Windows Secure Boot 2026: wygaśnięcie certyfikatów

Wprowadzenie: dlaczego to ma znaczenie

Secure Boot to jedno z najważniejszych zabezpieczeń Windows na etapie rozruchu — zapewnia, że przed załadowaniem systemu operacyjnego uruchamiane są wyłącznie zaufane, cyfrowo podpisane komponenty. Zaufanie to jest zakotwiczone w certyfikatach przechowywanych w firmware UEFI — a Microsoft potwierdził, że oryginalne certyfikaty Secure Boot wprowadzone w 2011 r. zbliżają się do końca cyklu życia i zaczną wygasać pod koniec czerwca 2026 r. Dla zespołów IT jest to ograniczone w czasie, obejmujące cały ekosystem zdarzenie utrzymaniowe związane z bezpieczeństwem: jeśli urządzenia pominą odświeżenie certyfikatów, najpewniej nadal będą się uruchamiać, ale utracą możliwość korzystania z przyszłych zabezpieczeń na poziomie rozruchu.

Co nowego

Odświeżenie „root of trust” Secure Boot

• Długoterminowe certyfikaty Secure Boot zaczną wygasać od końca czerwca 2026 r.
• Nowe certyfikaty są wdrażane na obsługiwane urządzenia z Windows w ramach standardowego, comiesięcznego cyklu Windows Update.
• To skoordynowany wysiłek obejmujący obsługę serwisową Windows, firmware OEM oraz dostawców UEFI — w celu minimalizacji ryzyka i zakłóceń.

Szeroka gotowość OEM (zwłaszcza nowsze urządzenia)

• Wiele komputerów zbudowanych od 2024 r. — i niemal wszystkie urządzenia wysyłane w 2025 r. — już zawiera zaktualizowane certyfikaty.
• W przypadku mniejszej części urządzeń już znajdujących się na rynku zastosowanie nowych certyfikatów może wymagać wcześniejszej aktualizacji firmware od OEM.

Lepsza widoczność i wdrożenie etapowe

• Microsoft wdraża zmianę ostrożnie, etapami, w oparciu o testy i gotowość wyznaczaną na podstawie telemetrii.
• W nadchodzących miesiącach w aplikacji Windows Security mają pojawić się komunikaty o stanie aktualizacji certyfikatów, aby pomóc użytkownikom śledzić postępy.

Wpływ na administratorów IT i użytkowników końcowych

Jeśli urządzenia nie otrzymają nowych certyfikatów na czas

• Urządzenia prawdopodobnie nadal będą działać, a dotychczasowe oprogramowanie będzie się uruchamiać.
• Jednak wejdą w zdegradowany stan bezpieczeństwa i mogą nie być w stanie otrzymywać przyszłych mechanizmów łagodzenia na poziomie rozruchu (np. gdy zostaną wykryte nowe podatności rozruchowe).
• Z czasem rośnie ryzyko problemów ze zgodnością: nowszy OS/firmware/sprzęt lub oprogramowanie zależne od Secure Boot może nie załadować się poprawnie.

Nieobsługiwane wersje Windows to kluczowe ryzyko

• Urządzenia na nieobsługiwanych wersjach (w szczególności Windows 10 po zakończeniu wsparcia 14 października 2025 r., o ile nie są objęte ESU) nie otrzymają aktualizacji przez Windows Update.
• Te endpointy należy traktować jako pozycje priorytetowe w planie remediacji (uaktualnić/wymienić albo zapewnić kwalifikację do ESU i strategię aktualizacji).

Zalecane działania / kolejne kroki

1. Inwentaryzacja i określenie zakresu
   • Zidentyfikuj wszystkie endpointy Windows i Windows Server w zakresie, w tym kioski, wyspecjalizowane serwery oraz urządzenia IoT/edge, które mogą mieć nietypowy model serwisowania.
2. Weryfikacja ścieżki serwisowania
   • Potwierdź, że urządzenia otrzymują najnowsze comiesięczne zbiorcze aktualizacje (zarządzane przez Microsoft tam, gdzie ma to zastosowanie).
   • Upewnij się, że wymagania diagnostyczne/telemetryczne wykorzystywane do walidacji gotowości są zgodne z politykami organizacji.
3. Kontrola gotowości firmware
   • Proaktywnie przejrzyj komunikaty i strony wsparcia OEM (Dell/HP/Lenovo i inni) oraz zaplanuj wymagane aktualizacje UEFI/firmware.
   • Przetestuj aktualizacje firmware na reprezentatywnych modelach sprzętu przed szerokim wdrożeniem.
4. Plan wyjątków
   • Dla urządzeń, których nie da się z wysoką pewnością zwalidować w ramach etapowego podejścia Microsoft, skorzystaj z wytycznych w playbooku dla administratorów IT Microsoft oraz z używanych narzędzi (Intune, Configuration Manager lub narzędzia firm trzecich) do wdrożenia i monitorowania.
5. Przygotowanie runbooków wsparcia
   • Kroki pierwszej linii: zastosuj najnowsze aktualizacje Windows, zweryfikuj najnowszy firmware OEM, a następnie eskaluj przez kanały wsparcia Microsoft/OEM, jeśli problemy będą się utrzymywać.