Windows Secure Boot sertifikalarının süresi 19 Ekim'de doluyor: Güncellemeyi kaçıran bilgisayarlar başlatma korumasını kaybediyor

19 Ekim 2026'da, bugünden sekiz gün sonra, Microsoft'un 2011'de yayımladığı Secure Boot (Güvenli Önyükleme) sertifikalarının sonuncusunun süresi doluyor: Windows başlatma programının kendisini imzalayan sertifika. Yeni 2023 sertifikalarını almamış bir bilgisayar çalışmaya ve normal Windows güncellemelerini yüklemeye devam edecek, ancak Microsoft başlatma aşamasındaki açıklara yönelik yeni düzeltmelerin artık ona ulaşmayacağını söylüyor. Kontrol için uzman gerekmiyor: her bilgisayarda Windows Güvenliği uygulamasını açın, Cihaz güvenliği bölümüne, ardından Güvenli önyükleme'ye gidin ve yalnızca simgenin rengine değil, mesajın kendisine bakın.

Tam olarak ne sona eriyor ve ne zaman?

Secure Boot, Microsoft'un Windows 8 ile getirdiği bir ürün yazılımı özelliğidir. Makine açıldığında, Windows'tan önce çalışan her programın güvenilir bir tarafça imzalanıp imzalanmadığını kontrol eder; böylece kendini başlatma aşamasına yerleştiren kötü amaçlı yazılımları (bootkit) engeller. Bu kontrol, cihazda saklanan, hepsi 2011'de yayımlanmış ve hepsinin bir son kullanma tarihi olan dijital sertifikalara dayanır. Microsoft'un süresi dolan sertifikalarla ilgili resmi sayfasına göre:

Eski sertifikaSon kullanma tarihiNe işe yarar
Microsoft Corporation KEK CA 201124 Haziran 2026İzin verilen ve engellenen başlatma listelerinin güncellemelerini imzalar
Microsoft UEFI CA 201127 Haziran 2026Üçüncü taraf başlatma yükleyicilerini ve eklenti kartlarının ürün yazılımını imzalar
Microsoft Windows Production PCA 201119 Ekim 2026Windows başlatma programını imzalar

Yani ikisinin süresi Haziran'da doldu, üçüncüsü, yani Windows bilgisayarlar için en önemli olanı ise bir hafta uzakta. Yerine gelenler 2023 tarihli ve dosyaları 13 Mayıs 2025'ten beri toplu güncellemelerle dağıtılıyor. Ancak bir güncellemeyle gelmeleri, cihaza yazıldıkları anlamına gelmiyor: Microsoft bunları birçok makinede otomatik olarak uyguluyor, diğerleri ise BT ekibinden bir adım ya da üreticiden bir ürün yazılımı güncellemesi gerektiriyor.

Güncellenmeyen bir bilgisayara ne olur?

20 Ekim'de durmayacak ve yazılımlarınız bozulmayacak. Microsoft'un sertifikaların süresi dolduğunda ne olacağını anlatan sayfası, cihazın normal şekilde açılacağını, normal Windows güncellemelerinin devam edeceğini ve internette gezinme, uygulamalar ve ağ bağlantısının aynı kalacağını söylüyor. Duran şeyler şunlar:

  • Windows Önyükleme Yöneticisi (Windows Boot Manager) güncellemeleri.
  • Tehlikeli olduğu bilinen başlatma programlarını engelleyen iptal listesinin güncellemeleri.
  • BitLocker atlatmalarına karşı önlemler dahil, başlatma zincirinde yeni keşfedilen açıklara yönelik düzeltmeler.

Risk ilk gün görünmez. O tarihten sonra bulunan ve düzeltmesi makinelerinize hiç ulaşmayan her başlatma açığıyla birlikte büyür. Bu açıklar tam da Windows'tan önce çalışan kötü amaçlı yazılım antivirüsünüzden de önce çalıştığı için ciddidir.

Bir bilgisayarı bir dakikada nasıl kontrol edersiniz?

