Сертификаты Secure Boot 2026: что истекло в июне и что будет 19 октября

Обновлено 15 октября 2026 года. Из трёх сертификатов Secure Boot 2011 года два уже истекли: Microsoft Corporation KEK CA 2011 24 июня, Microsoft UEFI CA 2011 27 июня. Последний, Microsoft Windows Production PCA 2011, которым подписан загрузчик Windows, истекает 19 октября 2026 года. Компьютер в этот день не перестанет включаться и обычные обновления Windows получать продолжит. Но без нового сертификата Windows UEFI CA 2023 он перестанет получать исправления диспетчера загрузки Windows, в том числе защиту от буткитов вроде BlackLotus и от обходов BitLocker.

Microsoft ставит новые сертификаты сама, через Центр обновления, но поэтапно, и до части компьютеров они до сих пор не дошли. Ниже, как проверить свой ПК за минуту и как запустить обновление вручную. Все сроки и команды сверены по статьям поддержки Microsoft 15 октября 2026 года.

Какие сертификаты истекают и когда

Даты взяты из статьи Microsoft KB5062710 об истечении сертификатов безопасной загрузки.

Сертификат для прошивок видеокарт, RAID-контроллеров и других плат (option ROM) в 2023 году выделили в отдельный. В 2011 году всё стороннее подписывалось одним Microsoft UEFI CA 2011.

У самой Microsoft в корпоративном руководстве KB5053946 для KEK и UEFI CA написан июль 2026 года. Мы ориентируемся на KB5062710, где даты указаны по дням.

Что изменится 19 октября

Загрузка не сломается. Secure Boot сверяет подпись загрузчика с базами DB и DBX; срок действия сертификата при загрузке не проверяется, поэтому истёкший сертификат сам по себе ничего не блокирует. Так же было в июне: в октябрьских обновлениях 2026 года Microsoft пишет, что устройства без новых сертификатов продолжают запускаться и получать стандартные обновления Windows. Сообщений о массовых сбоях загрузки после 24 и 27 июня в журнале известных проблем Windows нет.

Что теряет компьютер без сертификатов 2023 года, Microsoft перечисляет в статье «Когда на устройствах с Windows истекает срок действия сертификатов безопасной загрузки» (KB5079373):

• новые версии диспетчера загрузки Windows и исправления ранней загрузки, такие как защита от обхода BitLocker или отключения Secure Boot;
• новые записи в базу отозванных подписей DBX, которыми Microsoft блокирует найденные буткиты;
• обновления части сторонних компонентов загрузки.

Одно противоречие. В том же корпоративном руководстве KB5053946 сказано жёстче: без нового сертификата устройство «больше не сможет получать обновления Windows». Пользовательские статьи и заметки к октябрьским обновлениям этого не подтверждают, но лишний повод поставить сертификат заранее.

Истечение и отзыв: почему старые флешки пока загружаются

Это два разных события. Истечение означает, что старым сертификатом больше не подписывают новые компоненты. Отзыв означает, что сертификат заносят в DBX, и прошивка перестаёт доверять всему, что им подписано, в том числе старым загрузочным флешкам и образам восстановления.

Отзыв PCA 2011 входит в план Microsoft по защите от BlackLotus (CVE-2023-24932), но этап принудительного применения в KB5025885 к середине октября 2026 года всё ещё помечен «Дата будет объявлена позже». Microsoft обещает предупредить минимум за шесть месяцев. Значит, 19 октября старые установочные флешки Windows грузиться не перестанут. Исключение: если отзыв PCA 2011 включали вручную по KB5025885, старые носители не загружаются уже сейчас, их нужно пересоздать.

С Linux та же логика. Блог Microsoft о сертификатах Linux пишет, что истечение UEFI CA 2011 ничего не останавливает, а планов отзывать его у Microsoft сейчас нет. Старые ISO с shim 2011 года загружаются по-прежнему. Риск у новых дистрибутивов, чей shim подписан только Microsoft UEFI CA 2023: на компьютере без этого сертификата такая флешка с включённым Secure Boot не стартует. В Linux проверить базу можно в терминале командой mokutil --db: если в выводе есть и Microsoft Corporation UEFI CA 2011, и Microsoft UEFI CA 2023, компьютер готов и к старым, и к новым загрузчикам.

