شهادات Secure Boot في ويندوز تنتهي 19 أكتوبر: الجهاز الذي لم يجددها يفقد حماية بدء التشغيل

في 19 أكتوبر 2026، أي بعد 8 أيام، تنتهي آخر شهادة من شهادات Secure Boot (التمهيد الآمن) التي أصدرتها مايكروسوفت في 2011، وهي الشهادة التي توقع برنامج بدء تشغيل ويندوز نفسه. الجهاز الذي لم يحصل على شهادات 2023 الجديدة سيستمر في العمل، وستصله تحديثات ويندوز العادية، لكن مايكروسوفت تقول إن أي إصلاح جديد لثغرات مرحلة بدء التشغيل لن يصله. والفحص لا يحتاج خبيرا: افتح تطبيق أمن Windows في كل جهاز، ثم أمان الجهاز، ثم التمهيد الآمن، واقرأ الرسالة المكتوبة لا لون العلامة فقط.

ما الذي ينتهي بالضبط، ومتى؟

Secure Boot خاصية في البرنامج الثابت للجهاز، أدخلتها مايكروسوفت مع ويندوز 8. عند تشغيل الجهاز تتحقق من أن كل برنامج يعمل قبل ويندوز موقع من جهة موثوقة، فتمنع البرمجيات الخبيثة التي تزرع نفسها في مرحلة الإقلاع. ويتم هذا التحقق بشهادات رقمية مخزنة في الجهاز، صدرت كلها في 2011 ولها تاريخ انتهاء. وبحسب صفحة مايكروسوفت الرسمية عن انتهاء الشهادات:

أي أن شهادتين انتهتا في يونيو، والثالثة هي الأهم لأجهزة ويندوز وموعدها بعد أسبوع. وبدائلها شهادات تحمل تاريخ 2023، وصلت ملفاتها ضمن التحديثات التراكمية منذ 13 مايو 2025. لكن وصولها مع التحديث لا يعني أنها كتبت في الجهاز: مايكروسوفت تطبقها تلقائيا على كثير من الأجهزة، وبعضها يحتاج خطوة من قسم التقنية أو تحديثا من الشركة المصنعة.

ماذا يحدث للجهاز الذي لا يتجدد؟

لن يتوقف الجهاز في 20 أكتوبر، ولن تتعطل برامجك. تقول مايكروسوفت في صفحتها عما يحدث عند انتهاء الشهادات إن الجهاز سيبدأ التشغيل بشكل طبيعي، وستستمر تحديثات ويندوز العادية، ويبقى التصفح والبرامج والشبكة كما هي. ما يتوقف هو:

• تحديثات مدير بدء تشغيل ويندوز (Windows Boot Manager).
• تحديث قائمة البرامج المحظورة عند الإقلاع، وهي القائمة التي تمنع برامج إقلاع ثبت أنها خطرة.
• إصلاحات الثغرات المكتشفة حديثا في مرحلة الإقلاع، ومنها إصلاحات تمنع تجاوز تشفير BitLocker.

أي أن الخطر لا يظهر في اليوم الأول، بل يكبر مع كل ثغرة إقلاع تكتشف بعد هذا التاريخ ولا يصل إصلاحها إلى أجهزتك. وهذه الثغرات خطيرة تحديدا لأن البرنامج الخبيث الذي يعمل قبل ويندوز يعمل قبل برنامج الحماية أيضا.

كيف تفحص جهازا واحدا في دقيقة؟

منذ أبريل 2026 يعرض تطبيق أمن Windows حالة الشهادات، بحسب صفحة مايكروسوفت عن حالة التحديث في تطبيق أمن Windows. افتح التطبيق، ثم أمان الجهاز (Device security)، ثم التمهيد الآمن (Secure Boot)، واقرأ الرسالة. هذه معانيها:

• تم تطبيق جميع تحديثات الشهادات المطلوبة: الجهاز جاهز ولا شيء عليك. وتنبه مايكروسوفت إلى أن العلامة الخضراء وحدها لا تكفي دليلا، فاقرأ النص.
• الجهاز يستخدم إعدادات إقلاع قديمة يجب تحديثها: ثبت آخر تحديثات ويندوز وأعد التشغيل، وتأكد من اتصال الجهاز بالإنترنت.
• الجهاز لا يدعم التحديث التلقائي بسبب قيود في العتاد أو البرنامج الثابت: تحتاج تحديثا من الشركة المصنعة للجهاز.
• الجهاز لم يعد يستطيع تلقي التحديثات المطلوبة لبدء التشغيل: الشهادة القديمة انتهت والجهاز لم يتجدد، وهذا يحتاج تدخلا عاجلا.