Microsoft'un Windows Güvenliği uygulamasındaki güncelleme durumuyla ilgili sayfasına göre, Nisan 2026'dan beri Windows Güvenliği uygulaması sertifikaların durumunu gösteriyor. Uygulamayı açın, Cihaz güvenliği bölümüne, ardından Güvenli önyükleme'ye gidin ve mesajı okuyun. Her birinin anlamı şöyle:

  • Gerekli tüm sertifika güncellemeleri uygulandı: makine hazır, bir şey yapmanız gerekmiyor. Microsoft, yeşil onay işaretinin tek başına kanıt olmadığı konusunda uyarıyor, bu yüzden metni okuyun.
  • Cihaz, güncellenmesi gereken eski bir güven yapılandırması kullanıyor: en son Windows güncellemelerini yükleyin, yeniden başlatın ve makinenin internete bağlı olduğundan emin olun.
  • Cihaz, donanım veya ürün yazılımı sınırlamaları nedeniyle otomatik güncellemeyi desteklemiyor: üreticiden bir güncelleme almanız gerekiyor.
  • Cihaz artık Windows başlatma deneyimi için gerekli güncellemeleri alamıyor: eski sertifikanın süresi dolmuş ve makine hiç güncellenmemiş. Bu acil ilgi gerektirir.

Ekibinizde PowerShell kullanan biri varsa, yönetici olarak açılmış bir pencerede Confirm-SecureBootUEFI komutu özellik açıkken True döndürür. Özellik kapalıysa makine bu güncellemenin tamamen dışında kalır ve Microsoft, başlatma aşaması kötü amaçlı yazılımlarına açık kaldığını söylüyor.

Şirketinizde hangi makinelerin geride kalma olasılığı en yüksek?

Microsoft, yönettiği ve kendisine tanılama verisi gönderen makinelerde sertifikaları otomatik olarak güncellemeye çalışıyor, ancak sık sorulan sorular sayfası nihai sorumluluğun müşteride olduğunu açıkça belirtiyor. Güncellemenin ulaşmadığı durumlar, küçük veya orta ölçekli bir işletmeye göre sıralanmış olarak şunlar:

  • Genişletilmiş Güvenlik Güncellemeleri (ESU) olmayan Windows 10 bilgisayarlar: Microsoft, yeni sertifikaları yalnızca desteklenen Windows sürümlerinin aldığını söylüyor. Bu bilgisayarların durumunu işletme bilgisayarlarında Windows 10 desteğinin sona ermesi hakkındaki yazımızda kontrol edin.
  • Tanılama verilerini engelleyen bir güvenlik duvarının arkasındaki makineler: ağınız bu verilerin Microsoft'a ulaşmasını engelliyorsa otomatik güncelleme hiç gelmeyebilir.
  • Eski donanım: bazı modeller üreticiden bir ürün yazılımı güncellemesi gerektirir ve bu güncelleme yalnızca hâlâ destek süresi içindeki cihazlar için mevcut olabilir. Microsoft üretici bağlantılarını tek bir sayfada topluyor.
  • Sunucular ve sanal makineler: Windows Server 2016 ile 2025 arasındaki sürümler kapsam içinde. Bir sanal makine, Hyper-V, VMware, Azure veya AWS gibi bu sertifika güncellemelerini destekleyen bir platforma ya da platform sağlayıcısından bir güncellemeye ihtiyaç duyar.
  • Satış noktası terminalleri, dijital tabela ekranları ve operasyon bilgisayarları: haftalarca yeniden başlatılmadan çalışabilirler ve güncellemenin son adımı ancak bir yeniden başlatmadan sonra tamamlanır.

