- Certificados de Secure Boot da Microsoft expiram em 2026: KEK CA 2011 em 24 de junho de 2026; Windows Production PCA 2011 em 19 de outubro de 2026; UEFI CA 2011 em 27 de junho de 2026.
- Muitas máquinas já recebem certificados atualizados desde 2024; dispositivos modernos, incluindo alguns com Windows 11, já contam com as novas assinaturas (2023).
- Caso não haja atualização, o Windows pode deixar de receber correções de pré-boot e de confiança de boot; desativar o Secure Boot pode dificultar o acesso a discos criptografados pelo BitLocker.
- É possível checar o status pelo Windows Security (página de Segurança do Dispositivo) ou via PowerShell, com o comando que verifica a presença de “Windows UEFI CA 2023”.
- Os certificados de 2023 têm expiração em 2038, com exceção do Windows UEFI CA 2023, que expira em junho de 2035; OEMs continuam fornecendo atualizações por meio de firmware e Windows Update.
A Microsoft confirmou que quatro certificados de segurança do Secure Boot irão expirar em 2026, afetando PCs com Windows e algumas distribuições Linux. A medida não impede o funcionamento do sistema, mas pode impedir a instalação de atualizações de componentes de boot e de listas de confiança. A verificação pode ser feita pela ferramenta de Segurança do Windows.
A expiração envolve certificados emitidos na década de 2010, usados para validar o boot e componentes relacionados. Fabricantes de hardware já trabalham para atualizar as certificações, com orientações para consumidores e empresas. Em muitos aparelhos, a atualização ocorrerá automaticamente via Windows Update.
Para a maioria dos usuários, manter as atualizações ativas deve ser suficiente. Dispositivos mais novos já embarcam as novas certificados. Quem possui PCs mais antigos ou setups OEM pode precisar de uma atualização de firmware.
O que expira e como verificar
A Microsoft detalha que o certificado de KEK de 2011 e certificados de CA associadas expiram em 24 de junho e 27 de junho de 2026, com novas assinaturas em 2023 para alguns itens. A atualização substitui as chaves antigas pelos certificados de 2023.
Para verificar o status, abra Windows Security, vá em Segurança do Dispositivo e busque a linha Secure Boot. Se aparecer a mensagem todos os certificados exigidos foram aplicados, o PC já está atualizado.
Você também pode confirmar via PowerShell, com administrador, o comando: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’). True indica atualização; False, necessidade de firmware.
A atualização automática deve chegar a devices de grandes fabricantes (Lenovo, HP, Dell, ASUS, Surface) com Windows 11 ou Windows 10 com ESU. Em alguns casos, pode ser exigido um update de firmware adicional do fabricante.
Impacto e orientações
Se os certificados não forem atualizados, dispositivos podem perder suporte a atualizações de boot, o que pode afetar a segurança do boot e o recebimento de patches de vulnerabilidades. Desligar o Secure Boot é possível, mas pode impedir acesso a discos criptografados com BitLocker sem a chave de recuperação.
Para ambientes corporativos, há ferramentas de monitoramento e implantação descritas no Secure Boot Playbook for Windows Client. Fabricantes costumam oferecer páginas de suporte com guias de transição. Usuários domésticos devem seguir as atualizações automáticas.
Entre na conversa da comunidade