Windows Secure Boot 证书10月19日到期：错过更新的电脑将失去启动保护

2026 年 10 月 19 日，也就是八天之后，微软于 2011 年签发的最后一张 Secure Boot（安全启动）证书将到期：它正是为 Windows 启动程序本身签名的那张证书。没有收到新的 2023 年证书的电脑仍会继续运行，也会继续安装常规的 Windows 更新，但微软表示，针对启动阶段漏洞的新修复将不再送达这台电脑。检查无需专业人员：在每台电脑上打开“Windows 安全中心”应用，进入“设备安全性”，再进入“安全启动”，然后阅读消息内容，而不只是看图标的颜色。

到底是什么到期，何时到期？

Secure Boot 是微软随 Windows 8 推出的一项固件功能。电脑开机时，它会检查在 Windows 之前运行的每个程序是否由受信任方签名，从而拦截潜伏在启动阶段的恶意软件（bootkit）。这项检查依赖存储在设备上的数字证书，这些证书全部签发于 2011 年，而且都有到期日。根据微软关于即将到期证书的官方页面：

旧证书到期日期用途
Microsoft Corporation KEK CA 20112026 年 6 月 24 日为允许和禁止的启动列表的更新签名
Microsoft UEFI CA 20112026 年 6 月 27 日为第三方启动加载程序和扩展卡固件签名
Microsoft Windows Production PCA 20112026 年 10 月 19 日为 Windows 启动程序签名

也就是说，有两张证书已在六月到期，而第三张，也就是对 Windows 电脑最重要的那张，距离到期只剩一周。替代证书的日期为 2023 年，其文件自 2025 年 5 月 13 日起已随累积更新发布。但随更新送达并不等于已经写入设备：微软会在许多电脑上自动应用这些证书，而另一些电脑则需要 IT 人员操作一步，或需要制造商提供固件更新。

没有更新的电脑会怎样？

它不会在 10 月 20 日停止运行，你的软件也不会出问题。微软关于证书到期后会发生什么的页面指出，设备会正常启动，常规的 Windows 更新会继续，浏览网页、应用程序和网络都不受影响。停止的是：

  • Windows 启动管理器（Windows Boot Manager）的更新。
  • 吊销列表的更新，该列表用于拦截已知有危险的启动程序。
  • 针对启动链中新发现漏洞的修复，包括针对 BitLocker 绕过的缓解措施。

风险在第一天并不会显现。在那个日期之后，每发现一个修复永远无法送达你电脑的启动漏洞，风险就会增加一分。这类漏洞之所以严重，正是因为在 Windows 之前运行的恶意软件，也会在你的杀毒软件之前运行。

如何在一分钟内检查一台电脑？

根据微软关于“Windows 安全中心”应用中更新状态的页面，自 2026 年 4 月起，“Windows 安全中心”应用会显示证书的状态。打开该应用，进入“设备安全性”，再进入“安全启动”，然后阅读消息。每条消息的含义如下：

  • 所有必需的证书更新均已应用：这台电脑已准备就绪，无需任何操作。微软提醒，仅有绿色对勾并不能证明什么，所以请阅读文字内容。
  • 设备正在使用应当更新的旧版信任配置：安装最新的 Windows 更新，重启电脑，并确保电脑已联网。
  • 由于硬件或固件限制，设备不支持自动更新：你需要制造商提供的更新。
  • 设备已无法再接收 Windows 启动体验所需的更新：旧证书已经到期，而这台电脑从未更新过。这需要紧急处理。

如果你的团队中有人使用 PowerShell，在以管理员身份运行的窗口中执行 Confirm-SecureBootUEFI 命令，功能开启时会返回 True。如果功能处于关闭状态，这台电脑就完全不在这次更新的范围内，微软表示它将始终暴露在启动阶段恶意软件的威胁之下。

