Windows Secure Boot सर्टिफिकेट 19 अक्टूबर को एक्सपायर: अपडेट से चूकने वाले PC स्टार्टअप सुरक्षा खो देंगे

19 अक्टूबर 2026 को, यानी आज से आठ दिन बाद, Microsoft द्वारा 2011 में जारी किए गए Secure Boot (सिक्योर बूट) सर्टिफिकेट में से आखिरी सर्टिफिकेट एक्सपायर हो जाएगा: वही जो खुद Windows स्टार्टअप प्रोग्राम पर हस्ताक्षर करता है। जिस PC को नए 2023 सर्टिफिकेट नहीं मिले हैं, वह चलता रहेगा और सामान्य Windows अपडेट इंस्टॉल करता रहेगा, लेकिन Microsoft कहता है कि स्टार्टअप चरण की कमजोरियों के नए सुधार अब उस तक नहीं पहुँचेंगे। जाँच के लिए किसी विशेषज्ञ की ज़रूरत नहीं: हर PC पर Windows Security ऐप खोलें, Device security में जाएँ, फिर Secure Boot पर जाएँ, और सिर्फ़ आइकन का रंग नहीं, बल्कि संदेश पढ़ें।

ठीक-ठीक क्या एक्सपायर हो रहा है, और कब?

Secure Boot एक फर्मवेयर सुविधा है जिसे Microsoft ने Windows 8 के साथ पेश किया था। मशीन चालू होते ही यह जाँचती है कि Windows से पहले चलने वाला हर प्रोग्राम किसी भरोसेमंद पक्ष द्वारा हस्ताक्षरित है, जिससे स्टार्टअप चरण में खुद को छिपा लेने वाला मैलवेयर (बूटकिट) रुक जाता है। यह जाँच डिवाइस में रखे डिजिटल सर्टिफिकेट पर निर्भर करती है, जो सभी 2011 में जारी हुए थे और सभी की एक्सपायरी तारीख है। एक्सपायर हो रहे सर्टिफिकेट पर Microsoft के आधिकारिक पेज के अनुसार:

पुराना सर्टिफिकेटएक्सपायरी तारीखयह क्या करता है
Microsoft Corporation KEK CA 201124 जून 2026अनुमत और अवरुद्ध स्टार्टअप सूचियों के अपडेट पर हस्ताक्षर करता है
Microsoft UEFI CA 201127 जून 2026थर्ड-पार्टी स्टार्टअप लोडर और ऐड-इन कार्ड फर्मवेयर पर हस्ताक्षर करता है
Microsoft Windows Production PCA 201119 अक्टूबर 2026Windows स्टार्टअप प्रोग्राम पर हस्ताक्षर करता है

तो दो जून में एक्सपायर हो चुके हैं, और तीसरा, जो Windows PC के लिए सबसे अहम है, एक हफ़्ते दूर है। इनकी जगह लेने वाले सर्टिफिकेट 2023 के हैं, और उनकी फ़ाइलें 13 मई 2025 से क्यूम्युलेटिव अपडेट में भेजी जा रही हैं। लेकिन किसी अपडेट में आ जाने का मतलब यह नहीं कि वे डिवाइस पर लिख दिए गए हैं: Microsoft कई मशीनों पर इन्हें अपने-आप लागू कर देता है, जबकि दूसरी मशीनों को IT टीम के एक कदम या निर्माता के फर्मवेयर अपडेट की ज़रूरत होती है।

जो PC अपडेट नहीं हुआ, उसका क्या होगा?

वह 20 अक्टूबर को बंद नहीं होगा, और आपका सॉफ़्टवेयर खराब नहीं होगा। सर्टिफिकेट एक्सपायर होने पर क्या होता है, इस पर Microsoft का पेज कहता है कि डिवाइस सामान्य रूप से स्टार्ट होगा, सामान्य Windows अपडेट जारी रहेंगे, और ब्राउज़िंग, ऐप और नेटवर्किंग पहले जैसे ही रहेंगे। जो बंद होता है, वह है:

  • Windows बूट मैनेजर (Windows Boot Manager) के अपडेट।
  • रिवोकेशन सूची के अपडेट, जो खतरनाक माने गए स्टार्टअप प्रोग्राम को रोकती है।
  • स्टार्टअप चेन में नई खोजी गई कमजोरियों के सुधार, जिनमें BitLocker को बायपास करने के खिलाफ बचाव भी शामिल हैं।

जोखिम पहले दिन दिखाई नहीं देता। यह उस तारीख के बाद मिलने वाली हर उस स्टार्टअप कमजोरी के साथ बढ़ता है जिसका सुधार कभी आपकी मशीनों तक नहीं पहुँचता। ये खामियाँ इसीलिए गंभीर हैं क्योंकि जो मैलवेयर Windows से पहले चलता है, वह आपके एंटीवायरस से भी पहले चलता है।

एक PC को एक मिनट में कैसे जाँचें?

