A Microsoft estabelece o prazo de 2026 para a expiração do certificado Secure Boot

A Microsoft está alertando os usuários do Windows e os administradores de TI do https://www.notebookcheck.net/Microsoft-update-fallout-continues-as-shutdown-bug-expands-to-Windows-10-VSM-systems.1220545.0.html que os certificados originais do Secure Boot emitidos em 2011 começam a expirar em junho de 2026, com expirações adicionais que se estendem até outubro de 2026. A empresa afirma que já começou a atualizar os sistemas afetados com um novo conjunto de certificados 2023, fornecidos por meio de atualizações regulares do Windows https://www.notebookcheck.net/Microsoft-admits-Windows-11-issues-pivots-team-to-rebuild-user-trust.1220676.0.html para muitos dispositivos.

O aviso aparece nas notas de versão do Patch Tuesday de 13 de janeiro de 2026 da Microsoft para o Windows 11 (KB5074109), em "Expiração do certificado Windows Secure Boot", onde a Microsoft menciona a data de início de junho de 2026 e indica aos usuários as orientações de preparação.

Em 10 de fevereiro de 2026, a Microsoft também publicou o KB5079373 ("Quando os certificados de inicialização segura expiram em dispositivos Windows"), resumindo o que significa a expiração e reiterando que a maioria dos dispositivos deve ser atualizada automaticamente, enquanto alguns podem exigir atualizações de firmware do OEM.

O que muda quando os certificados de 2011 começam a expirar

A Microsoft afirma que os dispositivos que atingirem a data de expiração ainda deverão inicializar normalmente e continuar recebendo as atualizações padrão do Windows. A principal diferença é que os sistemas que não tiverem os certificados mais recentes não poderão mais receber novas proteções para o processo de inicialização antecipada do https://www.notebookcheck.net/Microsoft-admits-Windows-11-issues-pivots-team-to-rebuild-user-trust.1220676.0.htmlincluindo atualizações vinculadas ao Gerenciador de Inicialização do Windows, bancos de dados de Inicialização Segura, listas de revogação e correções para vulnerabilidades recém-descobertas da cadeia de inicialização.

Em seu explicativo mais amplo sobre o certificado Secure Boot (KB5062710), a Microsoft adverte de forma semelhante que, embora o uso diário possa parecer inalterado, as máquinas afetadas tornam-se progressivamente menos protegidas com o tempo, à medida que surgem novas ameaças no nível de inicialização.

Quais certificados estão expirando e o que os substitui

Na orientação de TI da Microsoft https://support.microsoft.com/en-us/topic/secure-boot-certificate-updates-guidance-for-it-professionals-and-organizations-e2b43f9f-b424-42df-bc6a-8476db65ab2fa empresa lista três certificados de inicialização segura fornecidos pela Microsoft que estão em uso desde a era do Windows 8 / Windows Server 2012 e diz que eles começam a expirar a partir de junho de 2026 e expirariam em outubro de 2026.

A Microsoft está movendo dispositivos para autoridades de certificação 2023, incluindo novas entradas usadas para assinar atualizações do banco de dados de inicialização segura e componentes de inicialização do Windows, e observa que alguns ambientes podem exigir a adição de certificados 2023 separados, dependendo do que um dispositivo precisa confiar (por exemplo, confiança relacionada à ROM de opção).

O que os usuários e as organizações devem fazer agora

Para a maioria dos PCs de consumidores, a Microsoft diz que os certificados de substituição devem chegar por meio de atualizações gerenciadas pela Microsoft, mas adverte que alguns sistemas podem exigir uma atualização de firmware OEM para que os novos certificados sejam aplicados corretamente. A Microsoft também desaconselha a desativação do Secure Boot como solução alternativa.

Para frotas gerenciadas, a orientação e o manual da Microsoft descrevem maneiras de inventariar, monitorar e implantar as alterações (incluindo Intune, Política de Grupo e métodos baseados em registro) antes do prazo final de junho de 2026.

Relatórios de terceiros sobre a implementação observa que a Microsoft está tratando isso como uma "atualização geracional" da cadeia de confiança de inicialização, com atualizações agora sendo fornecidas por meio de serviços regulares do Windows para dispositivos com suporte.