Los certificados de Secure Boot de Windows caducan el 19 de octubre: los PC que no se actualicen pierden la protección del arranque

El 19 de octubre de 2026, dentro de ocho días, caduca el último de los certificados de Secure Boot (Arranque seguro) que Microsoft emitió en 2011: el que firma el propio programa de arranque de Windows. Un PC que no haya recibido los nuevos certificados de 2023 seguirá funcionando y seguirá instalando las actualizaciones normales de Windows, pero Microsoft afirma que las nuevas correcciones para vulnerabilidades de la fase de arranque ya no le llegarán. Comprobarlo no requiere un especialista: en cada PC, abra la aplicación Seguridad de Windows, vaya a Seguridad del dispositivo, luego a Arranque seguro, y lea el mensaje, no solo el color del icono.

¿Qué caduca exactamente y cuándo?

Secure Boot es una función del firmware que Microsoft introdujo con Windows 8. Al encender el equipo, comprueba que cada programa que se ejecuta antes de Windows esté firmado por una parte de confianza, lo que bloquea el malware que se instala en la fase de arranque (bootkits). Esa comprobación se basa en certificados digitales almacenados en el dispositivo, todos emitidos en 2011 y todos con fecha de caducidad. Según la página oficial de Microsoft sobre los certificados que caducan:

Certificado antiguoFecha de caducidadQué hace
Microsoft Corporation KEK CA 201124 de junio de 2026Firma las actualizaciones de las listas de arranque permitidas y bloqueadas
Microsoft UEFI CA 201127 de junio de 2026Firma los cargadores de arranque de terceros y el firmware de las tarjetas de expansión
Microsoft Windows Production PCA 201119 de octubre de 2026Firma el programa de arranque de Windows

Así que dos caducaron en junio, y el tercero, el que más importa para los PC con Windows, está a una semana. Los sustitutos llevan fecha de 2023 y sus archivos se distribuyen en las actualizaciones acumulativas desde el 13 de mayo de 2025. Pero que lleguen en una actualización no significa que se hayan escrito en el dispositivo: Microsoft los aplica automáticamente en muchos equipos, mientras que otros necesitan un paso del departamento de TI o una actualización de firmware del fabricante.

¿Qué le pasa a un PC que no se actualiza?

No se detendrá el 20 de octubre y su software no dejará de funcionar. La página de Microsoft sobre lo que ocurre cuando caducan los certificados dice que el dispositivo arrancará con normalidad, las actualizaciones normales de Windows continuarán, y la navegación, las aplicaciones y la red seguirán igual. Lo que se detiene es:

  • Las actualizaciones del Administrador de arranque de Windows (Windows Boot Manager).
  • Las actualizaciones de la lista de revocación, que bloquea los programas de arranque que se sabe que son peligrosos.
  • Las correcciones para vulnerabilidades recién descubiertas en la cadena de arranque, incluidas las mitigaciones contra la omisión de BitLocker.

El riesgo no se nota el primer día. Crece con cada vulnerabilidad de arranque descubierta después de esa fecha cuya corrección nunca llega a sus equipos. Estos fallos son graves precisamente porque el malware que se ejecuta antes de Windows también se ejecuta antes que su antivirus.

¿Cómo revisar un PC en un minuto?

Desde abril de 2026, la aplicación Seguridad de Windows muestra el estado de los certificados, según la página de Microsoft sobre el estado de la actualización en la aplicación Seguridad de Windows. Abra la aplicación, vaya a Seguridad del dispositivo, luego a Arranque seguro, y lea el mensaje. Esto significa cada uno:

  • Se han aplicado todas las actualizaciones de certificados necesarias: el equipo está listo y no hace falta nada. Microsoft advierte que una marca de verificación verde por sí sola no es prueba, así que lea el texto.
  • El dispositivo usa una configuración de confianza antigua que debería actualizarse: instale las últimas actualizaciones de Windows, reinicie y asegúrese de que el equipo esté conectado a internet.
  • El dispositivo no admite la actualización automática por limitaciones de hardware o firmware: necesita una actualización del fabricante.
  • El dispositivo ya no puede recibir las actualizaciones necesarias para la experiencia de arranque de Windows: el certificado antiguo ha caducado y el equipo nunca se actualizó. Esto requiere atención urgente.

Si alguien de su equipo usa PowerShell, el comando Confirm-SecureBootUEFI en una ventana con privilegios elevados devuelve True cuando la función está activada. Si está desactivada, el equipo queda fuera de toda esta actualización, y Microsoft afirma que sigue expuesto al malware de la fase de arranque.

¿Qué equipos de su empresa tienen más probabilidades de quedarse atrás?

