Истечение сертификатов Windows Secure Boot в 2026

Введение: почему это важно

Secure Boot — одна из ключевых защит Windows на этапе загрузки: она гарантирует, что до запуска ОС выполняются только доверенные, цифрово подписанные компоненты. Это доверие закреплено сертификатами, хранящимися в прошивке UEFI — и Microsoft подтвердила, что исходные сертификаты Secure Boot, внедрённые в 2011 году, подходят к концу жизненного цикла и начинают истекать в конце июня 2026 года. Для ИТ-команд это привязанное ко времени, масштабное событие по обслуживанию безопасности во всей экосистеме: если устройства пропустят обновление сертификатов, они, вероятно, продолжат загружаться, но утратят возможность получать будущие меры защиты на уровне загрузки.

Что нового

Обновляется Secure Boot “root of trust”

• Долгоживущие сертификаты Secure Boot начинают истекать с конца июня 2026 года.
• Новые сертификаты разворачиваются на поддерживаемые устройства Windows через стандартный ежемесячный цикл обновлений Windows.
• Это скоординированная работа между обслуживанием Windows, прошивками OEM и поставщиками UEFI, чтобы снизить риски и минимизировать сбои.

Широкая готовность OEM (особенно на новых устройствах)

• Многие ПК, выпущенные начиная с 2024 года, и почти все устройства, поставленные в 2025 году, уже включают обновлённые сертификаты.
• Для меньшей части устройств, уже находящихся в эксплуатации, применение новых сертификатов может сначала потребовать обновления прошивки OEM.

Улучшенная видимость и поэтапное развёртывание

• Microsoft внедряет изменение осторожно и поэтапно, опираясь на тестирование и готовность, оцениваемую по телеметрии.
• В ближайшие месяцы ожидаются сообщения о статусе обновления сертификатов в приложении Windows Security, чтобы пользователи могли отслеживать прогресс.

Влияние на ИТ-администраторов и конечных пользователей

Если устройства не получат новые сертификаты вовремя

• Устройства, вероятно, продолжат работать, и существующее ПО будет запускаться.
• Однако они перейдут в деградированное состояние безопасности и могут лишиться возможности получать будущие смягчающие меры на уровне загрузки (например, когда обнаруживаются новые уязвимости загрузчика).
• Со временем растут риски совместимости: более новые ОС/прошивка/оборудование или ПО, зависящее от Secure Boot, может не загружаться.

Неподдерживаемые версии Windows — ключевой риск

• Устройства на неподдерживаемых версиях (в частности, Windows 10 после завершения поддержки 14 октября 2025 года, если не подключён ESU) не получат обновления через Windows Update.
• Такие конечные точки следует считать приоритетными для устранения риска (обновить/заменить либо обеспечить соответствие ESU и стратегию обновления).

Рекомендуемые действия / следующие шаги

1. Инвентаризация и определение охвата
   • Определите все конечные точки Windows и Windows Server в охвате, включая киоски, специализированные серверы и IoT/edge-устройства с нетипичным обслуживанием.
2. Проверка пути обновления
   • Подтвердите, что устройства получают последние ежемесячные накопительные обновления (в том числе в сценариях, где это управляется Microsoft).
   • Убедитесь, что требования к диагностике/телеметрии, используемые для проверки готовности, соответствуют политикам вашей организации.
3. Проверка готовности прошивки
   • Заранее изучите бюллетени и страницы поддержки OEM (Dell/HP/Lenovo и др.) и запланируйте необходимые обновления UEFI/firmware.
   • Выполните пилотное развертывание обновлений прошивки на репрезентативных моделях оборудования перед массовым внедрением.
4. Планирование исключений
   • Для устройств, готовность которых невозможно уверенно подтвердить в рамках поэтапного подхода Microsoft, используйте рекомендации из playbook для ИТ-администраторов Microsoft и ваши текущие инструменты (Intune, Configuration Manager или сторонние) для развёртывания и мониторинга.
5. Подготовка runbook для поддержки
   • Шаги первой линии: установить последние обновления Windows, проверить актуальность прошивки OEM, затем при сохранении проблем эскалировать через каналы поддержки Microsoft/OEM.