Как проверить свой ПК

Самый простой способ появился в апреле 2026 года. Откройте «Безопасность Windows» → «Безопасность устройства» → «Безопасная загрузка». Если там зелёная галочка и текст «Безопасная загрузка включена, и применены все необходимые обновления сертификатов», всё готово. Жёлтый или красный значок означает, что нужно действие. Microsoft отдельно предупреждает: одной галочки мало, смотреть надо именно на этот текст.

Строка «Состояние безопасной загрузки» в msinfo32 показывает только, включён ли Secure Boot. Про сертификаты она ничего не говорит.

Точная проверка в PowerShell, запущенном от имени администратора. Есть ли новый сертификат в базе DB (ответ True значит есть):

Прошло ли обновление целиком, вместе с диспетчером загрузки (ответ должен быть Updated):

NotStarted значит обновление не начиналось, InProgress значит идёт. С обновлений 14 апреля 2026 года есть и читаемый вывод со сроками каждого сертификата: команда Get-SecureBootUEFI -Name db -Decoded покажет у PCA 2011 дату ValidTo 2026-10-19.

Третий признак в журнале событий. В «Просмотре событий» откройте «Журналы Windows» → «Система» и найдите события источника TPM-WMI. Событие 1808 означает, что устройство обновлено полностью: все нужные сертификаты записаны в прошивку, а диспетчер загрузки заменён на подписанный Windows UEFI CA 2023. Событие 1801 означает, что сертификаты получены, но к прошивке пока не применены.

Параметр AvailableUpdates в реестре сам по себе не показывает, стоят ли сертификаты: это задание на обновление, и значения 0x40 или 0 ничего не говорят о результате. Об успехе говорит только итоговое значение 0x4000 после ручного запуска (о нём ниже), а надёжнее всего смотреть UEFICA2023Status. Прежняя версия этой статьи трактовала его неверно.

Как поставить сертификаты, если они не пришли

Сертификаты 2023 года лежат в накопительных обновлениях с мая 2025 года, а автоматически применяются партиями. Первую партию Microsoft отправила с обновлением 13 января 2026 года, дальше расширяла круг устройств, и в октябрьских обновлениях 13 октября 2026 года (KB5127648 для Windows 11 24H2, 25H2 и 26H2, KB5126653 для 23H2, KB5126657 для Windows 10 с ESU) развёртывание продолжается. Компьютер получает сертификаты, когда у похожих устройств накопится достаточно успешных установок.

Сначала поставьте все обновления: «Параметры» (в свежих сборках «Настройки») → «Центр обновления Windows» → «Проверить наличие обновлений», затем перезагрузка. С недавними обновлениями, включая октябрьское, на небольшой части устройств во время установки бывает одна дополнительная перезагрузка: она происходит после применения сертификата Secure Boot.

Если UEFICA2023Status так и не стал Updated, обновление запускают вручную по инструкции Microsoft KB5068202. Перед этим сохраните ключ восстановления BitLocker, если диск зашифрован: после смены загрузчика Windows может его спросить. Ключ покажет команда в командной строке, запущенной от имени администратора (в PowerShell вместо %systemdrive% напишите $env:SystemDrive). В блоке «Числовой пароль» будет ключ из 48 цифр: запишите его или сохраните вне этого компьютера.

Затем в PowerShell от имени администратора по одной команде. Первая задаёт полный набор: все сертификаты 2023 года и новый диспетчер загрузки.

Вторая запускает задачу обновления, не дожидаясь её планового запуска раз в 12 часов:

Значение AvailableUpdates будет уменьшаться по мере применения: 0x5944, 0x5904, 0x5104, 0x4104, 0x4100. Когда оно станет 0x4100, перезагрузите компьютер и запустите задачу второй раз. Итоговое 0x4000 означает успех, проверьте UEFICA2023Status ещё раз.

Старое значение 0x40, которое советовала прежняя версия статьи, добавляет только один сертификат в DB и не трогает ни KEK, ни диспетчер загрузки. Microsoft теперь рекомендует 0x5944.

Если обновление не встаёт

У Microsoft есть статья KB5105943 для устройств со статусами «временно приостановлено» и «не поддерживается из-за ограничений оборудования или прошивки». Статус виден в тех же событиях TPM-WMI. События 1795, 1802 и 1803 означают проблему на стороне прошивки или производителя: 1795 говорит, что прошивка вернула ошибку при записи, 1802 что обновление заблокировано из-за известной ошибки прошивки, 1803 что для этой модели не найден ключ KEK, подписанный ключом платформы производителя. Во всех трёх случаях обращайтесь к производителю ноутбука или материнской платы: при 1795 и 1802 обычно нужна свежая прошивка UEFI, при 1803 производитель должен подготовить подписанный KEK.