وإن كان عندك من يستخدم PowerShell، فالأمر Confirm-SecureBootUEFI في نافذة بصلاحية المسؤول يجيب بكلمة True إن كانت الخاصية مفعلة. وإن كانت معطلة أصلا فالجهاز خارج هذا التحديث كله، وتقول مايكروسوفت إنه يبقى عرضة لبرمجيات الإقلاع الخبيثة.

أي أجهزة في شركتك هي الأكثر عرضة للتأخر؟

تحاول مايكروسوفت تحديث الشهادات تلقائيا على الأجهزة التي تديرها وتصلها منها بيانات التشخيص، لكنها تكتب في صفحة الأسئلة الشائعة صراحة أن العميل هو المسؤول في النهاية عن تحديثها. وهذه الحالات التي لا يصل فيها التحديث، مرتبة على واقع الشركات الصغيرة والمتوسطة:

• أجهزة ويندوز 10 بلا اشتراك في التحديثات الأمنية الممتدة: تقول مايكروسوفت إن إصدارات ويندوز المدعومة وحدها تحصل على الشهادات الجديدة. راجع وضع هذه الأجهزة في مقالنا عن انتهاء دعم ويندوز 10 لأجهزة الشركات.
• أجهزة خلف جدار حماية يحجب بيانات التشخيص: إن كانت شبكتك تمنع وصول هذه البيانات إلى مايكروسوفت، فقد لا يصل التحديث التلقائي.
• الأجهزة القديمة: بعضها يحتاج تحديث برنامج ثابت من الشركة المصنعة، وقد لا يتوفر إلا للأجهزة التي ما زالت ضمن فترة دعمها. وتجمع مايكروسوفت روابط الشركات المصنعة في صفحة واحدة.
• الخوادم والأجهزة الافتراضية: ويندوز سيرفر من 2016 إلى 2025 ضمن الإصدارات المشمولة. والجهاز الافتراضي يحتاج منصة تدعم تحديث هذه الشهادات، مثل Hyper-V أو VMware أو Azure أو AWS، أو تحديثا يوفره مزود المنصة.
• نقاط البيع والشاشات وأجهزة التشغيل التي تعمل بويندوز: قد تبقى أسابيع دون إعادة تشغيل، والخطوة الأخيرة من التحديث لا تكتمل إلا بعدها.

ثلاثة أخطاء تجنبها

• لا تعطل Secure Boot لتتخلص من التحذير. تنص مايكروسوفت على أن تعطيله ليس حلا، لأنه يزيل الحماية من برمجيات الإقلاع الخبيثة ويخلق مخاطر أمنية ومخاطر امتثال جديدة.
• لا تعد إعدادات BIOS إلى وضع المصنع بعد التحديث ما لم تحدث الشركة المصنعة البرنامج الثابت. فإن كان ويندوز قد انتقل إلى مدير الإقلاع الموقع بشهادة 2023، والإعدادات الافتراضية للجهاز لا تحمل هذه الشهادة، يرفض الجهاز الإقلاع، ويحتاج إصلاحه وحدة USB للاسترداد.
• لا تتجاهل التحذير الأحمر بزر قبول المخاطر. الخيار موجود ويحتاج صلاحية المسؤول، لكنه يخفي المشكلة ولا يحلها.

والخبر الجيد أن فوات الموعد لا يغلق الباب. تقول مايكروسوفت إن التحديثات التي تحمل الشهادات الجديدة يمكن تطبيقها حتى بعد انتهاء القديمة، ما دام الجهاز يعمل ويقبل التحديثات.