Kaçınılması gereken üç hata

  • Uyarıyı ortadan kaldırmak için Secure Boot'u kapatmayın. Microsoft, onu devre dışı bırakmanın bir çözüm olmadığını söylüyor: başlatma kötü amaçlı yazılımlarına karşı korumaları kaldırır ve yeni güvenlik ve uyumluluk riskleri yaratır.
  • Güncellemeden sonra BIOS'u fabrika ayarlarına sıfırlamayın, üretici ürün yazılımını güncellemediyse. Windows zaten 2023 sertifikasıyla imzalanmış başlatma yöneticisine geçtiyse ve fabrika ayarları bunu içermiyorsa, bilgisayar açılmayı reddeder ve düzeltmek için bir kurtarma USB belleği gerekir.
  • Kırmızı uyarıyı riski kabul et düğmesiyle kapatmayın. Bu seçenek var ve yönetici hakları gerektiriyor, ancak sorunu çözmeden gizler.

İyi haber şu: tarihi kaçırmak kapıyı kapatmıyor. Microsoft, yeni sertifikaları taşıyan güncellemelerin, makine açıldığı ve güncelleme kabul ettiği sürece eskilerin süresi dolduktan sonra da uygulanabileceğini söylüyor.

19 Ekim'den önce bir haftalık plan

  1. Gün 1: tüm Windows makinelerinin listesini çıkarın: masaüstü bilgisayarlar, dizüstü bilgisayarlar, sunucular, satış noktası terminalleri ve sanal makineler; üretici, model ve Windows sürümüyle birlikte.
  2. Gün 2 ve 3: her birini Windows Güvenliği uygulamasında kontrol edin ya da BT ekibinin durumu, zaten kullandığı Intune gibi yönetim aracıyla otomatik olarak toplamasını sağlayın.
  3. Gün 4: geride kalan her makineye en son Windows güncellemelerini yükleyin, ardından yeniden başlatın. Güncelleme görevi her 12 saatte bir çalışır ve son adımı bir yeniden başlatmayı bekler.
  4. Gün 5: otomatik güncellemeyi alamadığını bildiren makinelere üreticinin sitesinden ürün yazılımı güncellemesini yükleyin.
  5. Gün 6 ve 7: geriye kalanları not edin: kapsam dışındaki Windows 10 bilgisayarlar ve üretici desteği dışındaki donanım. Bunlar değiştirme planınıza girer; şirket cihazlarını hepsini birden değil, önceliğe göre değiştirmek hakkında da yazmıştık.

Origami'nin görüşü

Bu, ekranda hiç görünmeyen ve iş gününde hiçbir şeyi değiştirmeyen bir güncelleme ve tam da bu yüzden pek çok işletme onu kaçırıyor. Güncellenmemiş bir makine tamamen sağlıklı görünür ve fark ancak yeni bir başlatma açığı bulunduğunda ve düzeltmesi o makineye ulaşamadığında ortaya çıkar. Cihazlarının listesi olmayan bir işletme hangilerinin korumasız kaldığını bilemez.

Kuruluşunuz, devlet kurumlarını, onların şirketlerini ve kritik ulusal altyapıya sahip olan, onu işleten veya barındıran özel sektör kuruluşlarını kapsayan Ulusal Siber Güvenlik Otoritesi'nin (NCA) Temel Siber Güvenlik Kontrolleri ECC-2:2024 kapsamındaysa, 2-3-3-3 numaralı kontrol sistemler, uygulamalar ve cihazlar için yama yönetimini zorunlu kılıyor; NCA da diğer tüm kuruluşları aynı kontrolleri uygulamaya güçlü bir şekilde teşvik ediyor. Bütün bir düzeltme sınıfını almayı bırakmış bir makine, diğer tüm güncellemeler zamanında yapılsa bile bu yama yönetiminde bir açıktır.

Sonuç

Şirketinizdeki her Windows makinesinin 2023 sertifikalarını taşıdığından emin olmak için 19 Ekim 2026'ya kadar vaktiniz var. Her birinde Windows Güvenliği uygulamasını açıp mesajı okuyun, güncellemeleri yükleyip yeniden başlatın, gereken yerlerde ürün yazılımı güncellemesini edinin ve Secure Boot'u asla kapatmayın. Güncellenemeyenler değiştirme planına girer. Cihazlarınızın envanterini çıkaracak ve durumlarını takip edecek birine ihtiyacınız varsa, bizimle iletişime geçin.

Kaynaklar