Patch Tuesday de 9 de junho chegando com o prazo final do Secure Boot se aproximando

Faltam poucos dias para o Patch Tuesday de 9 de junho da Microsoft, e ele tem mais peso do que qualquer atualização mensal de rotina. É a última janela de implementação estruturada antes que os certificados de inicialização segura da era 2011 comecem a expirar em 24 de junho, deixando qualquer dispositivo não corrigido em um estado de segurança de inicialização degradado a partir dessa data.

A janela de expiração do certificado vai de 24 a 27 de junho. O Microsoft Corporation KEK CA 2011 expira em 24 de junho, o Microsoft UEFI CA 2011 expira em 27 de junho e o Microsoft Windows Production PCA 2011 segue em outubro. Os dispositivos que não receberem os certificados de substituição 2023 antes de 24 de junho não deixarão de funcionar, mas perderão a capacidade de receber futuras proteções de segurança no nível de inicialização, incluindo atualizações do Windows Boot Manager, listas de revogação do Secure Boot e correções para vulnerabilidades recém-descobertas da cadeia de inicialização.

Por que o dia 9 de junho não é uma atualização de rotina

A Microsoft vem implementando os certificados de substituição 2023 desde fevereiro de 2026 por meio de atualizações cumulativas, com a Patch Tuesday de 12 de maio avançou ainda mais essa implementação. As organizações que atrasaram a implementação de maio agora estão enfrentando uma janela reduzida. O intervalo entre 9 de junho e a data de expiração de 24 de junho é de 15 dias. Para as equipes corporativas que gerenciam grandes frotas de dispositivos, esse não é um prazo confortável.

Os analistas de segurança sinalizaram claramente a pressão. A decisão de adiar a implementação de maio para junho reduziu a janela disponível em mais de 60%. Qualquer organização que presuma que o dia 9 de junho restabeleça um cronograma normal de implementação está errada. O dia 9 de junho é uma triagem de emergência para as equipes que perderam maio.

O que fazer antes e imediatamente após o dia 9 de junho

Antes de 9 de junho, os administradores de TI devem executar o seguinte comando do PowerShell https://support.microsoft.com/en-us/topic/registry-key-updates-for-secure-boot-windows-devices-with-it-managed-updates-a7be69c9-4634-42e1-9ca1-df06f43f360d com privilégios de administrador para verificar o status do certificado em qualquer dispositivo em questão: Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootServicing" -Name UEFICA2023Status

O resultado esperado para uma migração orientada pelo sistema operacional é "Completed" É importante ressaltar que o status "NotStarted" não é uma falha automática; ele geralmente indica que o dispositivo já está seguro porque o OEM injetou os certificados 2023 nativamente por meio de uma atualização recente do BIOS. Os verdadeiros sinais de alerta a serem procurados são o status "Failed" (Falha) ou os códigos hexadecimais preenchidos na chave UEFICA2023Error adjacente. Qualquer coisa que atinja esses estados de falha após a implementação de 9 de junho exige correção manual imediata.

Os dispositivos que executam o Windows Server 2025 com determinadas configurações de política de grupo do BitLocker exigem cuidado extra. O bug de recuperação da inicialização para o BitLocker teve origem no ciclo de atualização de abril de 2026. A atualização de maio o resolveu para o Windows 11, mas a correção para o Windows Server 2025 continua pendente, e o comportamento é volátil em algumas configurações. Os ambientes do Server 2025 devem concluir uma implementação de teste antes de lançar as atualizações de 9 de junho em toda a frota.

Espera-se que a atualização de 9 de junho também resolva as vulnerabilidades descobertas desde a versão de 12 de maio, incluindo qualquer uma que tenha entrado em exploração ativa nas semanas entre os ciclos. A Falha no Netlogon CVE-2026-41089sinalizada como ativamente explorada pelo Centre for Cybersecurity Belgium em 29 de maio, já foi corrigida por meio da atualização de maio. Todos os dispositivos que não aplicaram essa correção devem tratar o dia 9 de junho como uma implementação de dupla prioridade.

O prazo de outubro é o próximo

Conclusão da transição do certificado Transição do certificado Secure Boot antes de 24 de junho fecha a janela mais urgente, mas não é o fim do processo. O certificado Microsoft Windows Production PCA 2011, que assina o próprio gerenciador de inicialização do Windows, expira em outubro de 2026. Esse é o mais estruturalmente significativo dos três vencimentos e o que acarreta o maior risco de integridade de inicialização a longo prazo para os dispositivos que o perderem.

O Patch Tuesday de 9 de junho está programado para ser lançado às 10:00 AM PST.