I certificati Secure Boot di Windows scadono il 19 ottobre: i PC senza l'aggiornamento perdono la protezione dell'avvio

Il 19 ottobre 2026, tra otto giorni, scade l'ultimo dei certificati Secure Boot (Avvio protetto) che Microsoft ha emesso nel 2011: quello che firma il programma di avvio di Windows stesso. Un PC che non ha ricevuto i nuovi certificati del 2023 continuerà a funzionare e a installare i normali aggiornamenti di Windows, ma Microsoft afferma che le nuove correzioni per le vulnerabilità della fase di avvio non lo raggiungeranno più. Il controllo non richiede uno specialista: su ogni PC aprite l'app Sicurezza di Windows, andate su Sicurezza dispositivo, poi su Avvio protetto, e leggete il messaggio, non solo il colore dell'icona.

Che cosa scade esattamente, e quando?

Secure Boot è una funzione del firmware che Microsoft ha introdotto con Windows 8. All'accensione del computer verifica che ogni programma eseguito prima di Windows sia firmato da un soggetto attendibile, bloccando così il malware che si insedia nella fase di avvio (bootkit). Questa verifica si basa su certificati digitali memorizzati nel dispositivo, tutti emessi nel 2011 e tutti con una data di scadenza. Secondo la pagina ufficiale di Microsoft sui certificati in scadenza:

Certificato vecchioData di scadenzaA cosa serve
Microsoft Corporation KEK CA 201124 giugno 2026Firma gli aggiornamenti degli elenchi di avvio consentiti e bloccati
Microsoft UEFI CA 201127 giugno 2026Firma i caricatori di avvio di terze parti e il firmware delle schede di espansione
Microsoft Windows Production PCA 201119 ottobre 2026Firma il programma di avvio di Windows

Quindi due sono scaduti a giugno, e per il terzo, quello più importante per i PC Windows, manca una settimana. I sostituti sono datati 2023 e i loro file vengono distribuiti negli aggiornamenti cumulativi dal 13 maggio 2025. Ma arrivare con un aggiornamento non significa essere stati scritti nel dispositivo: Microsoft li applica automaticamente su molti computer, mentre altri richiedono un intervento dell'IT o un aggiornamento del firmware da parte del produttore.

Che cosa succede a un PC che non viene aggiornato?

Non si fermerà il 20 ottobre e i vostri programmi non smetteranno di funzionare. La pagina di Microsoft su cosa succede quando i certificati scadono dice che il dispositivo si avvierà normalmente, i normali aggiornamenti di Windows continueranno, e la navigazione, le app e la rete resteranno invariate. Ciò che si ferma è:

  • Gli aggiornamenti di Windows Boot Manager.
  • Gli aggiornamenti dell'elenco di revoca, che blocca i programmi di avvio noti come pericolosi.
  • Le correzioni per le vulnerabilità appena scoperte nella catena di avvio, comprese le mitigazioni contro l'aggiramento di BitLocker.

Il rischio non si vede il primo giorno. Cresce con ogni vulnerabilità dell'avvio scoperta dopo quella data la cui correzione non raggiunge mai i vostri computer. Queste falle sono gravi proprio perché il malware che si esegue prima di Windows si esegue anche prima del vostro antivirus.

Come controllare un PC in un minuto?

Da aprile 2026 l'app Sicurezza di Windows mostra lo stato dei certificati, secondo la pagina di Microsoft sullo stato dell'aggiornamento nell'app Sicurezza di Windows. Aprite l'app, andate su Sicurezza dispositivo, poi su Avvio protetto, e leggete il messaggio. Ecco cosa significa ciascuno:

  • Tutti gli aggiornamenti dei certificati richiesti sono stati applicati: il computer è pronto e non serve nulla. Microsoft avverte che un segno di spunta verde da solo non è una prova, quindi leggete il testo.
  • Il dispositivo usa una configurazione di attendibilità meno recente che dovrebbe essere aggiornata: installate gli ultimi aggiornamenti di Windows, riavviate e assicuratevi che il computer sia connesso a internet.
  • Il dispositivo non supporta l'aggiornamento automatico a causa di limitazioni hardware o firmware: serve un aggiornamento del produttore.
  • Il dispositivo non può più ricevere gli aggiornamenti necessari per l'esperienza di avvio di Windows: il vecchio certificato è scaduto e il computer non è mai stato aggiornato. Serve un intervento urgente.

Se qualcuno del vostro team usa PowerShell, il comando Confirm-SecureBootUEFI in una finestra con privilegi elevati restituisce True quando la funzione è attiva. Se è disattivata, il computer resta fuori da tutto questo aggiornamento, e Microsoft afferma che rimane esposto al malware della fase di avvio.

Quali computer della vostra azienda rischiano di più di restare indietro?

