Сертификаты Secure Boot истекли в 2026 году: как проверить и обновить
В 2026 году истекли сертификаты Microsoft, на которых с 2011 года держится защита загрузки Secure Boot почти во всех компьютерах с Windows. Microsoft заменяет их новыми, 2023 года, — в основном автоматически, через Центр обновления. Но на части ПК замена не проходит сама. Разберёмся, что это значит, как проверить свой компьютер и что делать, если сертификаты не обновились.
Что истекло и когда
| Сертификат | Срок действия до | Зачем нужен |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 июня 2026 | подписывает обновления баз Secure Boot |
| Microsoft Corporation UEFI CA 2011 | 27 июня 2026 | доверие к сторонним загрузчикам (в том числе Linux) |
| Microsoft Option ROM UEFI CA 2011 | 27 июня 2026 | доверие к прошивкам видеокарт, сетевых карт и т.п. |
| Microsoft Windows Production PCA 2011 | октябрь 2026 | подписывает загрузчик Windows |
На смену им пришли сертификаты 2023 года (например, Windows UEFI CA 2023), которые действуют до 2050-х годов.
Перестанет ли компьютер загружаться?
Нет. Компьютер со старыми сертификатами продолжит загружаться, как раньше. Но Secure Boot перестанет получать новые защиты: Microsoft не сможет обновлять загрузчик и списки отозванных (опасных) загрузчиков. Такой ПК хуже защищён от буткитов — вирусов, которые запускаются раньше Windows.
Как проверить свой компьютер
Способ 1 — через «Безопасность Windows». Откройте Безопасность Windows → Безопасность устройства. Значок Secure Boot показывает состояние: зелёный — всё обновлено, жёлтый — обновление ожидается, красный — нужно вмешательство.
Способ 2 — через PowerShell. Запустите PowerShell от имени администратора и выполните:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Ответ True — новый сертификат на месте. False — компьютер всё ещё на сертификатах 2011 года.
Проверить новый ключ KEK:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'
Способ 3 — через реестр. В разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing параметр UEFICA2023Status показывает состояние: NotStarted (не начато), InProgress (идёт) или Updated (обновлено).
Что делать, если сертификаты не обновились
- Установите все обновления Windows и перезагрузите компьютер. Чаще всего этого достаточно: Windows сама записывает новые сертификаты в прошивку.
- Обновите BIOS/UEFI с сайта производителя ноутбука или материнской платы. На старых ПК (примерно до 2023 года) прошивка без обновления может не принять новые сертификаты.
- Запустите обновление вручную (для опытных пользователей). Сначала приостановите BitLocker или убедитесь, что у вас записан 48-значный ключ восстановления. Затем в PowerShell от имени администратора:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot' -Name 'AvailableUpdates' -Value 0x5944 Start-ScheduledTask -TaskName '\Microsoft\Windows\PI\Secure-Boot-Update'
Перезагрузите компьютер, при необходимости запустите задачу ещё раз и проверьте, что
UEFICA2023Statusстал Updated.
Подсказки в журнале событий
В журнале Система (источник TPM-WMI) могут встретиться события:
- 1801 — новые сертификаты доступны, но ещё не применены;
- 1800 — для продолжения нужна перезагрузка;
- 1796 — прошивка отклонила новый ключ KEK. Такое бывает на виртуальных машинах и старых ПК; помогает обновление BIOS (или версии виртуального оборудования).
Коротко
Если ваш компьютер куплен в 2024 году или позже, новые сертификаты, скорее всего, уже стоят. Для остальных: установите обновления Windows, обновите BIOS и проверьте результат командой выше — это займёт 5 минут.
Если у вас всё ещё Windows 10, почитайте мою статью о том, что бесплатные обновления Windows 10 продлили до октября 2027 года.
