Windows Production CA 2011 – vypršení platnosti a aktualizace bootloaderu

Platí pro
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Původní datum vydání: 22 října, 2026
KB ID: 5132953

Od 19. října 2026 vypršela platnost certifikátů zabezpečeného spouštění Microsoftu původně vydaných v roce 2011 15 let. Toto vypršení platnosti neznamená, že se počítače přestanou zapínat nebo nezabrání spuštění Windows. Stávající zařízení se budou dál spouštět a budou na nich Windows normálně fungovat. Další podrobnosti o tom, jak vypršení platnosti certifikátu ovlivňuje zařízení s Windows, najdete v tématu Když vyprší platnost certifikátů zabezpečeného spouštění na zařízeních s Windows. Základní informace o širším plánu vypršení platnosti certifikátu zabezpečeného spouštění v roce 2026 a náhradních autoritách najdete v tématu Vypršení platnosti certifikátu zabezpečeného spouštění systému Windows a aktualizace certifikační autority.

Cílová skupina

Tento článek je určený pro odborníky v oblasti IT, podnikové správce a techniky nasazení, kteří spravují fyzické skupiny systémů Windows, serverové úlohy, virtuální počítače a instalační média.

Pokud jste domácí uživatel nebo uživatel počítače, jehož zařízení je aktualizováno automaticky prostřednictvím služby služba Windows Update, nemusíte provádět žádné kroky popsané v tomto článku. služba služba Windows Update automaticky spravuje aktualizace certifikátů a spouštěcích souborů osobních zařízení. Pokyny zaměřené na spotřebitele najdete v tématu Zařízení s Windows pro domácí uživatele, firmy a školy s aktualizacemi spravovanými Microsoftem.

Co se mění?

Spustitelné soubory Windows k ochraně systémů před malwarem před spuštěním a neoprávněnou manipulací spoléhají na digitální podpisy ověřené ve dvou různých provozních fázích:

  1. Ověření zabezpečeného spouštění před spuštěním: Před načtením Windows ověří firmware UEFI digitální podpis spouštěcího zavaděče Windows (například bootmgfw.efi a cdboot.efi) vůči důvěryhodným autoritám v databázi povolených podpisů firmwaru.

  2. Ověřování za běhu operačního systému Windows: Po spuštění systému Windows jádro operačního systému a funkce zabezpečení ověří digitální podpisy ovladačů (.sys), systémových služeb a binárních souborů aplikací pomocí technologie Authenticode (.exe, .dll).

19. října 2026 dosáhl plánovaný konec platnosti certifikátu PCA 2011 pro Microsoft Windows Production a Microsoft převedl obě podpisové domény na moderní certifikační autority:

Zabezpečené spouštění a aktualizace zavaděče (před spuštěním)

In-Windows operačního systému Podepisování binárních souborů a katalogů (modul runtime)

  • Přechod k náhradním podpisovým autoritám: Obsah operačního systému Windows (včetně binárních souborů s vloženými podpisy Authenticode a komponent ověřovaných prostřednictvím podepsaných katalogů zabezpečení Windows) přechází z vyřazovaného Windows Production PCA 2011 na náhradní certifikační autority Microsoftu. Upozorňujeme, že podepisování certifikačních autorit se může v budoucnosti měnit s tím, jak se vyvíjejí kryptografické standardy a postupy podepisování.

  • Ukončení binárního podepisování PCA 2011: Od 19. října 2026 už Microsoft digitálně nepodepisuje žádný binární katalog nebo katalog zabezpečení pomocí certifikátu PCA 2011. Existující binární soubory, které už jsou v systémech nainstalované, se dál spouští normálně, ale neobdrží další aktualizace podepsané certifikátem 2011.

  • Důsledky pro řízení aplikací a ověřování: Zásady vlastního řízení aplikací pro firmy (WDAC), podepsané katalogy zabezpečení nebo nástroje pro ověřování CI/CD, které připínají důvěryhodnost k autoritě PCA 2011, můžou blokovat aktualizované binární soubory. Pokyny k přezkoumání zásad a ověření softwaru jiných výrobců jsou popsané v části Provozní aspekty a potenciální dopad.

Provozní aspekty a potenciální dopad

I když podporované a plně aktualizované instalace Windows procházejí hladce, organizace, které vynucují vlastní zásady řízení aplikací, kanály ověřování buildů nebo specifické kontroly podpisových certifikátů, musí vyhodnotit následující provozní oblasti:

Zásady řízení aplikací (Řízení aplikací pro firmy / WDAC)

Pokud vaše organizace používá Řízení aplikací pro firmy nebo podepsané katalogy zabezpečení, zkontrolujte, jestli vaše zásady neobsahují pravidla, která autorizují kód podepsaný Microsoftem konkrétní certifikační autoritou, vydavatelem nebo kryptografickým otiskem, jako je Microsoft Windows Production PCA 2011. Vzhledem k tomu, že aktualizované binární soubory Windows a katalogy zabezpečení jsou podepsané u náhradních certifikačních autorit, a nikoli u certifikátu PCA 2011, nemusí soubory odpovídat těmto pravidlům a při vynucení můžou být zablokovány. Upozorňujeme, že binární podpisové certifikační autority se můžou i v budoucnu změnit:

  • Možné příznaky: Selhání instalace kumulativních aktualizací zabezpečení, selhání služeb během spouštění, blokování spustitelného souboru aplikace nebo knihovny DLL a událost integrity kódu 3077 v protokolu událostí.