你公司里哪些电脑最可能掉队？

微软会尝试在其管理的、向其发送诊断数据的电脑上自动更新证书，但其常见问题页面明确指出，最终责任在客户。以下是更新无法送达的几种情况，按中小企业的视角排序：

  • 没有扩展安全更新（ESU）的 Windows 10 电脑：微软表示，只有受支持的 Windows 版本才会获得新证书。请参阅我们关于企业电脑 Windows 10 终止支持的文章，确认这些电脑的处境。
  • 位于拦截诊断数据的防火墙之后的电脑：如果你的网络阻止这些数据发送到微软，自动更新可能永远不会到来。
  • 较旧的硬件：某些型号需要制造商提供固件更新，而这类更新可能只面向仍在支持期内的设备。微软把各制造商的链接汇总在一个页面上。
  • 服务器和虚拟机：Windows Server 2016 至 2025 均在覆盖范围内。虚拟机需要支持这些证书更新的平台，例如 Hyper-V、VMware、Azure 或 AWS，或者需要平台提供商的更新。
  • 收银终端、数字标牌屏幕和运营电脑：它们可能连续运行数周而不重启，而更新的最后一步只有在重启之后才会完成。

需要避免的三个错误

  • 不要为了让警告消失而关闭 Secure Boot。微软表示，禁用它并不是解决办法：这会去掉针对启动恶意软件的防护，并带来新的安全和合规风险。
  • 更新后不要把 BIOS 恢复为出厂默认设置，除非制造商已经更新了固件。如果 Windows 已经切换到使用 2023 年证书签名的启动管理器，而出厂默认设置中不包含该证书，电脑将拒绝启动，需要用恢复 U 盘才能修复。
  • 不要用“接受风险”按钮关闭红色警告。这个选项确实存在，并且需要管理员权限，但它只是隐藏了问题，并没有解决问题。

好消息是：错过日期并不意味着没有退路。微软表示，只要电脑能够启动并接受更新，即使旧证书已经到期，携带新证书的更新仍然可以应用。

10 月 19 日之前的一周计划

  1. 第 1 天：列出所有 Windows 电脑：台式机、笔记本电脑、服务器、收银终端和虚拟机，并注明制造商、型号和 Windows 版本。
  2. 第 2 天和第 3 天：在“Windows 安全中心”应用中逐台检查，或者让 IT 人员用已在使用的管理工具（例如 Intune）自动收集状态。
  3. 第 4 天：在每台落后的电脑上安装最新的 Windows 更新，然后重启。更新任务每 12 小时运行一次，其最后一步需要等待重启。
  4. 第 5 天：对于报告无法接受自动更新的电脑，从制造商网站安装固件更新。
  5. 第 6 天和第 7 天：记下剩余的设备：未被覆盖的 Windows 10 电脑，以及超出制造商支持范围的硬件。这些设备应列入你的更换计划，我们也写过关于按优先级而不是一次性更换公司设备的文章。

Origami 的观点

这是一次从不在屏幕上显示、也不会改变日常工作的更新，而这正是许多企业错过它的原因。没有更新的电脑看起来完全正常，只有在发现新的启动漏洞而其修复无法送达这台电脑时，差别才会显现。一家没有设备清单的企业，不会知道哪些设备处于暴露状态。

如果你的组织适用国家网络安全局（NCA）的基本网络安全控制措施 ECC-2:2024（适用范围包括政府机构、其下属公司，以及拥有、运营或托管关键国家基础设施的私营部门实体），那么控制项 2-3-3-3 要求对系统、应用程序和设备进行补丁管理，而 NCA 也强烈鼓励所有其他组织采用相同的控制措施。一台不再接收整整一类修复的电脑，就是这种补丁管理中的一个缺口，即使其他所有更新都按时完成。

结论

你有时间到 2026 年 10 月 19 日，确保公司里的每台 Windows 电脑都装有 2023 年证书。在每台电脑上打开“Windows 安全中心”应用并阅读消息，安装更新并重启，在需要的地方获取固件更新，并且永远不要关闭 Secure Boot。无法更新的设备列入更换计划。如果你需要有人为你的设备做清点并跟踪其状态，请联系我们。

资料来源