Windows Secure Boot 2026: actualización clave para TI

Introducción: por qué esto importa

Secure Boot es una de las protecciones más importantes de Windows en el arranque, ya que garantiza que solo se ejecuten componentes confiables y firmados digitalmente antes de que se cargue el SO. Esa confianza se sustenta en certificados almacenados en el firmware UEFI, y Microsoft ha confirmado que los certificados originales de Secure Boot introducidos en 2011 están llegando al fin de su ciclo de vida y comienzan a vencer a finales de junio de 2026. Para los equipos de TI, se trata de un evento de mantenimiento de seguridad con plazo fijo y de alcance en todo el ecosistema: si los dispositivos no reciben la actualización de certificados, pueden seguir arrancando, pero perderán la capacidad de adoptar futuras protecciones a nivel de arranque.

Qué hay de nuevo

Se está actualizando la “raíz de confianza” de Secure Boot

• Los certificados de Secure Boot de larga duración vencen a partir de finales de junio de 2026.
• Se están implementando nuevos certificados en los dispositivos Windows con soporte mediante la cadencia mensual normal de Windows update.
• Este es un esfuerzo coordinado entre el servicio de Windows, el firmware del OEM y los proveedores de UEFI para minimizar riesgos e interrupciones.

Amplia preparación de los OEM (especialmente en dispositivos más nuevos)

• Muchas PC fabricadas desde 2024 —y casi todos los dispositivos enviados en 2025— ya incluyen los certificados actualizados.
• Para un subconjunto más pequeño de dispositivos en el mercado, aplicar los nuevos certificados puede requerir primero una actualización de firmware del OEM.

Mejor visibilidad e implementación por fases

• Microsoft está implementando el cambio con un enfoque cuidadoso y por etapas, basado en pruebas y en la preparación respaldada por telemetría.
• En los próximos meses se esperan mensajes de estado sobre las actualizaciones de certificados en la app Windows Security para ayudar a los usuarios a seguir el progreso.

Impacto para administradores de TI y usuarios finales

Si los dispositivos no obtienen los nuevos certificados a tiempo

• Es probable que los dispositivos sigan funcionando y que el software existente continúe ejecutándose.
• Sin embargo, entran en un estado de seguridad degradado y pueden no poder recibir futuras mitigaciones a nivel de arranque (por ejemplo, cuando se descubren nuevas vulnerabilidades de arranque).
• Con el tiempo, aumentan los riesgos de compatibilidad: es posible que no se carguen versiones más nuevas de SO/firmware/hardware o software dependiente de Secure Boot.

Las versiones de Windows sin soporte son un riesgo clave

• Los dispositivos con versiones sin soporte (en particular Windows 10 después de que finalice el soporte el 14 de octubre de 2025, a menos que estén inscritos en ESU) no recibirán las actualizaciones a través de Windows Update.
• Esos endpoints deben tratarse como elementos de corrección prioritarios (actualizar/reemplazar o garantizar la elegibilidad para ESU y la estrategia de actualización).

Acciones recomendadas / próximos pasos

1. Inventario y alcance
   • Identifique todos los endpoints de Windows y Windows Server dentro del alcance, incluidos quioscos, servidores especializados y dispositivos IoT/edge que pueden tener un servicio atípico.
2. Validar la ruta de servicio
   • Confirme que los dispositivos estén recibiendo las últimas actualizaciones acumulativas mensuales (administradas por Microsoft cuando corresponda).
   • Asegúrese de que los requisitos de diagnóstico/telemetría utilizados para la validación de preparación se alineen con las políticas de su organización.
3. Comprobación de preparación del firmware
   • Revise de forma proactiva los avisos y páginas de soporte de los OEM (Dell/HP/Lenovo y otros) y programe las actualizaciones de UEFI/firmware necesarias.
   • Realice un piloto de actualizaciones de firmware en modelos de hardware representativos antes de una implementación amplia.
4. Planificar excepciones
   • Para dispositivos que no se validen con confianza mediante el enfoque por etapas de Microsoft, utilice la guía del playbook para administradores de TI de Microsoft y sus herramientas existentes (Intune, Configuration Manager o de terceros) para implementar y supervisar.
5. Preparar runbooks de soporte
   • Pasos de primera línea: aplicar las últimas actualizaciones de Windows, verificar el firmware más reciente del OEM y luego escalar a los canales de soporte de Microsoft/OEM si los problemas persisten.