Сертификаты Secure Boot 2011 истекли: что это значит и как проверить свой ПК
В 2026 году у Microsoft истекли сертификаты Secure Boot, выпущенные ещё в 2011 году. На их место приходят новые сертификаты 2023 года. Компьютер от этого не перестанет загружаться, но без обновления он перестанет получать важные исправления безопасности для загрузчика. Рассказываю, что это значит и как за пару минут проверить свой ПК.
Что такое Secure Boot
Secure Boot (безопасная загрузка) — защита в UEFI (современном BIOS), которая разрешает запускать при включении компьютера только загрузчики с доверенной цифровой подписью. Так блокируются вредоносные программы, которые пытаются запуститься раньше Windows (буткиты). Доверие держится на сертификатах, записанных в прошивку материнской платы.
Какие сертификаты истекли
| Сертификат | Для чего нужен | Срок действия |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | Обновление списков доверенных и запрещённых загрузчиков | до 24 июня 2026 |
| Microsoft Corporation UEFI CA 2011 | Загрузчики сторонних систем (например, Linux) и драйверы | до 27 июня 2026 |
| Microsoft Option ROM UEFI CA 2011 | Прошивки видеокарт и других плат расширения | до 27 июня 2026 |
| Microsoft Windows Production PCA 2011 | Загрузчик Windows | до 19 октября 2026 |
Им на смену пришли сертификаты 2023 года — например, Windows UEFI CA 2023 и KEK 2K CA 2023.
Что будет, если ничего не делать
- Компьютер продолжит загружаться — паниковать не нужно.
- Но он перестанет получать обновления диспетчера загрузки Windows и компонентов Secure Boot. Новые уязвимости загрузчика на таком ПК закрываться не будут.
Как получить новые сертификаты
- Обычно всё происходит само через Центр обновления Windows, если обновления включены, а Secure Boot активен. Это касается Windows 11 и Windows 10, которая продолжает получать обновления.
- Компьютеры, купленные в 2024 году и позже, как правило, уже получили новые сертификаты с завода.
- Обновите BIOS/UEFI с сайта производителя ноутбука или материнской платы: многие производители добавляют сертификаты 2023 года в новые прошивки. Учтите, что для совсем старых моделей обновлений прошивки может уже не быть.
- На Windows Server и виртуальных машинах сертификаты нужно обновлять вручную — автоматически они не приходят.
Как проверить свой компьютер
1. Включён ли Secure Boot. Нажмите Win + R, введите msinfo32 и посмотрите строку «Состояние безопасной загрузки» — должно быть «Вкл». Или выполните в PowerShell от имени администратора:
Confirm-SecureBootUEFI
Ответ True означает, что Secure Boot включён.
2. Установлен ли новый сертификат Windows UEFI CA 2023. Запустите PowerShell от имени администратора и выполните:
$db = Get-SecureBootUEFI db -join [char[]]$db.bytes -match 'Windows UEFI CA 2023'
True — новый сертификат на месте. False — компьютер всё ещё использует сертификат 2011 года.
3. Установлен ли новый KEK.
$kek = Get-SecureBootUEFI KEK -join [char[]]$kek.bytes -match 'KEK 2K CA 2023'
4. Журнал событий. В «Просмотре событий» (журнал «Система») событие с кодом 1808 означает, что устройство получило новые сертификаты и обновлённый загрузчик. Событие 1801 — информационное: Windows подготовила обновление, но ещё не записала его в прошивку. Обычно хватает пары перезагрузок.
Что делать, если сертификатов нет
- Установите все обновления Windows и перезагрузите компьютер 1–2 раза.
- Обновите BIOS/UEFI с сайта производителя.
- Убедитесь, что Secure Boot включён в настройках UEFI.
- Если у вас Linux, обновите систему: новые загрузчики подписаны сертификатом 2023 года. Старые записи 2011 года в прошивке удалять не нужно.
Для большинства домашних компьютеров достаточно не отключать обновления Windows и иногда обновлять BIOS — всё остальное произойдёт само. Если вы когда-то переключали IDE на AHCI в UEFI, то настройки безопасной загрузки найдёте там же.