Windows 10 без ESU. Сертификаты получают только поддерживаемые версии Windows. Поддержка Windows 10 закончилась 14 октября 2025 года, и без расширенных обновлений ESU сертификаты через Центр обновления не придут. Выход один: ESU или переход на Windows 11.

Виртуальные машины. Переменные Secure Boot обновляются у поставщика платформы или изнутри гостевой Windows, если виртуальная прошивка это позволяет. Для Hyper-V исправление ошибки 1795 («носитель защищен от записи») вышло в обновлениях 10 марта 2026 года, а для Windows Server 2025 14 апреля, и ставить его нужно и на хост, и в гостевую систему.

Сброс настроек UEFI. Если Windows уже загружается через диспетчер загрузки 2023 года, а настройки прошивки сбросили к заводским без Windows UEFI CA 2023, Secure Boot заблокирует загрузку. Сертификат возвращают с флешки восстановления. Включение и выключение Secure Boot в настройках прошивки тоже стирает обновлённые сертификаты на части компьютеров.

Свои установочные образы. В заметках к обновлениям 2026 года, в том числе к сентябрьским и октябрьским, Microsoft требует класть на носитель файл boot.stl, если в образ интегрированы динамические обновления. Файл копируют из папки Windows\Boot\EFI системы той же версии и разрядности, что и образ, или используют скрипт обновления WinPE. Без него флешка может не загрузиться с ошибкой 0xc0430001.

Отключать ли Secure Boot

Нет. Microsoft прямо пишет, что отключать Secure Boot, чтобы обойти истечение сертификатов, не следует: это снимает защиту от буткитов целиком. Временное отключение Microsoft допускает в одном случае: компьютер не загружается после установки новых сертификатов и восстановить загрузку иначе не получается. Windows 11 при этом продолжит работать, но в требованиях к установке системы указана прошивка UEFI с поддержкой безопасной загрузки.

Если старый компьютер на Windows 10 не получает сертификаты и обновлять его некуда, разумный путь переход на Windows 11, если железо подходит. Требования и проверка собраны в материале о совместимости компьютера с Windows 11, а где найти ключ BitLocker, если система его спросит, в статье о ключе восстановления BitLocker.

4.971085 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.971085 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

Microsoft Windows 11 Корпоративная LTSC 2024 — бессрочный ключ

2 670 ₽2 270 ₽

В корзину

4.971085 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.971085 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

Microsoft Windows 11 Корпоративная LTSC 2024 — бессрочный ключ

2 670 ₽2 270 ₽

В корзину

Дистрибутивы: Microsoft Windows 11 Professional, Microsoft Windows 11 Домашняя (Home), Microsoft Windows 11 Корпоративная LTSC 2024.

Часто задаваемые вопросы

Что будет 19 октября 2026 года с Secure Boot?

Истечёт сертификат Microsoft Windows Production PCA 2011, которым подписан загрузчик Windows. Компьютер продолжит загружаться и получать обычные обновления, но без Windows UEFI CA 2023 перестанет получать исправления диспетчера загрузки.

Какие сертификаты Secure Boot уже истекли?

Microsoft Corporation KEK CA 2011 истёк 24 июня 2026 года, Microsoft UEFI CA 2011 27 июня 2026 года. Microsoft Windows Production PCA 2011 истекает 19 октября 2026 года.

Как проверить, что новые сертификаты установлены?

В «Безопасность Windows» → «Безопасность устройства» → «Безопасная загрузка» должен быть текст о применённых обновлениях сертификатов. Точнее в PowerShell: параметр UEFICA2023Status в разделе SecureBoot\Servicing должен быть Updated.

Перестанут ли загружаться старые флешки с Windows и Linux?

Нет, пока Microsoft не отзовёт сертификаты через DBX. Дата принудительного отзыва PCA 2011 к 15.10.2026 не назначена, Microsoft обещает предупредить минимум за шесть месяцев.

Придут ли сертификаты на Windows 10?

Только с ESU. Поддержка Windows 10 закончилась 14 октября 2025 года, и сертификаты Microsoft рассылает лишь на поддерживаемые версии Windows.

Какое значение AvailableUpdates ставить вручную?

0x5944: оно устанавливает все сертификаты 2023 года и новый диспетчер загрузки. Затем запустите задачу Secure-Boot-Update, перезагрузите компьютер на значении 0x4100 и запустите её снова. Успех означает 0x4000.