Certificados do Secure Boot do Windows expiram em 19 de outubro: PCs sem a atualização perdem a proteção da inicialização

Em 19 de outubro de 2026, daqui a oito dias, expira o último dos certificados do Secure Boot (Inicialização Segura) que a Microsoft emitiu em 2011: o que assina o próprio programa de inicialização do Windows. Um PC que não recebeu os novos certificados de 2023 continuará funcionando e instalando as atualizações normais do Windows, mas a Microsoft diz que novas correções para vulnerabilidades da etapa de inicialização não chegarão mais a ele. A verificação não exige um especialista: em cada PC, abra o aplicativo Segurança do Windows, vá em Segurança do dispositivo, depois em Inicialização Segura, e leia a mensagem, não apenas a cor do ícone.

O que exatamente expira, e quando?

O Secure Boot é um recurso de firmware que a Microsoft introduziu com o Windows 8. Quando a máquina é ligada, ele verifica se cada programa executado antes do Windows está assinado por uma parte confiável, o que bloqueia malwares que se instalam na etapa de inicialização (bootkits). Essa verificação depende de certificados digitais armazenados no dispositivo, todos emitidos em 2011 e todos com data de expiração. Segundo a página oficial da Microsoft sobre os certificados que estão expirando:

Certificado antigoData de expiraçãoO que faz
Microsoft Corporation KEK CA 201124 de junho de 2026Assina as atualizações das listas de inicialização permitidas e bloqueadas
Microsoft UEFI CA 201127 de junho de 2026Assina carregadores de inicialização de terceiros e o firmware de placas de expansão
Microsoft Windows Production PCA 201119 de outubro de 2026Assina o programa de inicialização do Windows

Ou seja, dois expiraram em junho, e o terceiro, o que mais importa para PCs com Windows, está a uma semana. Os substitutos são de 2023, e seus arquivos são distribuídos nas atualizações cumulativas desde 13 de maio de 2025. Mas vir em uma atualização não significa que eles foram gravados no dispositivo: a Microsoft os aplica automaticamente em muitas máquinas, enquanto outras precisam de uma ação da equipe de TI ou de uma atualização de firmware do fabricante.

O que acontece com um PC que não é atualizado?

Ele não vai parar em 20 de outubro, e seus programas não vão quebrar. A página da Microsoft sobre o que acontece quando os certificados expiram diz que o dispositivo vai iniciar normalmente, as atualizações normais do Windows vão continuar, e a navegação, os aplicativos e a rede continuam iguais. O que para é:

  • As atualizações do Gerenciador de Inicialização do Windows (Windows Boot Manager).
  • As atualizações da lista de revogação, que bloqueia programas de inicialização sabidamente perigosos.
  • As correções para vulnerabilidades recém-descobertas na cadeia de inicialização, incluindo mitigações contra a burla do BitLocker.

O risco não aparece no primeiro dia. Ele cresce a cada vulnerabilidade de inicialização descoberta depois dessa data cuja correção nunca chega às suas máquinas. Essas falhas são graves justamente porque um malware que roda antes do Windows também roda antes do seu antivírus.

Como verificar um PC em um minuto?

Desde abril de 2026, o aplicativo Segurança do Windows mostra o status dos certificados, segundo a página da Microsoft sobre o status da atualização no aplicativo Segurança do Windows. Abra o aplicativo, vá em Segurança do dispositivo, depois em Inicialização Segura, e leia a mensagem. Veja o que cada uma significa:

  • Todas as atualizações de certificado necessárias foram aplicadas: a máquina está pronta e nada é necessário. A Microsoft avisa que uma marca de seleção verde, sozinha, não é prova, então leia o texto.
  • O dispositivo está usando uma configuração de confiança mais antiga que deve ser atualizada: instale as atualizações mais recentes do Windows, reinicie e verifique se a máquina está conectada à internet.
  • O dispositivo não oferece suporte à atualização automática devido a limitações de hardware ou firmware: você precisa de uma atualização do fabricante.
  • O dispositivo não pode mais receber as atualizações necessárias para a experiência de inicialização do Windows: o certificado antigo expirou e a máquina nunca foi atualizada. Isso exige atenção urgente.

Se alguém da sua equipe usa o PowerShell, o comando Confirm-SecureBootUEFI em uma janela com privilégios elevados retorna True quando o recurso está ativado. Se estiver desativado, a máquina fica de fora de toda essa atualização, e a Microsoft diz que ela continua exposta a malwares da etapa de inicialização.

Quais máquinas da sua empresa têm mais chance de ficar para trás?

