Pada 19 Oktober 2026, lapan hari dari sekarang, sijil Secure Boot terakhir yang dikeluarkan oleh Microsoft pada 2011 akan tamat tempoh: sijil yang menandatangani program permulaan Windows itu sendiri. PC yang belum menerima sijil baharu 2023 akan terus berfungsi dan terus memasang kemas kini Windows biasa, tetapi Microsoft menyatakan bahawa pembaikan baharu untuk kelemahan peringkat permulaan tidak akan sampai kepadanya lagi. Semakan ini tidak memerlukan pakar: pada setiap PC, buka aplikasi Keselamatan Windows, pergi ke Keselamatan peranti, kemudian But selamat, dan baca mesejnya, bukan sekadar warna ikonnya.

Apakah sebenarnya yang tamat tempoh, dan bila?

Secure Boot ialah ciri perisian tegar yang diperkenalkan oleh Microsoft bersama Windows 8. Apabila mesin dihidupkan, ciri ini menyemak bahawa setiap program yang berjalan sebelum Windows ditandatangani oleh pihak yang dipercayai, sekali gus menyekat perisian hasad yang menanam dirinya dalam peringkat permulaan (bootkit). Semakan itu bergantung pada sijil digital yang disimpan dalam peranti, yang semuanya dikeluarkan pada 2011 dan semuanya mempunyai tarikh tamat tempoh. Menurut halaman rasmi Microsoft tentang sijil yang akan tamat tempoh:

Sijil lamaTarikh tamat tempohFungsinya
Microsoft Corporation KEK CA 201124 Jun 2026Menandatangani kemas kini senarai permulaan yang dibenarkan dan disekat
Microsoft UEFI CA 201127 Jun 2026Menandatangani pemuat permulaan pihak ketiga dan perisian tegar kad tambahan
Microsoft Windows Production PCA 201119 Oktober 2026Menandatangani program permulaan Windows

Jadi, dua telah tamat tempoh pada bulan Jun, dan yang ketiga, yang paling penting bagi PC Windows, tinggal seminggu lagi. Penggantinya bertarikh 2023, dan failnya telah dihantar dalam kemas kini kumulatif sejak 13 Mei 2025. Tetapi dihantar dalam kemas kini tidak bermakna ia telah ditulis ke dalam peranti: Microsoft menggunakannya secara automatik pada banyak mesin, manakala mesin lain memerlukan satu langkah daripada pasukan IT atau kemas kini perisian tegar daripada pengeluar.

Apakah yang berlaku kepada PC yang tidak dikemas kini?

PC itu tidak akan berhenti pada 20 Oktober, dan perisian anda tidak akan rosak. Halaman Microsoft tentang apa yang berlaku apabila sijil tamat tempoh menyatakan bahawa peranti akan dihidupkan seperti biasa, kemas kini Windows biasa akan diteruskan, dan pelayaran web, aplikasi serta rangkaian kekal sama. Yang berhenti ialah:

  • Kemas kini Windows Boot Manager.
  • Kemas kini senarai pembatalan, yang menyekat program permulaan yang diketahui berbahaya.
  • Pembaikan untuk kelemahan yang baru ditemui dalam rantaian permulaan, termasuk mitigasi terhadap pintasan BitLocker.

Risikonya tidak kelihatan pada hari pertama. Ia meningkat dengan setiap kelemahan permulaan yang ditemui selepas tarikh tersebut yang pembaikannya tidak pernah sampai ke mesin anda. Kelemahan ini serius tepat kerana perisian hasad yang berjalan sebelum Windows juga berjalan sebelum antivirus anda.

Bagaimanakah cara menyemak satu PC dalam satu minit?

Sejak April 2026, aplikasi Keselamatan Windows memaparkan status sijil, menurut halaman Microsoft tentang status kemas kini dalam aplikasi Keselamatan Windows. Buka aplikasi itu, pergi ke Keselamatan peranti, kemudian But selamat, dan baca mesejnya. Berikut maksud setiap mesej:

  • Semua kemas kini sijil yang diperlukan telah digunakan: mesin sudah sedia dan tiada apa-apa yang perlu dilakukan. Microsoft memberi amaran bahawa tanda semak hijau sahaja bukan bukti, jadi bacalah teksnya.
  • Peranti menggunakan konfigurasi kepercayaan lama yang patut dikemas kini: pasang kemas kini Windows terkini, mulakan semula dan pastikan mesin disambungkan ke internet.
  • Peranti tidak menyokong kemas kini automatik kerana had perkakasan atau perisian tegar: anda memerlukan kemas kini daripada pengeluar.
  • Peranti tidak lagi boleh menerima kemas kini yang diperlukan untuk pengalaman permulaan Windows: sijil lama telah tamat tempoh dan mesin tidak pernah dikemas kini. Ini memerlukan perhatian segera.

Jika ada ahli pasukan anda yang menggunakan PowerShell, arahan Confirm-SecureBootUEFI dalam tetingkap dengan hak pentadbir akan memulangkan True apabila ciri ini dihidupkan. Jika ia dimatikan, mesin berada di luar keseluruhan kemas kini ini, dan Microsoft menyatakan mesin itu kekal terdedah kepada perisian hasad peringkat permulaan.

Mesin manakah dalam syarikat anda yang paling mungkin ketinggalan?

