Windows Secure Boot-certifikater udløber i 2026

Introduktion: hvorfor det er vigtigt

Secure Boot er en af Windows’ vigtigste beskyttelser ved opstart og sikrer, at kun betroede, digitalt signerede komponenter kan køre, før OS’et indlæses. Den tillid er forankret i certifikater, der er gemt i UEFI-firmware—og Microsoft har bekræftet, at de oprindelige Secure Boot-certifikater, der blev introduceret i 2011, nærmer sig slutningen af deres livscyklus og begynder at udløbe i slutningen af juni 2026. For IT-teams er dette en tidsafgrænset, økosystem-dækkende sikkerhedsvedligeholdelseshændelse: hvis enheder misser certifikatfornyelsen, kan de fortsat boote, men de mister muligheden for at modtage fremtidige beskyttelser på boot-niveau.

Hvad er nyt

Secure Boot “root of trust” bliver opdateret

• De langtidsholdbare Secure Boot-certifikater udløber fra slutningen af juni 2026.
• Nye certifikater udrulles til Windows-enheder, der fortsat er i support, via den normale månedlige Windows update-cadence.
• Dette er en koordineret indsats på tværs af Windows servicing, OEM-firmware og UEFI-udbydere for at minimere risiko og forstyrrelser.

Bred OEM-parathed (især nyere enheder)

• Mange pc’er bygget siden 2024—og næsten alle enheder sendt i 2025—inkluderer allerede de opdaterede certifikater.
• For en mindre del af enheder på markedet kan anvendelse af de nye certifikater kræve en OEM-firmwareopdatering først.

Bedre synlighed og gradvis udrulning

• Microsoft udruller ændringen med en omhyggelig, trinvist planlagt tilgang baseret på test og telemetry-baseret parathed.
• Statusmeddelelser om certifikatopdateringer forventes i Windows Security-appen i de kommende måneder for at hjælpe brugere med at følge fremskridtet.

Konsekvenser for IT-administratorer og slutbrugere

Hvis enheder ikke får de nye certifikater i tide

• Enheder vil sandsynligvis fortsat fungere, og eksisterende software vil stadig kunne køre.
• De går dog ind i en forringet sikkerhedstilstand og kan være ude af stand til at modtage fremtidige afværgeforanstaltninger på boot-niveau (f.eks. når der opdages nye boot-sårbarheder).
• Over tid øges kompatibilitetsrisici: nyere OS/firmware/hardware eller software, der er afhængig af Secure Boot, kan fejle ved indlæsning.

Windows-versioner uden support er en central risiko

• Enheder på versioner uden support (især Windows 10 efter support ophørte den 14. oktober 2025, medmindre de er tilmeldt ESU) vil ikke modtage opdateringerne via Windows Update.
• Disse endpoints bør behandles som prioriterede afhjælpningspunkter (opgrader/udskift, eller sikr ESU-berettigelse og opdateringsstrategi).

Anbefalede handlinger / næste skridt

1. Inventar og afgrænsning
   • Identificér alle Windows- og Windows Server-endpoints i scope, herunder kiosker, specialiserede servere samt IoT/edge-enheder, der kan have atypisk servicing.
2. Valider opdateringsvejen (servicing path)
   • Bekræft, at enheder modtager de nyeste månedlige cumulative updates (Microsoft-managed, hvor det er relevant).
   • Sikr, at diagnostic/telemetry-kravene, der bruges til parathed-validering, er i overensstemmelse med organisationens politikker.
3. Tjek af firmware-parathed
   • Gennemgå proaktivt OEM-advisories og supportsider (Dell/HP/Lenovo og andre) og planlæg nødvendige UEFI/firmwareopdateringer.
   • Pilotér firmwareopdateringer på repræsentative hardwaremodeller før bred udrulning.
4. Plan for undtagelser
   • For enheder, der ikke kan valideres med høj sikkerhed via Microsofts staged approach, brug Microsoft IT administrator playbook-vejledning og jeres eksisterende værktøjer (Intune, Configuration Manager eller tredjepart) til at udrulle og overvåge.
5. Forbered support-runbooks
   • Første trin for 1st line: anvend de nyeste Windows-opdateringer, verificér nyeste OEM-firmware, og eskalér derefter via Microsoft/OEM-supportkanaler, hvis problemerne fortsætter.