Windows Security ऐप में अपडेट की स्थिति पर Microsoft के पेज के अनुसार, अप्रैल 2026 से Windows Security ऐप सर्टिफिकेट की स्थिति दिखाता है। ऐप खोलें, Device security में जाएँ, फिर Secure Boot पर जाएँ, और संदेश पढ़ें। हर संदेश का मतलब यह है:

  • सभी ज़रूरी सर्टिफिकेट अपडेट लागू हो गए हैं: मशीन तैयार है और कुछ करने की ज़रूरत नहीं। Microsoft चेतावनी देता है कि सिर्फ़ हरा टिक सबूत नहीं है, इसलिए लिखा हुआ संदेश पढ़ें।
  • डिवाइस एक पुराने ट्रस्ट कॉन्फ़िगरेशन का उपयोग कर रहा है जिसे अपडेट किया जाना चाहिए: नवीनतम Windows अपडेट इंस्टॉल करें, रीस्टार्ट करें और पक्का करें कि मशीन इंटरनेट से जुड़ी है।
  • हार्डवेयर या फर्मवेयर की सीमाओं के कारण डिवाइस स्वचालित अपडेट का समर्थन नहीं करता: आपको निर्माता से अपडेट चाहिए।
  • डिवाइस अब Windows स्टार्टअप अनुभव के लिए ज़रूरी अपडेट प्राप्त नहीं कर सकता: पुराना सर्टिफिकेट एक्सपायर हो चुका है और मशीन कभी अपडेट नहीं हुई। इस पर तुरंत ध्यान देने की ज़रूरत है।

अगर आपकी टीम में कोई PowerShell इस्तेमाल करता है, तो एडमिनिस्ट्रेटर अधिकारों वाली विंडो में Confirm-SecureBootUEFI कमांड सुविधा चालू होने पर True लौटाता है। अगर यह बंद है, तो मशीन इस पूरे अपडेट से बाहर है, और Microsoft कहता है कि वह स्टार्टअप चरण के मैलवेयर के सामने असुरक्षित बनी रहती है।

आपकी कंपनी की कौन-सी मशीनें सबसे ज़्यादा पीछे छूट सकती हैं?

Microsoft उन मशीनों पर सर्टिफिकेट अपने-आप अपडेट करने की कोशिश करता है जिन्हें वह मैनेज करता है और जो उसे डायग्नोस्टिक डेटा भेजती हैं, लेकिन उसका FAQ पेज साफ़ कहता है कि अंतिम ज़िम्मेदारी ग्राहक की है। ये वे स्थितियाँ हैं जिनमें अपडेट नहीं पहुँचता, किसी छोटे या मध्यम आकार के व्यवसाय के हिसाब से क्रम में:

  • एक्सटेंडेड सिक्योरिटी अपडेट (ESU) के बिना Windows 10 PC: Microsoft कहता है कि सिर्फ़ समर्थित Windows संस्करणों को ही नए सर्टिफिकेट मिलते हैं। इन PC की स्थिति हमारे लेख बिज़नेस PC के लिए Windows 10 सपोर्ट की समाप्ति में देखें।
  • डायग्नोस्टिक डेटा को रोकने वाले फ़ायरवॉल के पीछे की मशीनें: अगर आपका नेटवर्क उस डेटा को Microsoft तक पहुँचने से रोकता है, तो स्वचालित अपडेट शायद कभी न आए।
  • पुराना हार्डवेयर: कुछ मॉडलों को निर्माता से फर्मवेयर अपडेट चाहिए, जो शायद सिर्फ़ उन डिवाइस के लिए उपलब्ध हो जो अभी अपनी सपोर्ट अवधि में हैं। Microsoft निर्माताओं के लिंक एक ही पेज पर इकट्ठा करता है।
  • सर्वर और वर्चुअल मशीनें: Windows Server 2016 से 2025 तक के संस्करण दायरे में शामिल हैं। किसी वर्चुअल मशीन को ऐसे प्लेटफ़ॉर्म की ज़रूरत होती है जो इन सर्टिफिकेट अपडेट का समर्थन करे, जैसे Hyper-V, VMware, Azure या AWS, या फिर प्लेटफ़ॉर्म प्रदाता से अपडेट की।
  • पॉइंट-ऑफ़-सेल टर्मिनल, साइनेज स्क्रीन और ऑपरेशंस PC: ये हफ़्तों तक बिना रीस्टार्ट के चल सकते हैं, और अपडेट का आखिरी कदम रीस्टार्ट के बाद ही पूरा होता है।

तीन गलतियाँ जिनसे बचना है

  • चेतावनी हटाने के लिए Secure Boot बंद न करें। Microsoft कहता है कि इसे बंद करना कोई समाधान नहीं है: इससे स्टार्टअप मैलवेयर के खिलाफ सुरक्षा हट जाती है और सुरक्षा व अनुपालन के नए जोखिम पैदा होते हैं।
  • अपडेट के बाद BIOS को फ़ैक्टरी डिफ़ॉल्ट पर रीसेट न करें, जब तक कि निर्माता ने फर्मवेयर अपडेट न किया हो। अगर Windows पहले ही 2023 सर्टिफिकेट से हस्ताक्षरित स्टार्टअप मैनेजर पर चला गया है, और फ़ैक्टरी डिफ़ॉल्ट में वह शामिल नहीं है, तो PC स्टार्ट होने से मना कर देगा और उसे ठीक करने के लिए रिकवरी USB ड्राइव चाहिए होगी।
  • लाल चेतावनी को जोखिम स्वीकार करने वाले बटन से न हटाएँ। यह विकल्प मौजूद है और इसके लिए एडमिनिस्ट्रेटर अधिकार चाहिए, लेकिन यह समस्या को हल किए बिना छिपा देता है।

