยที่สุดคือการทำอย่างตรงไปตรงมา จำไว้ว่าให้หมั่นอัปเดต Windows 11 (และ 10) ให้เป็นเวอร์ชันล่าสุดและตรวจสอบให้แน่ใจว่าเฟิร์มแวร์ของอุปกรณ์ของคุณเป็นเวอร์ชันล่าสุดโดยตรวจสอบจากหน้าสนับสนุนของผู้ผลิต ไมโครซอฟต์ระบุว่า ข้อมูลสถานะเพิ่มเติมเกี่ยวกับการอัปเดตใบรับรองจะปรากฏในแอป Windows Security ในอีกไม่กี่เดือนข้างหน้า ซึ่งจะช่วยให้มองเห็นกระบวนการได้ชัดเจนยิ่งขึ้น

คุณสามารถตรวจสอบและอัปเดตใบรับรอง Secure Boot ด้วยตนเอง ได้เสมอ โดยใช้คำแนะนำเหล่านี้

องค์กรที่จัดการคอมพิวเตอร์จำนวนมากควรพิจารณาเรื่องนี้เป็นการตรวจสอบความถูกต้องและการวางแผนการใช้งาน มากกว่าที่จะมองว่าเป็นเพียงการอัปเดต Patch Tuesday ทั่วไป