Срок действия сертификатов Secure Boot Windows истекает 19 октября: ПК без обновления теряют защиту при запуске

19 октября 2026 года, через восемь дней, истекает срок действия последнего из сертификатов Secure Boot (безопасной загрузки), выпущенных Microsoft в 2011 году: того, которым подписана сама программа загрузки Windows. Компьютер, не получивший новые сертификаты 2023 года, продолжит работать и устанавливать обычные обновления Windows, но, по словам Microsoft, новые исправления уязвимостей этапа загрузки до него больше не дойдут. Для проверки не нужен специалист: на каждом ПК откройте приложение «Безопасность Windows», перейдите в раздел «Безопасность устройства», затем «Безопасная загрузка», и прочитайте сообщение, а не только посмотрите на цвет значка.

Что именно истекает и когда?

Secure Boot — это функция прошивки, которую Microsoft представила вместе с Windows 8. При включении компьютера она проверяет, что каждая программа, запускаемая до Windows, подписана доверенной стороной, и тем самым блокирует вредоносные программы, внедряющиеся на этапе загрузки (буткиты). Эта проверка опирается на цифровые сертификаты, хранящиеся на устройстве, — все они выпущены в 2011 году и у всех есть срок действия. Согласно официальной странице Microsoft об истекающих сертификатах:

Старый сертификатДата истеченияНазначение
Microsoft Corporation KEK CA 201124 июня 2026 годаПодписывает обновления списков разрешенных и запрещенных загрузочных программ
Microsoft UEFI CA 201127 июня 2026 годаПодписывает загрузчики сторонних разработчиков и прошивку плат расширения
Microsoft Windows Production PCA 201119 октября 2026 годаПодписывает программу загрузки Windows

Итак, у двух срок истек в июне, а третий, самый важный для ПК с Windows, истекает через неделю. Замена датирована 2023 годом, и ее файлы поставляются в накопительных обновлениях с 13 мая 2025 года. Но то, что они пришли с обновлением, не значит, что они записаны на устройство: на многих компьютерах Microsoft применяет их автоматически, а другим нужен шаг со стороны ИТ-отдела или обновление прошивки от производителя.

Что будет с ПК, который не обновлен?

Он не остановится 20 октября, и ваши программы не сломаются. На странице Microsoft о том, что происходит после истечения сертификатов, сказано, что устройство будет нормально загружаться, обычные обновления Windows продолжатся, а работа в интернете, приложения и сеть останутся прежними. Прекращаются:

  • Обновления диспетчера загрузки Windows (Windows Boot Manager).
  • Обновления списка отзыва, который блокирует загрузочные программы, известные как опасные.
  • Исправления недавно обнаруженных уязвимостей в цепочке загрузки, включая меры защиты от обхода BitLocker.

В первый день риск не заметен. Он растет с каждой уязвимостью загрузки, найденной после этой даты, исправление которой так и не доходит до ваших компьютеров. Эти уязвимости серьезны именно потому, что вредоносная программа, запускающаяся до Windows, запускается и раньше вашего антивируса.

Как проверить один ПК за минуту?

С апреля 2026 года приложение «Безопасность Windows» показывает состояние сертификатов, согласно странице Microsoft о состоянии обновления в приложении «Безопасность Windows». Откройте приложение, перейдите в «Безопасность устройства», затем в «Безопасная загрузка», и прочитайте сообщение. Вот что означает каждое из них:

  • Все необходимые обновления сертификатов применены: компьютер готов, ничего делать не нужно. Microsoft предупреждает, что одна лишь зеленая галочка не является доказательством, поэтому читайте текст.
  • Устройство использует устаревшую конфигурацию доверия, которую следует обновить: установите последние обновления Windows, перезагрузите компьютер и убедитесь, что он подключен к интернету.
  • Устройство не поддерживает автоматическое обновление из-за ограничений оборудования или прошивки: вам нужно обновление от производителя.
  • Устройство больше не может получать необходимые обновления для загрузки Windows: срок старого сертификата истек, а компьютер так и не был обновлен. Это требует срочного внимания.

Если кто-то в вашей команде пользуется PowerShell, команда Confirm-SecureBootUEFI в окне с повышенными правами возвращает True, когда функция включена. Если она выключена, компьютер остается вне всего этого обновления, и, по словам Microsoft, он по-прежнему уязвим для вредоносных программ этапа загрузки.

Какие компьютеры в вашей компании скорее всего отстанут?

