Сертификаты Secure Boot истекают: что будет с Windows после 19 октября

Разбор · 2026-10-13 · 7 мин чтения

У Microsoft истекают сертификаты, которыми с 2011 года подписаны компоненты загрузки Windows. Два из них закончились ещё в июне, третий — 19 октября 2026 года, и это тот, которым подписан сам загрузчик Windows.

Звучит страшнее, чем есть. Начнём с того, чего не произойдёт.

Компьютеры не перестанут включаться

Это главное. Microsoft пишет прямо: устройства, не получившие новые сертификаты, продолжают загружаться и работать нормально, и обычные обновления Windows на них продолжают устанавливаться (Microsoft: when Secure Boot certificates expire).

Ни 19 октября, ни после него ничего не «отвалится». Поэтому если вы увидите в новостях слова «Windows перестанет загружаться» — это не так.

Что истекает на самом деле

Даты и названия — из таблицы Microsoft.

Что действительно перестаёт работать

На устройстве без новых сертификатов замирает защита раннего этапа загрузки — того, что происходит до старта самой Windows. Перестают приходить:

• обновления диспетчера загрузки Windows;
• обновления списков отзыва Secure Boot — тех, которыми блокируют скомпрометированные загрузчики;
• исправления для свежих уязвимостей в цепочке загрузки.

Могут пострадать и сценарии, которые опираются на доверие Secure Boot: усиленная защита BitLocker, сторонние загрузчики.

Важно понимать, чем это плохо. Загрузочные вредоносы — буткиты — встраиваются раньше операционной системы, и антивирус внутри Windows их уже не видит. Secure Boot с актуальными списками отзыва — главная защита от них. Застывшие списки означают, что новые известные буткиты блокировать больше нечем.

⚠️ Отключать Secure Boot «чтобы не мешал» нельзя. Microsoft предупреждает об этом отдельно: отключение убирает защиту от загрузочных вредоносов целиком.

Как проверить свой компьютер за минуту

С апреля 2026 года статус виден в самой Windows: Безопасность Windows → Безопасность устройства → Secure Boot. Там цветная отметка и текст (инструкция Microsoft):

• зелёная, «Fully updated» — всё обновлено, делать ничего не нужно;
• жёлтая, «Not yet updated» — обновление ещё придёт через Windows Update;
• красная, «Requires action» — на текущей конфигурации проблему загрузки устранить нельзя.

Microsoft отдельно оговаривает: зелёная галочка сама по себе не означает, что сертификаты обновлены — читайте текст рядом с ней.

В организациях этой панели можно не увидеть: на корпоративных клиентах и на Windows Server она по умолчанию скрыта (руководство для администраторов).

Если вы администратор

Три вещи, которые отличают рабочую сеть от домашнего компьютера.

Серверы сами ничего не получат. Клиентские Windows обновляются постепенной управляемой раскаткой, а Windows Server в неё не входит — сертификаты там разворачивает администратор, через реестр, групповые политики или систему управления (серверный плейбук Microsoft).

Сначала прошивка, потом сертификаты. Части устройств нужна свежая прошивка от производителя, иначе новые сертификаты не примутся. Для моделей, снятых с поддержки, такой прошивки может не быть вовсе — и тогда Microsoft советует планировать замену устройства.

Состояние видно в реестре: в ветке HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing параметр UEFICA2023Status проходит путь NotStarted → InProgress → Updated, а UEFICA2023Error появляется только при сбое (описание ключей). Не смешивайте способы: если разворачиваете через групповые политики, не делайте то же через систему управления устройствами — они пишут одни и те же ключи.

Хорошая новость для опоздавших: обновления с новыми сертификатами можно поставить и после того, как старые истекли — пока устройство загружается и обновляется (вопросы и ответы Microsoft).

Почему в России это отдельный разговор

Новые сертификаты приходят только на поддерживаемые версии Windows — обычными обновлениями. А обычная Windows 10 вышла из поддержки 14 октября 2025 года, и обновления с тех пор получают только компьютеры, подключённые к программе расширенных обновлений (ESU).

В России обе программы ESU недоступны: корпоративную российской компании купить негде, домашняя заблокирована по региону и вообще не работает на компьютерах в домене. Мы разбирали это подробно в статье «Windows 10 после 13 октября 2026».

Отсюда вывод, неприятный но честный: компьютеры на Windows 10 в российских офисах новых сертификатов Secure Boot, скорее всего, не получат никогда. Защита раннего этапа загрузки на них останется в том виде, в котором она есть сегодня, и дальше будет только отставать.

Это не повод бросаться что-то делать в эти выходные. Это ещё один аргумент в копилку к решению, которое и так назрело: парк на Windows 10 пора планировать к замене — на Windows 11 там, где железо позволяет, или на российскую ОС из реестра, если нужна отчётность по импортозамещению.

Что сделать по порядку

1. Проверить статус на своих компьютерах: Безопасность Windows → Безопасность устройства → Secure Boot. На серверах — через реестр.
2. Поставить обновления прошивки от производителя там, где они есть.
3. Убедиться, что Secure Boot включён — при выключенном Windows не может обновить сертификаты.
4. На серверах — развернуть сертификаты руками, они не придут сами.
5. Посчитать, сколько у вас машин на Windows 10 без обновлений, и решить, что с ними делать дальше.

Если по пятому пункту нужна помощь — напишите нам: посмотрим, что за парк, какое железо потянет Windows 11, а что проще перевести на российскую ОС, и предложим план с ценами. Ключом в каталоге операционных систем продаётся Uncom OS; Astra Linux, Windows и остальное подбираем под задачу, юрлицам со счётом и УПД.

Все статьи базы знаний