Pada 19 Oktober 2026, delapan hari dari sekarang, sertifikat Secure Boot terakhir yang diterbitkan Microsoft pada 2011 akan kedaluwarsa: sertifikat yang menandatangani program startup Windows itu sendiri. PC yang belum menerima sertifikat baru 2023 akan tetap berfungsi dan tetap memasang pembaruan Windows reguler, tetapi Microsoft menyatakan bahwa perbaikan baru untuk kerentanan tahap startup tidak akan lagi sampai ke PC tersebut. Pemeriksaannya tidak memerlukan ahli: di setiap PC, buka aplikasi Keamanan Windows, masuk ke Keamanan perangkat, lalu Boot aman, dan baca pesannya, bukan hanya warna ikonnya.

Apa tepatnya yang kedaluwarsa, dan kapan?

Secure Boot adalah fitur firmware yang diperkenalkan Microsoft bersama Windows 8. Saat mesin dinyalakan, fitur ini memeriksa bahwa setiap program yang berjalan sebelum Windows ditandatangani oleh pihak tepercaya, sehingga memblokir malware yang menanamkan dirinya di tahap startup (bootkit). Pemeriksaan itu bergantung pada sertifikat digital yang tersimpan di perangkat, yang semuanya diterbitkan pada 2011 dan semuanya memiliki tanggal kedaluwarsa. Menurut halaman resmi Microsoft tentang sertifikat yang akan kedaluwarsa:

Sertifikat lamaTanggal kedaluwarsaFungsinya
Microsoft Corporation KEK CA 201124 Juni 2026Menandatangani pembaruan daftar startup yang diizinkan dan diblokir
Microsoft UEFI CA 201127 Juni 2026Menandatangani pemuat startup pihak ketiga dan firmware kartu tambahan
Microsoft Windows Production PCA 201119 Oktober 2026Menandatangani program startup Windows

Jadi, dua sudah kedaluwarsa pada bulan Juni, dan yang ketiga, yang paling penting bagi PC Windows, tinggal seminggu lagi. Penggantinya bertanggal 2023, dan berkasnya sudah dikirim dalam pembaruan kumulatif sejak 13 Mei 2025. Namun, dikirim dalam pembaruan tidak berarti sudah ditulis ke perangkat: Microsoft menerapkannya secara otomatis di banyak mesin, sementara mesin lain memerlukan satu langkah dari tim TI atau pembaruan firmware dari produsen.

Apa yang terjadi pada PC yang tidak diperbarui?

PC itu tidak akan berhenti pada 20 Oktober, dan perangkat lunak Anda tidak akan rusak. Halaman Microsoft tentang apa yang terjadi saat sertifikat kedaluwarsa menyatakan bahwa perangkat akan menyala seperti biasa, pembaruan Windows reguler akan berlanjut, dan penjelajahan web, aplikasi, serta jaringan tetap sama. Yang berhenti adalah:

  • Pembaruan Windows Boot Manager.
  • Pembaruan daftar pencabutan, yang memblokir program startup yang diketahui berbahaya.
  • Perbaikan untuk kerentanan yang baru ditemukan dalam rantai startup, termasuk mitigasi terhadap upaya melewati BitLocker.

Risikonya tidak terlihat pada hari pertama. Risiko itu bertambah dengan setiap kerentanan startup yang ditemukan setelah tanggal tersebut yang perbaikannya tidak pernah sampai ke mesin Anda. Celah ini serius justru karena malware yang berjalan sebelum Windows juga berjalan sebelum antivirus Anda.

Bagaimana cara memeriksa satu PC dalam satu menit?

Sejak April 2026, aplikasi Keamanan Windows menampilkan status sertifikat, menurut halaman Microsoft tentang status pembaruan di aplikasi Keamanan Windows. Buka aplikasinya, masuk ke Keamanan perangkat, lalu Boot aman, dan baca pesannya. Berikut arti masing-masing pesan:

  • Semua pembaruan sertifikat yang diperlukan telah diterapkan: mesin sudah siap dan tidak perlu tindakan apa pun. Microsoft memperingatkan bahwa tanda centang hijau saja bukan bukti, jadi bacalah teksnya.
  • Perangkat menggunakan konfigurasi kepercayaan lama yang perlu diperbarui: pasang pembaruan Windows terbaru, mulai ulang, dan pastikan mesin terhubung ke internet.
  • Perangkat tidak mendukung pembaruan otomatis karena keterbatasan perangkat keras atau firmware: Anda memerlukan pembaruan dari produsen.
  • Perangkat tidak dapat lagi menerima pembaruan yang diperlukan untuk pengalaman startup Windows: sertifikat lama sudah kedaluwarsa dan mesin tidak pernah diperbarui. Ini memerlukan perhatian segera.

Jika ada anggota tim Anda yang menggunakan PowerShell, perintah Confirm-SecureBootUEFI di jendela dengan hak administrator akan menghasilkan True saat fitur ini aktif. Jika fitur ini mati, mesin berada di luar seluruh pembaruan ini, dan Microsoft menyatakan mesin itu tetap terbuka terhadap malware tahap startup.

Mesin mana di perusahaan Anda yang paling mungkin tertinggal?