अच्छी खबर: तारीख चूक जाने से दरवाज़ा बंद नहीं होता। Microsoft कहता है कि नए सर्टिफिकेट वाले अपडेट पुराने सर्टिफिकेट एक्सपायर होने के बाद भी लागू किए जा सकते हैं, बशर्ते मशीन स्टार्ट हो और अपडेट स्वीकार करे।

19 अक्टूबर से पहले एक हफ़्ते की योजना

  1. दिन 1: हर Windows मशीन की सूची बनाएँ: डेस्कटॉप, लैपटॉप, सर्वर, पॉइंट-ऑफ़-सेल टर्मिनल और वर्चुअल मशीनें, निर्माता, मॉडल और Windows संस्करण के साथ।
  2. दिन 2 और 3: हर मशीन को Windows Security ऐप में जाँचें, या IT टीम से कहें कि वह पहले से इस्तेमाल हो रहे मैनेजमेंट टूल, जैसे Intune, से स्थिति अपने-आप इकट्ठा करे।
  3. दिन 4: पीछे चल रही हर मशीन पर नवीनतम Windows अपडेट इंस्टॉल करें, फिर उसे रीस्टार्ट करें। अपडेट टास्क हर 12 घंटे में चलता है, और उसका आखिरी कदम रीस्टार्ट का इंतज़ार करता है।
  4. दिन 5: जो मशीनें बताती हैं कि वे स्वचालित अपडेट नहीं ले सकतीं, उन पर निर्माता की साइट से फर्मवेयर अपडेट इंस्टॉल करें।
  5. दिन 6 और 7: जो बचा है उसे लिख लें: Windows 10 PC जो कवर नहीं हैं, और निर्माता के सपोर्ट से बाहर का हार्डवेयर। ये आपकी रिप्लेसमेंट योजना में जाते हैं, और हमने कंपनी के डिवाइस एक साथ नहीं, बल्कि प्राथमिकता के आधार पर बदलने के बारे में लिखा है।

Origami की राय

यह एक ऐसा अपडेट है जो कभी स्क्रीन पर नहीं दिखता और काम के दिन में कुछ नहीं बदलता, और ठीक इसी वजह से इतने सारे व्यवसाय इससे चूक जाते हैं। जो मशीन अपडेट नहीं हुई, वह पूरी तरह ठीक दिखती है, और फ़र्क तभी दिखता है जब कोई नई स्टार्टअप खामी मिलती है और उसका सुधार उस मशीन तक नहीं पहुँच पाता। जिस व्यवसाय के पास अपने डिवाइस की सूची नहीं है, उसे पता नहीं चलेगा कि कौन-से डिवाइस असुरक्षित रह गए।

अगर आपका संगठन राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) के आवश्यक साइबर सुरक्षा नियंत्रण ECC-2:2024 के दायरे में आता है, जो सरकारी संस्थाओं, उनकी कंपनियों और उन निजी क्षेत्र की संस्थाओं पर लागू होते हैं जो महत्वपूर्ण राष्ट्रीय इंफ्रास्ट्रक्चर की मालिक हैं, उसे संचालित या होस्ट करती हैं, तो नियंत्रण 2-3-3-3 सिस्टम, एप्लिकेशन और डिवाइस के लिए पैच प्रबंधन की माँग करता है, और NCA बाकी सभी संगठनों को भी यही नियंत्रण लागू करने के लिए दृढ़ता से प्रोत्साहित करता है। जो मशीन सुधारों की एक पूरी श्रेणी प्राप्त करना बंद कर चुकी है, वह उस पैच प्रबंधन में एक कमी है, भले ही बाकी हर अपडेट समय पर हो रहा हो।

निष्कर्ष

आपके पास 19 अक्टूबर 2026 तक का समय है यह पक्का करने के लिए कि आपकी कंपनी की हर Windows मशीन में 2023 सर्टिफिकेट मौजूद हों। हर मशीन पर Windows Security ऐप खोलें और संदेश पढ़ें, अपडेट इंस्टॉल करें और रीस्टार्ट करें, जहाँ ज़रूरत हो वहाँ फर्मवेयर अपडेट लें, और Secure Boot को कभी बंद न करें। जो अपडेट नहीं हो सकता, वह रिप्लेसमेंट योजना में जाता है। अगर आपको किसी ऐसे की ज़रूरत है जो आपके डिवाइस की सूची बनाए और उनकी स्थिति पर नज़र रखे, तो हमसे संपर्क करें।

स्रोत