微软全球升级安全启动! Win10/Win11 15年期Secure Boot旧证书6月过期

微软昨日（2 月 10 日）发布公告，正式启动大规模轮换 windows 安全启动（secure boot）证书轮换计划，已开始通过月度安全更新，接替 2011 版旧证书（将于 2026 年 6 月下旬失效）。

注：安全启动是电脑开机时的“安检员”。它在 windows 系统启动前运行，检查所有要运行的程序（如操作系统加载器）是否有合法的“身份证”（数字签名）。如果没有或证件过期，就不让运行，从而防止病毒在系统启动前就潜入电脑。

这批原始证书于 2011 年开始服役，按计划将于 2026 年 6 月下旬结束其 15 年的生命周期。微软为确保全球 pc 生态的安全根基不崩塌，已联手戴尔、惠普、联想等 oem 厂商，开启了这项涉及固件、操作系统和硬件的大规模迁移工程。

在更新方式上，微软为了降低对用户的干扰，已将新证书集成至标准的 windows 月度更新中。对于开启了自动更新的 windows 11 及受支持系统的用户，无需任何额外操作，系统会自动完成新旧证书的交替。

戴尔、惠普等厂商也表示，2024 年后出厂的大部分新设备已预置新版证书，2025 年出货的设备则已完全就绪。

若设备在 2026 年证书过期前未完成更新，虽然仍能正常开机和运行现有软件，但会进入“安全降级”状态。这意味着设备将失去对引导加载程序（bootloader）的严格验证能力，极易被 rootkit 等底层恶意软件攻破。

此次更新仅覆盖处于官方支持周期内的 windows 版本，意味着运行 windows 10（非 esu 版本）及更早系统的设备将无法接收新证书。微软明确建议，仍在使用旧版系统的用户应尽快升级硬件或操作系统，以避免因根信任缺失而沦为网络攻击的“裸奔”目标。