Certyfikaty Secure Boot 2026: czy Twój komputer potrzebuje aktualizacji
W 2026 roku wygasły certyfikaty Microsoft z 2011 roku, na których opierał się bezpieczny rozruch większości komputerów z Windows. Brzmi groźnie, ale komputer od tego nie przestanie się uruchamiać. Zmienia się to, jakie poprawki będzie mógł dostać w przyszłości.
Autor: Szymon Łakomy. Aktualizacja:
Trzy certyfikaty i ich rola
| Certyfikat | Wygasł | Do czego służył |
|---|---|---|
| Microsoft KEK CA 2011 | 24 czerwca 2026 | zatwierdzał zmiany list dozwolonych i zablokowanych elementów rozruchu |
| Microsoft UEFI CA 2011 | 27 czerwca 2026 | podpisywał elementy rozruchu innych firm, w tym programy startowe Linuksa i oprogramowanie kart rozszerzeń |
| Windows Production PCA 2011 | październik 2026 | podpisywał menedżer rozruchu Windows |
Następcy to certyfikaty z rodziny 2023, na przykład Windows UEFI CA 2023. Muszą zostać wpisane do baz w oprogramowaniu płyty głównej.
Co się zmienia w praktyce, a co nie
Bez zmian
Windows startuje jak dotąd, programy działają, a comiesięczne aktualizacje systemu przychodzą normalnie.
Zmiana
Bez certyfikatów 2023 komputer nie przyjmie nowych wersji menedżera rozruchu ani nowych blokad przeciwko złośliwemu oprogramowaniu, które uruchamia się przed systemem.
Linux obok Windows
Przy dwóch systemach na jednym dysku starszy program startowy Linuksa może wymagać aktualizacji. Sprawdzam to w dokumentacji konkretnej dystrybucji.
Windows 10 bez ESU
Nie dostaje już aktualizacji systemu, więc nowe certyfikaty nie przyjdą tą drogą. Program dla domu opisuję na stronie Windows 10 ESU.
Sprawdzenie w dwie minuty
- Naciśnij Win+R, wpisz msinfo32 i znajdź pozycję „Stan bezpiecznego rozruchu”. Jeśli jest wyłączony, certyfikaty na razie nie grają roli, ale sam wyłączony Secure Boot warto omówić przy przeglądzie komputera.
- Uruchom PowerShell jako administrator i wpisz: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
- Wynik True oznacza, że nowy certyfikat jest już w bazie. Wynik False nie oznacza awarii, tylko to, że aktualizacja jeszcze nie dotarła.
To polecenie podają poradniki dotyczące tej zmiany. Wynik zależy od oprogramowania płyty głównej, więc przy wątpliwościach sprawdzam komputer na miejscu. Wersję systemu przy okazji odczytasz według poradnika jak sprawdzić wersję Windows.
Windows Update i aktualizacja BIOS od producenta
Na Windows 11 wymiana certyfikatów zwykle odbywa się sama, przez Windows Update. Część komputerów potrzebuje jednak aktualizacji BIOS lub UEFI od producenta. Dell, HP, Lenovo i ASUS udostępniają ją na stronach wsparcia i w swoich narzędziach do aktualizacji instalowanych fabrycznie. Przed taką aktualizacją zapisz klucz odzyskiwania BitLocker, bo po zmianie w BIOS komputer może o niego poprosić.
Gdy aktualizację BIOS robisz sam, trzymaj się kilku zasad:
- Pobierz plik wyłącznie ze strony producenta i dokładnie dla swojego modelu.
- Podłącz laptop do zasilacza i nie przerywaj aktualizacji, nawet gdy ekran na chwilę gaśnie albo wentylator głośno pracuje.
- Wstrzymaj ochronę BitLocker na czas aktualizacji, a po restarcie sprawdź, czy wróciła.
- Po wszystkim ponownie uruchom sprawdzenie w PowerShell i zobacz, czy wynik zmienił się na True.
Starsze komputery mogą nie dostać już nowego BIOS. Działają dalej, ale ich ochrona rozruchu zatrzymuje się na stanie z 2026 roku. To kolejny argument przy decyzji o wymianie, obok wyniku testu zgodności z Windows 11.
Lista dla małego biura
- spisz komputery i na każdym sprawdź stan Secure Boot oraz obecność certyfikatu 2023,
- zainstaluj zaległe aktualizacje Windows i BIOS, zaczynając od laptopów, które wychodzą poza biuro,
- serwery z Windows Server i maszyny wirtualne drugiej generacji zaktualizuj ręcznie, bo tam zmiana nie dzieje się sama,
- zapisz klucze BitLocker przed aktualizacjami BIOS,
- komputery bez nowego BIOS oznacz do wymiany w planie na kolejny rok.
W firmie robię to w ramach audytu IT w małej firmie albo stałej obsługi informatycznej w Katowicach. Domowy komputer sprawdzę na miejscu w Katowicach, Tychach czy Mikołowie, za dojazd od 30 do 50 zł. Ogólny stan zabezpieczeń ocenisz sam w teście bezpieczeństwa komputera.
Najczęstsze pytania
Czy komputer przestanie się uruchamiać po wygaśnięciu certyfikatów?
Nie. Wygaśnięcie nie blokuje rozruchu, a Windows dalej startuje i się aktualizuje. Traci tylko możliwość przyjęcia przyszłych poprawek dotyczących samego rozruchu.
Czy wyłączenie Secure Boot rozwiązuje sprawę?
Nie polecam tego. Wyłączenie usuwa ochronę przed złośliwym oprogramowaniem uruchamianym przed systemem, a Windows 11 wymaga komputera, który ten mechanizm obsługuje. Lepiej doprowadzić do instalacji nowych certyfikatów.
Skąd mam wiedzieć, czy producent wydał nowy BIOS?
Wejdź na stronę wsparcia producenta, wpisz model lub numer seryjny i przeczytaj opis najnowszej wersji BIOS. Przy tej zmianie producenci zwykle wspominają o Secure Boot w opisie poprawek.
Czy muszę coś klikać w Windows Update?
Zwykle nie. Na Windows 11 wystarczy instalować aktualizacje i restartować komputer, gdy o to prosi. Jeśli po kilku tygodniach sprawdzenie dalej daje wynik False, poszukaj nowego BIOS u producenta.
Powiązane strony
Sprawdzenie dało wynik False?
Napisz model komputera i wersję Windows. Sprawdzę, czy producent wydał nowy BIOS i czy aktualizację lepiej zrobić na miejscu.