Secure Boot 2026: проверяйте сертификаты и безопасно планируйте обновления

Краткий вывод: Срок действия сертификатов безопасной загрузки 2011 года истекает в 2026 году. По мнению Microsoft, это не означает, что компьютер больше не будет автоматически запускаться в установленный срок: обычные обновления Windows также могут продолжать работать. Однако без новых сертификатов будущие обновления защиты при ранней загрузке могут отсутствовать. Поэтому проверяйте статус, учитывайте прошивку UEFI и BitLocker и контролируемо внедряйте изменения.

Что изменится в 2026 году?

Secure Boot проверяет цифровые подписи в прошивке UEFI компонентов, загружаемых до Windows. Сюда входят программы запуска и драйверы UEFI. Доверительные записи находятся в базах данных встроенного ПО, таких как DB, DBX и KEK. Продление влияет на эту цепочку доверия; это не обычное обновление функций Windows.

Microsoft указывает сертификаты 2011 года как истекающие. Центр сертификации Microsoft Corporation KEK 2011 г. датирован 24 июня 2026 г., центр сертификации Microsoft UEFI — 27 июня 2026 г., а производственный PCA Microsoft Windows — 19 октября 2026 г. Новые сертификаты датированы 2023 г. Какой из них нужен устройству, зависит от его использования и встроенного ПО; Для сторонних загрузчиков и дополнительных ПЗУ актуальны отдельные зоны доверия UEFI.

Классификация важна: сертификат с истекшим сроком действия не отключает безопасную загрузку во всех случаях. Microsoft заявляет, что затронутые устройства могут продолжать загружаться и получать обычные обновления Windows. Однако в будущем могут отсутствовать новые меры защиты для менеджеров загрузки, черных списков или других компонентов ранней загрузки. Это проблема безопасности и обслуживания. Нет причин изменять настройки BIOS без проверки устройства.

Что мне следует проверить в первую очередь?

1. Примечания для Windows и OEM: Установите регулярные поддерживаемые обновления Windows и проверьте страницу поддержки производителя устройства или материнской платы, чтобы узнать точную модель и версию UEFI.
2. Сообщения о состоянии: Microsoft упоминает идентификаторы событий 1801 и 1795 и значение состояния UEFICA2023Status в качестве возможных подсказок. Это диагностические сигналы, и их следует оценивать в контексте документации Microsoft.
3. Конфигурация безопасной загрузки: Проверьте, действительно ли безопасная загрузка активна на устройстве и существуют ли особые случаи, такие как альтернативные системы загрузки, сетевая загрузка или старые карты расширения.
4. BitLocker и восстановление: Microsoft называет неожиданные запросы на восстановление BitLocker возможной проблемой, связанной с несовместимой или устаревшей прошивкой. Поэтому подготовьте предполагаемый путь восстановления, прежде чем вносить какие-либо изменения в прошивку или сертификат.

Преимущества и ограничения обновления

• Преимущество: Обновленные данные доверия UEFI обеспечивают надлежащую защиту компонентов ранней загрузки.
• Преимущество: Контролируемая процедура позволяет увидеть, какие модели устройств уже обновлены, а какие требуют поддержки OEM.
• Limit: Процедура зависит от устройства, версии прошивки и управления. Общее вмешательство в реестр не является безопасной заменой инструкций производителя.
• Limit: Проблемы с прошивкой могут возникнуть на старых или специально настроенных устройствах. Microsoft рекомендует сначала проверить встроенное ПО и протестировать изменения на различных устройствах и конфигурациях BitLocker.

Рекомендация для частных пользователей и ИТ-команд

Частные пользователи: Постоянно обновляйте Windows, проверяйте страницу поддержки производителя устройства для получения информации о встроенном ПО и не деактивируйте безопасную загрузку вслепую, если появляются сообщения об ошибках. Если события указывают на проблему или появляется BitLocker Recovery, обратитесь к производителю устройства или в квалифицированную службу технической поддержки, указав модель и версию UEFI.

IT Команды: Запишите производителя, модель, встроенное ПО и статус BitLocker. Используйте поддерживаемые Microsoft каналы управления, такие как Intune, групповая политика, CSP или документированные политики реестра, и создайте небольшую пилотную группу с несколькими OEM-производителями и уровнями встроенного ПО. Потом проверка статуса и только потом широкое распространение. К серверам иногда применяются отдельные инструкции; описанное здесь планирование клиента не должно передаваться без проверки.

Информацию о планировании совместимости с Windows см. также в нашей уже опубликованной статье Windows 10 после окончания поддержки: проверить или сменить компьютер?.

Связанные источники

• Поддержка Microsoft: сертификаты безопасной загрузки и обновления CA — даты сертификатов, их значение и влияние.
• Microsoft Learn: обновление сертификатов на устройствах Windows — индикаторы состояния, проверка встроенного ПО и пилотное управление.
• Microsoft Learn: безопасная загрузка для производителей устройств — цепочка доверия UEFI, DB/DBX и KEK.

Подробное видео: Microsoft Ask Microsoft Anything: безопасная загрузка — февраль 2026 г. (канал Windows At Work). Видео представляет собой более длинную сессию вопросов и ответов для ИТ-менеджеров, поэтому ссылка на него приводится только как первоначальный источник, а не встроена. Название и канал были проверены через YouTube oEmbed 19 октября 2026 г.

Проверено 19 октября 2026 г. Автор: TechDesk PE Digital.Networks. Эта ориентация не заменяет никаких инструкций производителя, относящихся к устройству.