A Microsoft tenta atualizar os certificados automaticamente nas máquinas que gerencia e que enviam dados de diagnóstico para ela, mas sua página de perguntas frequentes afirma claramente que a responsabilidade final é do cliente. Estes são os casos em que a atualização não chega, ordenados para uma pequena ou média empresa:

  • PCs com Windows 10 sem as Atualizações de Segurança Estendidas (ESU): a Microsoft diz que apenas versões do Windows com suporte recebem os novos certificados. Veja a situação desses PCs no nosso artigo sobre o fim do suporte ao Windows 10 em PCs corporativos.
  • Máquinas atrás de um firewall que bloqueia os dados de diagnóstico: se a sua rede impede que esses dados cheguem à Microsoft, a atualização automática pode nunca chegar.
  • Hardware mais antigo: alguns modelos precisam de uma atualização de firmware do fabricante, que pode existir apenas para dispositivos ainda dentro do período de suporte. A Microsoft reúne os links dos fabricantes em uma única página.
  • Servidores e máquinas virtuais: o Windows Server 2016 até o 2025 estão entre as versões cobertas. Uma máquina virtual precisa de uma plataforma que ofereça suporte a essas atualizações de certificado, como Hyper-V, VMware, Azure ou AWS, ou de uma atualização do provedor da plataforma.
  • Terminais de ponto de venda, telas de sinalização digital e PCs de operação: eles podem ficar semanas sem reiniciar, e a etapa final da atualização só é concluída depois de uma reinicialização.

Três erros a evitar

  • Não desative o Secure Boot para fazer o aviso sumir. A Microsoft diz que desativá-lo não é uma solução: isso remove as proteções contra malware de inicialização e cria novos riscos de segurança e de conformidade.
  • Não restaure a BIOS para os padrões de fábrica depois da atualização, a menos que o fabricante tenha atualizado o firmware. Se o Windows já passou para o gerenciador de inicialização assinado com o certificado de 2023 e os padrões de fábrica não o incluem, o PC vai se recusar a iniciar e precisará de um pendrive de recuperação para ser consertado.
  • Não descarte o aviso vermelho com o botão de aceitar o risco. A opção existe e exige direitos de administrador, mas esconde o problema sem resolvê-lo.

A boa notícia: perder a data não fecha a porta. A Microsoft diz que as atualizações que trazem os novos certificados ainda podem ser aplicadas depois que os antigos expirarem, desde que a máquina inicie e aceite atualizações.

Um plano de uma semana antes de 19 de outubro

  1. Dia 1: liste todas as máquinas com Windows: desktops, notebooks, servidores, terminais de ponto de venda e máquinas virtuais, com fabricante, modelo e versão do Windows.
  2. Dias 2 e 3: verifique cada uma no aplicativo Segurança do Windows, ou peça à equipe de TI que colete o status automaticamente com a ferramenta de gerenciamento que já usa, como o Intune.
  3. Dia 4: instale as atualizações mais recentes do Windows em cada máquina atrasada e depois reinicie. A tarefa de atualização é executada a cada 12 horas, e sua última etapa espera uma reinicialização.
  4. Dia 5: nas máquinas que informam não poder receber a atualização automática, instale a atualização de firmware do site do fabricante.
  5. Dias 6 e 7: anote o que sobrou: PCs com Windows 10 que não estão cobertos e hardware fora do suporte do fabricante. Eles entram no seu plano de substituição, e já escrevemos sobre como substituir os dispositivos da empresa por prioridade, e não todos de uma vez.

A visão da Origami

É uma atualização que nunca aparece na tela e não muda nada no dia de trabalho, e é exatamente por isso que tantas empresas a deixam passar. Uma máquina que não foi atualizada parece perfeitamente saudável, e a diferença só aparece quando uma nova falha de inicialização é descoberta e sua correção não consegue chegar a essa máquina. Uma empresa sem uma lista dos seus dispositivos não saberá quais ficaram expostos.

Se a sua organização está sujeita aos Controles Essenciais de Cibersegurança ECC-2:2024 da Autoridade Nacional de Cibersegurança (NCA), que abrangem entidades governamentais, suas empresas e entidades do setor privado que possuem, operam ou hospedam infraestrutura nacional crítica, o controle 2-3-3-3 exige a gestão de patches para sistemas, aplicações e dispositivos, e a NCA recomenda fortemente que todas as outras organizações apliquem os mesmos controles. Uma máquina que deixou de receber toda uma classe de correções é uma lacuna nessa gestão de patches, mesmo que todas as outras atualizações estejam em dia.

Conclusão

Você tem até 19 de outubro de 2026 para garantir que cada máquina com Windows da sua empresa tenha os certificados de 2023. Abra o aplicativo Segurança do Windows em cada uma e leia a mensagem, instale as atualizações e reinicie, obtenha a atualização de firmware onde for necessário e nunca desative o Secure Boot. O que não puder ser atualizado entra no plano de substituição. Se você precisa de alguém para fazer o inventário dos seus dispositivos e acompanhar o status deles, fale com a gente.

Fontes