Les certificats Secure Boot de Windows expirent le 19 octobre : les PC qui manquent la mise à jour perdent la protection au démarrage

Le 19 octobre 2026, dans huit jours, expire le dernier des certificats Secure Boot émis par Microsoft en 2011 : celui qui signe le programme de démarrage de Windows lui-même. Un PC qui n'a pas reçu les nouveaux certificats de 2023 continuera de fonctionner et d'installer les mises à jour Windows habituelles, mais Microsoft indique que les nouveaux correctifs des vulnérabilités de la phase de démarrage ne lui parviendront plus. La vérification ne demande aucun spécialiste : sur chaque PC, ouvrez l'application Sécurité Windows, allez dans Sécurité de l'appareil, puis Démarrage sécurisé, et lisez le message, pas seulement la couleur de l'icône.

Qu'est-ce qui expire exactement, et quand ?

Secure Boot (démarrage sécurisé) est une fonction du firmware introduite par Microsoft avec Windows 8. À la mise sous tension de la machine, elle vérifie que chaque programme qui s'exécute avant Windows est signé par une partie de confiance, ce qui bloque les logiciels malveillants qui s'installent dans la phase de démarrage (bootkits). Cette vérification repose sur des certificats numériques stockés sur l'appareil, tous émis en 2011 et tous dotés d'une date d'expiration. Selon la page officielle de Microsoft sur les certificats arrivant à expiration :

Deux ont donc expiré en juin, et le troisième, celui qui compte le plus pour les PC Windows, arrive dans une semaine. Les remplaçants sont datés de 2023, et leurs fichiers sont livrés dans les mises à jour cumulatives depuis le 13 mai 2025. Mais être livré dans une mise à jour ne signifie pas être inscrit sur l'appareil : Microsoft les applique automatiquement sur de nombreuses machines, tandis que d'autres nécessitent une action du service informatique ou une mise à jour du firmware par le fabricant.

Que se passe-t-il pour un PC qui n'est pas mis à jour ?

Il ne s'arrêtera pas le 20 octobre, et vos logiciels ne cesseront pas de fonctionner. La page de Microsoft sur ce qui se passe à l'expiration des certificats indique que l'appareil démarrera normalement, que les mises à jour Windows habituelles continueront, et que la navigation, les applications et le réseau resteront inchangés. Ce qui s'arrête :

• Les mises à jour du gestionnaire de démarrage Windows (Windows Boot Manager).
• Les mises à jour de la liste de révocation, qui bloque les programmes de démarrage connus pour être dangereux.
• Les correctifs des vulnérabilités nouvellement découvertes dans la chaîne de démarrage, y compris les mesures d'atténuation contre les contournements de BitLocker.

Le risque ne se voit pas le premier jour. Il augmente avec chaque vulnérabilité de démarrage découverte après cette date dont le correctif n'atteint jamais vos machines. Ces failles sont graves précisément parce qu'un logiciel malveillant qui s'exécute avant Windows s'exécute aussi avant votre antivirus.

Comment vérifier un PC en une minute ?

Depuis avril 2026, l'application Sécurité Windows affiche l'état des certificats, selon la page de Microsoft sur l'état de la mise à jour dans l'application Sécurité Windows. Ouvrez l'application, allez dans Sécurité de l'appareil, puis Démarrage sécurisé, et lisez le message. Voici ce que signifie chacun d'eux :

• Toutes les mises à jour de certificats requises ont été appliquées : la machine est prête et rien n'est nécessaire. Microsoft avertit qu'une coche verte seule n'est pas une preuve : lisez donc le texte.
• L'appareil utilise une ancienne configuration de confiance qui devrait être mise à jour : installez les dernières mises à jour Windows, redémarrez et assurez-vous que la machine est connectée à Internet.
• L'appareil ne prend pas en charge la mise à jour automatique en raison de limitations matérielles ou du firmware : il vous faut une mise à jour du fabricant.
• L'appareil ne peut plus recevoir les mises à jour requises pour l'expérience de démarrage de Windows : l'ancien certificat a expiré et la machine n'a jamais été mise à jour. Cela demande une attention urgente.

Si quelqu'un dans votre équipe utilise PowerShell, la commande Confirm-SecureBootUEFI dans une fenêtre avec élévation de privilèges renvoie True lorsque la fonction est activée. Si elle est désactivée, la machine est en dehors de toute cette mise à jour, et Microsoft indique qu'elle reste exposée aux logiciels malveillants de la phase de démarrage.

Quelles machines de votre entreprise risquent le plus de prendre du retard ?

Microsoft tente de mettre à jour automatiquement les certificats sur les machines qu'il gère et qui lui envoient des données de diagnostic, mais sa page de questions fréquentes indique clairement que la responsabilité finale incombe au client. Voici les cas où la mise à jour n'arrive pas, classés pour une petite ou moyenne entreprise :

• Les PC sous Windows 10 sans mises à jour de sécurité étendues (ESU) : Microsoft indique que seules les versions de Windows prises en charge reçoivent les nouveaux certificats. Vérifiez la situation de ces PC dans notre article sur la fin du support de Windows 10 pour les PC professionnels.
• Les machines derrière un pare-feu qui bloque les données de diagnostic : si votre réseau empêche ces données d'atteindre Microsoft, la mise à jour automatique risque de ne jamais arriver.
• Le matériel ancien : certains modèles nécessitent une mise à jour du firmware par le fabricant, qui n'existe parfois que pour les appareils encore dans leur période de support. Microsoft rassemble les liens des fabricants sur une seule page.
• Les serveurs et machines virtuelles : Windows Server de 2016 à 2025 fait partie des versions couvertes. Une machine virtuelle a besoin d'une plateforme qui prend en charge ces mises à jour de certificats, comme Hyper-V, VMware, Azure ou AWS, ou d'une mise à jour du fournisseur de la plateforme.
• Les terminaux de point de vente, écrans d'affichage dynamique et PC d'exploitation : ils peuvent tourner des semaines sans redémarrage, et la dernière étape de la mise à jour ne s'achève qu'après un redémarrage.