Microsoft intenta actualizar los certificados automáticamente en los equipos que gestiona y que le envían datos de diagnóstico, pero su página de preguntas frecuentes afirma claramente que la responsabilidad final es del cliente. Estos son los casos en los que la actualización no llega, ordenados para una pequeña o mediana empresa:

  • PC con Windows 10 sin Actualizaciones de Seguridad Extendidas (ESU): Microsoft afirma que solo las versiones de Windows con soporte reciben los nuevos certificados. Compruebe la situación de estos PC en nuestro artículo sobre el fin del soporte de Windows 10 para los PC de empresa.
  • Equipos detrás de un cortafuegos que bloquea los datos de diagnóstico: si su red impide que esos datos lleguen a Microsoft, puede que la actualización automática nunca llegue.
  • Hardware más antiguo: algunos modelos necesitan una actualización de firmware del fabricante, que puede existir solo para dispositivos que siguen dentro de su periodo de soporte. Microsoft reúne los enlaces de los fabricantes en una sola página.
  • Servidores y máquinas virtuales: de Windows Server 2016 a 2025 están entre las versiones cubiertas. Una máquina virtual necesita una plataforma que admita estas actualizaciones de certificados, como Hyper-V, VMware, Azure o AWS, o una actualización del proveedor de la plataforma.
  • Terminales de punto de venta, pantallas de señalización y PC de operaciones: pueden funcionar semanas sin reiniciarse, y el paso final de la actualización solo se completa tras un reinicio.

Tres errores que debe evitar

  • No desactive Secure Boot para que desaparezca la advertencia. Microsoft afirma que desactivarlo no es una solución: elimina las protecciones contra el malware de arranque y crea nuevos riesgos de seguridad y de cumplimiento.
  • No restablezca la BIOS a los valores de fábrica después de la actualización a menos que el fabricante haya actualizado el firmware. Si Windows ya ha pasado al administrador de arranque firmado con el certificado de 2023 y los valores de fábrica no lo incluyen, el PC se negará a arrancar y necesitará una unidad USB de recuperación para repararlo.
  • No descarte la advertencia roja con el botón de aceptar el riesgo. La opción existe y requiere derechos de administrador, pero oculta el problema sin resolverlo.

La buena noticia: pasarse de la fecha no cierra la puerta. Microsoft afirma que las actualizaciones que llevan los nuevos certificados se pueden aplicar incluso después de que caduquen los antiguos, siempre que el equipo arranque y acepte actualizaciones.

Un plan de una semana antes del 19 de octubre

  1. Día 1: haga una lista de todos los equipos con Windows: ordenadores de sobremesa, portátiles, servidores, terminales de punto de venta y máquinas virtuales, con fabricante, modelo y versión de Windows.
  2. Días 2 y 3: revise cada uno en la aplicación Seguridad de Windows, o pida al departamento de TI que recopile el estado automáticamente con la herramienta de gestión que ya utiliza, como Intune.
  3. Día 4: instale las últimas actualizaciones de Windows en cada equipo que vaya atrasado y reinícielo. La tarea de actualización se ejecuta cada 12 horas, y su último paso espera a un reinicio.
  4. Día 5: en los equipos que indiquen que no pueden recibir la actualización automática, instale la actualización de firmware desde el sitio web del fabricante.
  5. Días 6 y 7: anote lo que queda: los PC con Windows 10 que no están cubiertos y el hardware fuera del soporte del fabricante. Estos pasan a su plan de renovación, y hemos escrito sobre cómo renovar los dispositivos de la empresa por prioridad en lugar de todos a la vez.

La visión de Origami

Es una actualización que nunca aparece en pantalla y no cambia nada en la jornada laboral, y precisamente por eso tantas empresas la pasan por alto. Un equipo que no se actualizó parece perfectamente sano, y la diferencia solo se nota cuando se descubre un nuevo fallo de arranque y su corrección no puede llegar a ese equipo. Una empresa sin una lista de sus dispositivos no sabrá cuáles quedaron expuestos.

Si su organización está sujeta a los Controles Esenciales de Ciberseguridad ECC-2:2024 de la Autoridad Nacional de Ciberseguridad (NCA), que abarcan a las entidades gubernamentales, sus empresas y las entidades del sector privado que poseen, operan o alojan infraestructura nacional crítica, el control 2-3-3-3 exige la gestión de parches para sistemas, aplicaciones y dispositivos, y la NCA recomienda encarecidamente a todas las demás organizaciones aplicar los mismos controles. Un equipo que ha dejado de recibir toda una clase de correcciones es una brecha en esa gestión de parches, aunque todas las demás actualizaciones estén al día.

Conclusión

Tiene hasta el 19 de octubre de 2026 para asegurarse de que cada equipo con Windows de su empresa lleve los certificados de 2023. Abra la aplicación Seguridad de Windows en cada uno y lea el mensaje, instale las actualizaciones y reinicie, consiga la actualización de firmware donde haga falta y nunca desactive Secure Boot. Lo que no se pueda actualizar pasa al plan de renovación. Si necesita a alguien que haga el inventario de sus dispositivos y siga su estado, póngase en contacto con nosotros.

Fuentes