Microsoft cerca di aggiornare automaticamente i certificati sui computer che gestisce e che le inviano dati di diagnostica, ma la sua pagina delle domande frequenti afferma chiaramente che la responsabilità ultima è del cliente. Questi sono i casi in cui l'aggiornamento non arriva, ordinati per una piccola o media impresa:

  • PC con Windows 10 senza gli aggiornamenti di sicurezza estesi (ESU): Microsoft afferma che solo le versioni di Windows supportate ricevono i nuovi certificati. Verificate la situazione di questi PC nel nostro articolo sulla fine del supporto di Windows 10 per i PC aziendali.
  • Computer dietro un firewall che blocca i dati di diagnostica: se la vostra rete impedisce a quei dati di raggiungere Microsoft, l'aggiornamento automatico potrebbe non arrivare mai.
  • Hardware più vecchio: alcuni modelli richiedono un aggiornamento del firmware del produttore, che potrebbe esistere solo per i dispositivi ancora nel periodo di supporto. Microsoft raccoglie i link dei produttori in un'unica pagina.
  • Server e macchine virtuali: le versioni di Windows Server dalla 2016 alla 2025 sono tra quelle coperte. Una macchina virtuale ha bisogno di una piattaforma che supporti questi aggiornamenti dei certificati, come Hyper-V, VMware, Azure o AWS, oppure di un aggiornamento del fornitore della piattaforma.
  • Terminali dei punti vendita, schermi di digital signage e PC operativi: possono restare accesi per settimane senza riavvio, e l'ultimo passaggio dell'aggiornamento si completa solo dopo un riavvio.

Tre errori da evitare

  • Non disattivate Secure Boot per far sparire l'avviso. Microsoft afferma che disattivarlo non è un rimedio: elimina le protezioni contro il malware dell'avvio e crea nuovi rischi di sicurezza e di conformità.
  • Non ripristinate il BIOS alle impostazioni di fabbrica dopo l'aggiornamento, a meno che il produttore non abbia aggiornato il firmware. Se Windows è già passato al gestore di avvio firmato con il certificato del 2023 e le impostazioni di fabbrica non lo includono, il PC si rifiuterà di avviarsi e servirà una chiavetta USB di ripristino per sistemarlo.
  • Non chiudete l'avviso rosso con il pulsante di accettazione del rischio. L'opzione esiste e richiede i diritti di amministratore, ma nasconde il problema senza risolverlo.

La buona notizia: mancare la data non chiude la porta. Microsoft afferma che gli aggiornamenti con i nuovi certificati possono essere applicati anche dopo la scadenza di quelli vecchi, purché il computer si avvii e accetti gli aggiornamenti.

Un piano di una settimana prima del 19 ottobre

  1. Giorno 1: elencate ogni computer Windows: desktop, portatili, server, terminali dei punti vendita e macchine virtuali, con produttore, modello e versione di Windows.
  2. Giorni 2 e 3: controllate ciascuno nell'app Sicurezza di Windows, oppure fate raccogliere all'IT lo stato in automatico con lo strumento di gestione che usa già, come Intune.
  3. Giorno 4: installate gli ultimi aggiornamenti di Windows su ogni computer rimasto indietro, poi riavviatelo. L'attività di aggiornamento viene eseguita ogni 12 ore, e il suo ultimo passaggio attende un riavvio.
  4. Giorno 5: sui computer che segnalano di non poter ricevere l'aggiornamento automatico, installate l'aggiornamento del firmware dal sito del produttore.
  5. Giorni 6 e 7: annotate ciò che resta: i PC con Windows 10 non coperti e l'hardware fuori dal supporto del produttore. Questi entrano nel vostro piano di sostituzione, e abbiamo scritto di come sostituire i dispositivi aziendali per priorità invece che tutti insieme.

Il punto di vista di Origami

È un aggiornamento che non compare mai sullo schermo e non cambia nulla nella giornata lavorativa, ed è proprio per questo che così tante aziende lo trascurano. Un computer non aggiornato sembra perfettamente sano, e la differenza emerge solo quando viene scoperta una nuova falla dell'avvio e la sua correzione non può raggiungere quel computer. Un'azienda senza un elenco dei propri dispositivi non saprà quali sono rimasti esposti.

Se la vostra organizzazione rientra nei Controlli essenziali di cybersicurezza ECC-2:2024 dell'Autorità nazionale per la cybersicurezza (NCA), che riguardano gli enti governativi, le loro società e gli enti del settore privato che possiedono, gestiscono o ospitano infrastrutture nazionali critiche, il controllo 2-3-3-3 richiede la gestione delle patch per sistemi, applicazioni e dispositivi, e la NCA incoraggia vivamente tutte le altre organizzazioni ad applicare gli stessi controlli. Un computer che ha smesso di ricevere un'intera categoria di correzioni è una lacuna in quella gestione delle patch, anche se tutti gli altri aggiornamenti sono in regola.

Conclusione

Avete tempo fino al 19 ottobre 2026 per assicurarvi che ogni computer Windows della vostra azienda abbia i certificati del 2023. Aprite l'app Sicurezza di Windows su ciascuno e leggete il messaggio, installate gli aggiornamenti e riavviate, procuratevi l'aggiornamento del firmware dove serve e non disattivate mai Secure Boot. Ciò che non si può aggiornare entra nel piano di sostituzione. Se vi serve qualcuno che faccia l'inventario dei vostri dispositivi e ne segua lo stato, contattateci.

Fonti