Microsoft старается автоматически обновлять сертификаты на компьютерах, которыми она управляет и которые отправляют ей диагностические данные, но на ее странице часто задаваемых вопросов прямо сказано, что в конечном счете ответственность лежит на клиенте. Вот случаи, когда обновление не приходит, в порядке важности для малого или среднего бизнеса:

  • ПК с Windows 10 без расширенных обновлений безопасности (ESU): по словам Microsoft, новые сертификаты получают только поддерживаемые версии Windows. Проверьте положение этих ПК в нашей статье об окончании поддержки Windows 10 на корпоративных ПК.
  • Компьютеры за межсетевым экраном, который блокирует диагностические данные: если ваша сеть не дает этим данным дойти до Microsoft, автоматическое обновление может так и не прийти.
  • Старое оборудование: некоторым моделям нужно обновление прошивки от производителя, которое может существовать только для устройств, еще находящихся в периоде поддержки. Microsoft собрала ссылки производителей на одной странице.
  • Серверы и виртуальные машины: версии Windows Server с 2016 по 2025 входят в число охваченных. Виртуальной машине нужна платформа, поддерживающая эти обновления сертификатов, например Hyper-V, VMware, Azure или AWS, либо обновление от поставщика платформы.
  • Кассовые терминалы, экраны цифровых вывесок и рабочие ПК операционных служб: они могут неделями работать без перезагрузки, а последний шаг обновления завершается только после нее.

Три ошибки, которых следует избегать

  • Не отключайте Secure Boot, чтобы убрать предупреждение. Microsoft говорит, что отключение не является решением: оно убирает защиту от вредоносных программ этапа загрузки и создает новые риски для безопасности и соответствия требованиям.
  • Не сбрасывайте BIOS к заводским настройкам после обновления, если производитель не обновил прошивку. Если Windows уже перешла на диспетчер загрузки, подписанный сертификатом 2023 года, а заводские настройки его не содержат, ПК откажется загружаться, и для исправления понадобится USB-накопитель восстановления.
  • Не закрывайте красное предупреждение кнопкой принятия риска. Такая возможность есть, и для нее нужны права администратора, но она скрывает проблему, не решая ее.

Хорошая новость: пропущенная дата не закрывает дверь. Microsoft говорит, что обновления с новыми сертификатами можно применить и после истечения срока старых, если компьютер запускается и принимает обновления.

План на неделю до 19 октября

  1. День 1: составьте список всех компьютеров с Windows: настольных ПК, ноутбуков, серверов, кассовых терминалов и виртуальных машин, с указанием производителя, модели и версии Windows.
  2. Дни 2 и 3: проверьте каждый в приложении «Безопасность Windows» или попросите ИТ-отдел автоматически собрать состояние с помощью уже используемого средства управления, например Intune.
  3. День 4: установите последние обновления Windows на каждый отстающий компьютер, затем перезагрузите его. Задача обновления запускается каждые 12 часов, а ее последний шаг ждет перезагрузки.
  4. День 5: на компьютерах, которые сообщают, что не могут принять автоматическое обновление, установите обновление прошивки с сайта производителя.
  5. Дни 6 и 7: запишите то, что осталось: неохваченные ПК с Windows 10 и оборудование, не поддерживаемое производителем. Они попадают в ваш план замены, а мы писали о том, как заменять устройства компании по приоритету, а не все сразу.

Взгляд Origami

Это обновление никогда не появляется на экране и ничего не меняет в рабочем дне, и именно поэтому столько компаний его пропускают. Необновленный компьютер выглядит совершенно исправным, и разница проявляется лишь тогда, когда обнаруживается новая уязвимость загрузки, а ее исправление не может дойти до этого компьютера. Компания без списка своих устройств не узнает, какие из них остались незащищенными.

Если на вашу организацию распространяются Основные меры контроля кибербезопасности ECC-2:2024 Национального управления кибербезопасности (NCA), которые охватывают государственные органы, их компании и организации частного сектора, владеющие критической национальной инфраструктурой, эксплуатирующие или размещающие ее, мера контроля 2-3-3-3 требует управления исправлениями для систем, приложений и устройств, а NCA настоятельно рекомендует всем остальным организациям применять те же меры. Компьютер, переставший получать целый класс исправлений, — это пробел в таком управлении исправлениями, даже если все остальные обновления устанавливаются по графику.

Вывод

У вас есть время до 19 октября 2026 года, чтобы убедиться, что на каждом компьютере с Windows в вашей компании есть сертификаты 2023 года. Откройте приложение «Безопасность Windows» на каждом и прочитайте сообщение, установите обновления и перезагрузите компьютер, получите обновление прошивки там, где оно нужно, и никогда не отключайте Secure Boot. То, что нельзя обновить, попадает в план замены. Если вам нужен кто-то, кто проведет инвентаризацию ваших устройств и будет отслеживать их состояние, свяжитесь с нами.

Источники