Microsoft cuba mengemas kini sijil secara automatik pada mesin yang diuruskannya dan yang menghantar data diagnostik kepadanya, tetapi halaman soalan lazimnya menyatakan dengan jelas bahawa tanggungjawab akhir terletak pada pelanggan. Berikut ialah kes-kes apabila kemas kini tidak sampai, disusun untuk perniagaan kecil atau sederhana:

  • PC Windows 10 tanpa Kemas Kini Keselamatan Lanjutan (ESU): Microsoft menyatakan hanya versi Windows yang disokong akan mendapat sijil baharu. Semak kedudukan PC ini dalam artikel kami tentang tamatnya sokongan Windows 10 untuk PC perniagaan.
  • Mesin di sebalik tembok api yang menyekat data diagnostik: jika rangkaian anda menghalang data itu daripada sampai ke Microsoft, kemas kini automatik mungkin tidak akan tiba.
  • Perkakasan lama: sesetengah model memerlukan kemas kini perisian tegar daripada pengeluar, yang mungkin hanya wujud untuk peranti yang masih dalam tempoh sokongannya. Microsoft mengumpulkan pautan pengeluar dalam satu halaman.
  • Pelayan dan mesin maya: Windows Server 2016 hingga 2025 termasuk dalam versi yang diliputi. Mesin maya memerlukan platform yang menyokong kemas kini sijil ini, seperti Hyper-V, VMware, Azure atau AWS, atau kemas kini daripada penyedia platform.
  • Terminal tempat jualan, skrin papan tanda digital dan PC operasi: peranti ini boleh berjalan berminggu-minggu tanpa dimulakan semula, sedangkan langkah terakhir kemas kini hanya selesai selepas dimulakan semula.

Tiga kesilapan yang perlu dielakkan

  • Jangan matikan Secure Boot supaya amaran itu hilang. Microsoft menyatakan bahawa menyahdayakannya bukan penyelesaian: ia membuang perlindungan terhadap perisian hasad permulaan dan mewujudkan risiko keselamatan dan pematuhan yang baharu.
  • Jangan tetapkan semula BIOS kepada tetapan lalai kilang selepas kemas kini melainkan pengeluar telah mengemas kini perisian tegarnya. Jika Windows sudah beralih kepada pengurus permulaan yang ditandatangani dengan sijil 2023, dan tetapan lalai kilang tidak mengandunginya, PC akan enggan dihidupkan dan memerlukan pemacu USB pemulihan untuk membaikinya.
  • Jangan tutup amaran merah dengan butang terima risiko. Pilihan itu wujud dan memerlukan hak pentadbir, tetapi ia menyembunyikan masalah tanpa menyelesaikannya.

Berita baiknya: terlepas tarikh itu tidak menutup pintu. Microsoft menyatakan bahawa kemas kini yang membawa sijil baharu masih boleh digunakan selepas sijil lama tamat tempoh, selagi mesin boleh dihidupkan dan menerima kemas kini.

Pelan seminggu sebelum 19 Oktober

  1. Hari 1: senaraikan setiap mesin Windows: desktop, komputer riba, pelayan, terminal tempat jualan dan mesin maya, bersama pengeluar, model dan versi Windows.
  2. Hari 2 dan 3: semak setiap satu dalam aplikasi Keselamatan Windows, atau minta pasukan IT mengumpulkan status secara automatik dengan alat pengurusan yang sudah digunakannya, seperti Intune.
  3. Hari 4: pasang kemas kini Windows terkini pada setiap mesin yang ketinggalan, kemudian mulakan semula. Tugas kemas kini berjalan setiap 12 jam, dan langkah terakhirnya menunggu mesin dimulakan semula.
  4. Hari 5: bagi mesin yang melaporkan tidak dapat menerima kemas kini automatik, pasang kemas kini perisian tegar daripada laman web pengeluar.
  5. Hari 6 dan 7: catat apa yang tinggal: PC Windows 10 yang tidak diliputi, dan perkakasan di luar sokongan pengeluar. Semua ini dimasukkan ke dalam pelan penggantian anda, dan kami telah menulis tentang menggantikan peranti syarikat mengikut keutamaan dan bukannya sekali gus.

Pandangan Origami

Ini ialah kemas kini yang tidak pernah muncul pada skrin dan tidak mengubah apa-apa dalam hari bekerja, dan itulah sebabnya begitu banyak perniagaan terlepas pandang. Mesin yang tidak dikemas kini kelihatan sihat sepenuhnya, dan perbezaannya hanya kelihatan apabila kelemahan permulaan baharu ditemui dan pembaikannya tidak dapat sampai ke mesin itu. Perniagaan yang tiada senarai perantinya tidak akan tahu peranti mana yang dibiarkan terdedah.

Jika organisasi anda tertakluk kepada Kawalan Keselamatan Siber Penting ECC-2:2024 oleh Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA), yang meliputi entiti kerajaan, syarikat milik entiti tersebut, dan entiti sektor swasta yang memiliki, mengendalikan atau menempatkan infrastruktur kritikal negara, kawalan 2-3-3-3 mewajibkan pengurusan tampalan (patch) bagi sistem, aplikasi dan peranti, dan NCA amat menggalakkan setiap organisasi lain untuk menggunakan kawalan yang sama. Mesin yang telah berhenti menerima satu kelas pembaikan secara keseluruhan ialah satu jurang dalam pengurusan tampalan itu, walaupun setiap kemas kini lain berjalan mengikut jadual.

Kesimpulan

Anda mempunyai masa sehingga 19 Oktober 2026 untuk memastikan setiap mesin Windows dalam syarikat anda membawa sijil 2023. Buka aplikasi Keselamatan Windows pada setiap mesin dan baca mesejnya, pasang kemas kini dan mulakan semula, dapatkan kemas kini perisian tegar jika perlu, dan jangan sekali-kali mematikan Secure Boot. Apa-apa yang tidak boleh dikemas kini dimasukkan ke dalam pelan penggantian. Jika anda memerlukan seseorang untuk menginventori peranti anda dan memantau statusnya, hubungi kami.

Sumber