Microsoft berusaha memperbarui sertifikat secara otomatis di mesin yang dikelolanya dan yang mengirimkan data diagnostik kepadanya, tetapi halaman tanya jawabnya menyatakan dengan jelas bahwa tanggung jawab akhir ada pada pelanggan. Berikut kasus-kasus ketika pembaruan tidak sampai, diurutkan untuk usaha kecil atau menengah:

  • PC Windows 10 tanpa Pembaruan Keamanan Diperpanjang (ESU): Microsoft menyatakan hanya versi Windows yang didukung yang mendapatkan sertifikat baru. Periksa posisi PC ini di artikel kami tentang berakhirnya dukungan Windows 10 untuk PC bisnis.
  • Mesin di balik firewall yang memblokir data diagnostik: jika jaringan Anda menghentikan data itu agar tidak sampai ke Microsoft, pembaruan otomatis mungkin tidak akan pernah tiba.
  • Perangkat keras lama: beberapa model memerlukan pembaruan firmware dari produsen, yang mungkin hanya tersedia untuk perangkat yang masih dalam masa dukungannya. Microsoft mengumpulkan tautan produsen di satu halaman.
  • Server dan mesin virtual: Windows Server 2016 hingga 2025 termasuk dalam versi yang dicakup. Mesin virtual memerlukan platform yang mendukung pembaruan sertifikat ini, seperti Hyper-V, VMware, Azure, atau AWS, atau pembaruan dari penyedia platform.
  • Terminal kasir, layar papan informasi digital, dan PC operasional: perangkat ini bisa berjalan berminggu-minggu tanpa dimulai ulang, padahal langkah terakhir pembaruan hanya selesai setelah dimulai ulang.

Tiga kesalahan yang harus dihindari

  • Jangan matikan Secure Boot agar peringatannya hilang. Microsoft menyatakan bahwa menonaktifkannya bukan solusi: hal itu menghilangkan perlindungan terhadap malware startup dan menimbulkan risiko keamanan dan kepatuhan yang baru.
  • Jangan mengatur ulang BIOS ke pengaturan bawaan pabrik setelah pembaruan kecuali produsen sudah memperbarui firmware-nya. Jika Windows sudah beralih ke pengelola startup yang ditandatangani dengan sertifikat 2023, dan pengaturan bawaan pabrik tidak menyertakannya, PC akan menolak menyala dan memerlukan USB pemulihan untuk memperbaikinya.
  • Jangan menutup peringatan merah dengan tombol terima risiko. Opsi itu ada dan memerlukan hak administrator, tetapi hanya menyembunyikan masalah tanpa menyelesaikannya.

Kabar baiknya: melewatkan tanggal tersebut tidak menutup pintu. Microsoft menyatakan bahwa pembaruan yang membawa sertifikat baru masih bisa diterapkan setelah sertifikat lama kedaluwarsa, selama mesin bisa menyala dan menerima pembaruan.

Rencana satu minggu sebelum 19 Oktober

  1. Hari 1: buat daftar setiap mesin Windows: desktop, laptop, server, terminal kasir, dan mesin virtual, beserta produsen, model, dan versi Windows-nya.
  2. Hari 2 dan 3: periksa masing-masing di aplikasi Keamanan Windows, atau minta tim TI mengumpulkan statusnya secara otomatis dengan alat manajemen yang sudah mereka gunakan, seperti Intune.
  3. Hari 4: pasang pembaruan Windows terbaru di setiap mesin yang tertinggal, lalu mulai ulang. Tugas pembaruan berjalan setiap 12 jam, dan langkah terakhirnya menunggu mesin dimulai ulang.
  4. Hari 5: untuk mesin yang melaporkan tidak dapat menerima pembaruan otomatis, pasang pembaruan firmware dari situs produsen.
  5. Hari 6 dan 7: catat apa yang tersisa: PC Windows 10 yang tidak tercakup, dan perangkat keras di luar dukungan produsen. Semua itu masuk ke rencana penggantian Anda, dan kami sudah menulis tentang mengganti perangkat perusahaan berdasarkan prioritas, bukan sekaligus.

Pandangan Origami

Ini adalah pembaruan yang tidak pernah muncul di layar dan tidak mengubah apa pun dalam hari kerja, dan justru karena itulah banyak bisnis melewatkannya. Mesin yang tidak diperbarui tampak sepenuhnya sehat, dan perbedaannya baru terlihat ketika celah startup baru ditemukan dan perbaikannya tidak bisa sampai ke mesin itu. Bisnis yang tidak memiliki daftar perangkatnya tidak akan tahu perangkat mana yang dibiarkan terbuka.

Jika organisasi Anda termasuk dalam cakupan Kontrol Keamanan Siber Esensial ECC-2:2024 dari Otoritas Keamanan Siber Nasional (NCA), yang mencakup instansi pemerintah, perusahaan milik instansi tersebut, dan entitas sektor swasta yang memiliki, mengoperasikan, atau menampung infrastruktur nasional yang kritis, kontrol 2-3-3-3 mewajibkan manajemen patch untuk sistem, aplikasi, dan perangkat, dan NCA sangat mendorong setiap organisasi lainnya untuk menerapkan kontrol yang sama. Mesin yang sudah berhenti menerima satu kelas perbaikan secara utuh adalah celah dalam manajemen patch tersebut, meskipun semua pembaruan lainnya berjalan sesuai jadwal.

Kesimpulan

Anda punya waktu hingga 19 Oktober 2026 untuk memastikan setiap mesin Windows di perusahaan Anda membawa sertifikat 2023. Buka aplikasi Keamanan Windows di masing-masing mesin dan baca pesannya, pasang pembaruan dan mulai ulang, dapatkan pembaruan firmware jika diperlukan, dan jangan pernah mematikan Secure Boot. Apa pun yang tidak bisa diperbarui masuk ke rencana penggantian. Jika Anda membutuhkan pihak yang menginventarisasi perangkat Anda dan memantau statusnya, hubungi kami.

Sumber