خطة أسبوع واحد قبل 19 أكتوبر

1. اليوم الأول: اجرد كل أجهزة ويندوز: المكتبية والمحمولة والخوادم ونقاط البيع والأجهزة الافتراضية، مع الشركة المصنعة والطراز ونسخة ويندوز.
2. اليومان الثاني والثالث: افحص كل جهاز من تطبيق أمن Windows، أو اجعل قسم التقنية يجمع الحالة آليا بأداة الإدارة التي يستخدمها، مثل Intune.
3. اليوم الرابع: ثبت آخر تحديثات ويندوز على كل جهاز متأخر وأعد تشغيله. مهمة التحديث تعمل كل 12 ساعة، وخطوتها الأخيرة تنتظر إعادة التشغيل.
4. اليوم الخامس: للأجهزة التي تقول إنها لا تدعم التحديث التلقائي، نزل تحديث البرنامج الثابت من موقع الشركة المصنعة.
5. اليومان السادس والسابع: اكتب قائمة بما بقي: أجهزة ويندوز 10 غير المشمولة، والأجهزة الخارجة عن دعم الشركة المصنعة. هذه تدخل خطة الاستبدال، وقد كتبنا عن استبدال أجهزة الشركة بالأولوية لا دفعة واحدة.

نظرة أوريغامي

هذا تحديث لا يظهر على الشاشة ولا يغير شيئا في يوم العمل، ولهذا تحديدا يفوت كثيرا من المنشآت. الجهاز الذي لم يتجدد يبدو سليما تماما، ولا يظهر الفرق إلا حين تكتشف ثغرة إقلاع جديدة لا يصله إصلاحها. والمنشأة التي لا تملك قائمة بأجهزتها لن تعرف أي جهاز بقي مكشوفا.

وإن كانت منشأتك ضمن نطاق الضوابط الأساسية للأمن السيبراني ECC-2:2024 من الهيئة الوطنية للأمن السيبراني، وهي الجهات الحكومية والشركات التابعة لها وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغلها أو تستضيفها، فالضابط 2-3-3-3 يطلب إدارة حزم التحديثات والإصلاحات للأنظمة والتطبيقات والأجهزة، والهيئة تشجع بقية الجهات بشدة على تطبيق الضوابط نفسها. والجهاز الذي توقفت عنه فئة كاملة من الإصلاحات ثغرة في هذه الإدارة، حتى لو كانت بقية تحديثاته منتظمة.

الخلاصة

أمامك حتى 19 أكتوبر 2026 لتتأكد من أن كل جهاز ويندوز في شركتك يحمل شهادات 2023. افتح تطبيق أمن Windows في كل جهاز واقرأ الرسالة، وثبت التحديثات وأعد التشغيل، واطلب تحديث البرنامج الثابت حيث يلزم، ولا تعطل Secure Boot. وما لا يمكن تحديثه يدخل خطة الاستبدال. وإن احتجت من يجرد أجهزتك ويتابع حالتها، تواصل معنا.

مصادر

• مايكروسوفت: انتهاء صلاحية شهادة التمهيد الآمن لـ Windows وتحديثات هيئة الشهادات (KB5062710)، جدول الشهادات وتواريخ انتهائها
• مايكروسوفت: عند انتهاء صلاحية شهادات التمهيد الآمن على أجهزة Windows (KB5079373)، ما يستمر وما يتوقف
• مايكروسوفت: حالة تحديث شهادة التمهيد الآمن في تطبيق أمن Windows (KB5087130)، الرسائل ومعانيها
• مايكروسوفت: الأسئلة المتداولة حول عملية تحديث التمهيد الآمن (KB5068008)، مسؤولية العميل والإصدارات المدعومة والتحديث بعد الانتهاء
• مايكروسوفت: إرشادات تحديث الشهادات لمحترفي تقنية المعلومات والمؤسسات (KB5062713)، الفحص بـ PowerShell ومهمة التحديث كل 12 ساعة (بالإنجليزية)
• مايكروسوفت: صفحات الشركات المصنعة للأجهزة عن تحديثات البرنامج الثابت (بالإنجليزية)
• الهيئة الوطنية للأمن السيبراني: الضوابط الأساسية للأمن السيبراني ECC-2:2024، نطاق التطبيق والضابط 2-3-3-3 (PDF)
• صحيفة الراي: مايكروسوفت تحذر من انتهاء صلاحية شهادات Secure Boot