Trois erreurs à éviter

• Ne désactivez pas Secure Boot pour faire disparaître l'avertissement. Microsoft indique que le désactiver n'est pas une solution de contournement : cela supprime les protections contre les logiciels malveillants de démarrage et crée de nouveaux risques de sécurité et de conformité.
• Ne réinitialisez pas le BIOS aux paramètres d'usine après la mise à jour, sauf si le fabricant a mis à jour le firmware. Si Windows est déjà passé au gestionnaire de démarrage signé avec le certificat de 2023 et que les paramètres d'usine ne l'incluent pas, le PC refusera de démarrer et il faudra une clé USB de récupération pour le réparer.
• N'écartez pas l'avertissement rouge avec le bouton d'acceptation du risque. L'option existe et nécessite des droits d'administrateur, mais elle masque le problème sans le résoudre.

La bonne nouvelle : manquer la date ne ferme pas la porte. Microsoft indique que les mises à jour contenant les nouveaux certificats peuvent encore être appliquées après l'expiration des anciens, tant que la machine démarre et accepte les mises à jour.

Un plan d'une semaine avant le 19 octobre

1. Jour 1 : listez toutes les machines Windows : ordinateurs de bureau, portables, serveurs, terminaux de point de vente et machines virtuelles, avec fabricant, modèle et version de Windows.
2. Jours 2 et 3 : vérifiez chacune dans l'application Sécurité Windows, ou demandez au service informatique de collecter l'état automatiquement avec l'outil de gestion qu'il utilise déjà, comme Intune.
3. Jour 4 : installez les dernières mises à jour Windows sur chaque machine en retard, puis redémarrez-la. La tâche de mise à jour s'exécute toutes les 12 heures, et sa dernière étape attend un redémarrage.
4. Jour 5 : pour les machines qui indiquent ne pas pouvoir recevoir la mise à jour automatique, installez la mise à jour du firmware depuis le site du fabricant.
5. Jours 6 et 7 : notez ce qui reste : les PC sous Windows 10 non couverts et le matériel hors du support du fabricant. Ils entrent dans votre plan de remplacement, et nous avons écrit sur le remplacement des appareils de l'entreprise par ordre de priorité plutôt que tous à la fois.

Le regard d'Origami

C'est une mise à jour qui n'apparaît jamais à l'écran et ne change rien à la journée de travail, et c'est précisément pour cela que tant d'entreprises la manquent. Une machine non mise à jour semble en parfaite santé, et la différence n'apparaît que lorsqu'une nouvelle faille de démarrage est découverte et que son correctif ne peut pas atteindre cette machine. Une entreprise sans liste de ses appareils ne saura pas lesquels sont restés exposés.

Si votre organisation relève des contrôles essentiels de cybersécurité ECC-2:2024 de l'Autorité nationale de cybersécurité (NCA), qui couvrent les entités gouvernementales, leurs sociétés et les entités du secteur privé qui possèdent, exploitent ou hébergent des infrastructures nationales critiques, le contrôle 2-3-3-3 exige une gestion des correctifs pour les systèmes, les applications et les appareils, et la NCA encourage vivement toutes les autres organisations à appliquer les mêmes contrôles. Une machine qui a cessé de recevoir toute une catégorie de correctifs constitue une lacune dans cette gestion des correctifs, même si toutes les autres mises à jour sont à jour.

Conclusion

Vous avez jusqu'au 19 octobre 2026 pour vous assurer que chaque machine Windows de votre entreprise porte les certificats de 2023. Ouvrez l'application Sécurité Windows sur chacune et lisez le message, installez les mises à jour et redémarrez, obtenez la mise à jour du firmware si nécessaire, et ne désactivez jamais Secure Boot. Ce qui ne peut pas être mis à jour entre dans le plan de remplacement. Si vous avez besoin de quelqu'un pour inventorier vos appareils et suivre leur état, contactez-nous.

Sources

• Microsoft : expiration des certificats Windows Secure Boot et mises à jour des autorités de certification (KB5062710), le tableau des certificats et les dates d'expiration
• Microsoft : lorsque les certificats Secure Boot expirent sur les appareils Windows (KB5079373), ce qui continue de fonctionner et ce qui s'arrête
• Microsoft : état de la mise à jour des certificats Secure Boot dans l'application Sécurité Windows (KB5087130), les messages et leur signification
• Microsoft : questions fréquentes sur le processus de mise à jour Secure Boot (KB5068008), responsabilité du client, versions prises en charge et mise à jour après l'expiration
• Microsoft : guide de mise à jour des certificats pour les professionnels de l'informatique et les organisations (KB5062713), la vérification PowerShell et la tâche de mise à jour toutes les 12 heures
• Microsoft : pages des fabricants (OEM) pour les mises à jour du firmware
• Autorité nationale de cybersécurité (NCA) : contrôles essentiels de cybersécurité ECC-2:2024, champ d'application et contrôle 2-3-3-3 (PDF, en arabe)
• Al Rai : Microsoft avertit que les certificats Secure Boot arrivent à expiration (en arabe)