🔐 Сертификат Secure Boot истёк 19 октября. Компьютеры не сломались — и в этом главная ловушка
Коллеги, пятница. Самая опасная поломка — та, которой не видно. Компьютер загружается, пользователь доволен, а защита загрузки тихо перестала получать обновления.
📌 ФАКТЫ
19 октября 2026 года истёк сертификат Microsoft Windows Production PCA 2011 — именно им более 15 лет подписывался доверенный загрузчик Windows. Официальная замена — Windows UEFI CA 2023
Необновлённый ПК загружается и работает как обычно, регулярные накопительные апдейты продолжают ставиться
Однако устройство больше не применит обновления Boot Manager, не обновит базы Secure Boot (db/dbx), списки отзыва уязвимых загрузчиков (BlackLotus и др.) и патчи цепочки ранней инициализации
Microsoft предупреждает: не отключайте Secure Boot, пытаясь обойти ошибки накатки
Для Windows 10 доставка обновлённых сертификатов предусмотрена только в рамках платной программы ESU
🛠 ПРОВЕРКА (PowerShell от имени администратора)
PowerShell
Глазами в GUI: Параметры → Безопасность Windows → Безопасность устройства → Безопасная загрузка. Целевой статус — «All required certificate updates have been applied» («Все требуемые обновления сертификатов применены»).
😅 ЖИЗНЕННОЕ
Сначала бэкап ключей BitLocker в AD/Entra, потом прошивка. Обновление микрокода или сброс TPM принудительно запросит Recovery Key. Иначе вечер пятницы гарантированно станет ночью.
Сброс настроек UEFI «в дефолт» на старых платах легко откатит переменные NVRAM к зашитым на фабрике сертификатам образца 2018–2019 года.
Вендоры первого эшелона (Dell, HP, Lenovo) не выпускают свежие версии BIOS/UEFI для линеек оборудования, снятых с вендорской поддержки до 2026 года.
💡 В ЧЁМ СУТЬ
#windows #secureboot #uefi #bitlocker #юмор #sysadmin #admin_future
Коллеги, пятница. Самая опасная поломка — та, которой не видно. Компьютер загружается, пользователь доволен, а защита загрузки тихо перестала получать обновления.
📌 ФАКТЫ
19 октября 2026 года истёк сертификат Microsoft Windows Production PCA 2011 — именно им более 15 лет подписывался доверенный загрузчик Windows. Официальная замена — Windows UEFI CA 2023
Необновлённый ПК загружается и работает как обычно, регулярные накопительные апдейты продолжают ставиться
Однако устройство больше не применит обновления Boot Manager, не обновит базы Secure Boot (db/dbx), списки отзыва уязвимых загрузчиков (BlackLotus и др.) и патчи цепочки ранней инициализации
Microsoft предупреждает: не отключайте Secure Boot, пытаясь обойти ошибки накатки
Для Windows 10 доставка обновлённых сертификатов предусмотрена только в рамках платной программы ESU
🛠 ПРОВЕРКА (PowerShell от имени администратора)
PowerShell
# 1. Проверяем активность Secure Boot (True = включён)
Confirm-SecureBootUEFI
# 2. Ищем новый сертификат CA 2023 в базе доверенных ключей db
[Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
# 3. Смотрим статус развёртывания в реестре Windows
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -ErrorAction SilentlyContinue
Глазами в GUI: Параметры → Безопасность Windows → Безопасность устройства → Безопасная загрузка. Целевой статус — «All required certificate updates have been applied» («Все требуемые обновления сертификатов применены»).
😅 ЖИЗНЕННОЕ
Сначала бэкап ключей BitLocker в AD/Entra, потом прошивка. Обновление микрокода или сброс TPM принудительно запросит Recovery Key. Иначе вечер пятницы гарантированно станет ночью.
Сброс настроек UEFI «в дефолт» на старых платах легко откатит переменные NVRAM к зашитым на фабрике сертификатам образца 2018–2019 года.
Вендоры первого эшелона (Dell, HP, Lenovo) не выпускают свежие версии BIOS/UEFI для линеек оборудования, снятых с вендорской поддержки до 2026 года.
💡 В ЧЁМ СУТЬ
Отсутствие BSOD не означает отсутствие проблемы. Соберите через GPO/SCCM/RMM отчёт со статусом
Windows UEFI CA 2023по всему парку, отделите legacy-железо и поставьте прошивку BIOS в регламент обслуживания. Только не запускайте массовый rollout в пятницу перед уходом домой.
#windows #secureboot #uefi #bitlocker #юмор #sysadmin #admin_future