  • Flexibilita certifikátů a budoucí změny: Zatímco aktualizované binární soubory Windows a katalogy zabezpečení přecházejí na nahrazující autority, podpisové certifikáty a certifikační autority se budou v budoucnu měnit v závislosti na vývoji kryptografických standardů. Z tohoto důvodu by se zásady řízení aplikací a katalogy zabezpečení měly vyvarovat připínání ke konkrétním certifikačním autoritám, předmětům nebo kryptografickým otiskům a měly by místo toho používat dobře známá pravidla vydavatele nebo dědičnost zásad, které zůstávají kompatibilní, protože Microsoft v průběhu času obměňuje podpisové certifikáty.

  • Požadovaná akce: Vyhledejte v souboru XML zásad pravidla podepisujícího, která odkazují na certifikační autority společnosti Microsoft, včetně pravidel zděděných z ukázkových základních zásad. Změny zásad nasaďte nejprve v režimu auditování a před jejich vynucováním zkontrolujte výsledky. Podrobné kroky revize zásad a pokyny k ekosystému najdete v tématu Příprava ekosystému Windows na podepisování kódu nové generace.

Aplikace s vlastním ověřováním certifikátů, kanály CI/CD a bezpečnostním softwarem

Na většinu aplikací pro Windows to nemá vliv. Aplikace jsou ohroženy pouze v případě, že používají vlastní ověření svázané s konkrétními certifikáty Microsoft nebo podpisovými algoritmy nebo pokud udržují soukromé úložiště důvěryhodných certifikátů. Organizace, které spravují aplikace pro Windows, kanály CI/CD nebo nástroje zabezpečení třetích stran, by měly vyhodnotit následující oblasti (s upozorněním, že certifikační autority pro binární podepisování se mohou i v budoucnu změnit):

  • Vlastní ověření certifikátu aplikace: U každé aplikace nebo služby, která provádí vlastní ověření a předpokládá přítomnost PCA 2011, ověřuje konkrétní řetězy certifikátů, připíná k předmětům certifikátů nebo spoléhá na pevné charakteristiky podepisování, může docházet k chybám nebo může odmítnout soubory podepsané Microsoftem, které Windows rozpozná jako důvěryhodné. Aktualizujte ověření aplikace tak, aby používalo podporovaná rozhraní API důvěryhodnosti systému Windows (například WinVerifyTrust) místo vlastních kontrol spojených s pevnými certifikáty nebo podpisovými algoritmy.

  • Software využívající úložiště soukromých vztahů důvěryhodnosti: Ověřte, že všechny aplikace, kontejnery nebo služby, které udržují soukromé úložiště důvěryhodných certifikátů, mají proces rozpoznávání legitimních rotací certifikátů Microsoftu.

  • Ověřování buildů a kanály CI/CD: Automatické brány sestavení a statické skenery, které vynucují statický seznam povolených očekávaných certifikačních autorit, můžou hlásit selhání ověření (například chyby neshody zásad) u nově aktualizovaných součástí Windows. Aktualizace statických seznamů povolených podepisujících osob tak, aby rozpoznávaly náhradní certifikační autority Microsoftu, a zavedení ověřovacích procesů, které zohlední budoucí rotace certifikačních autorit s rozvojem standardů podepisování.

  • Bezpečnostní a antivirový software jiných výrobců: Některé antivirové produkty, produkty pro ochranu koncových bodů a produkty pro ochranu aplikací třetích stran kontrolují podpisy technologie Authenticode přímo. Ověřte si u dodavatelů softwaru, že zkontrolovali a otestovali kompatibilitu s náhradními podpisovými certifikáty Microsoft. Pokyny pro technické ověření najdete v tématu Příprava ekosystému Windows na podepisování kódu nové generace.

Nasazení spouštěcího média na starším hardwaru

S budoucími vydáními médií s aktualizacemi přejdou oficiální instalační média na spouštění ve výchozím nastavení se správcem spouštění Windows UEFI CA 2023:

  • Možné příznaky: Spouštění aktualizovaných médií na fyzickém hardwaru, jehož firmware UEFI postrádá certifikát 2023 v databázi povolených podpisů, selže s porušením zabezpečeného spouštění.

  • Požadovaná akce: U staršího hardwaru bez aktualizovaného systému BIOS výrobce OEM, který důvěřuje certifikátu 2023, bude k dispozici skript pro návrat k médiu, který nakonfiguruje spuštění média pomocí zablokovaného zavaděče 2011.

Spouštěcí médium a chování při instalaci v operačním systému

Přechod instalačního média a nastavení operačního systému se u stávajících verzí Windows a budoucích verzí Windows liší:

Instalační média pro stávající verze Windows

  • Výchozí spouštěcí cesta na instalačním médiu: Budoucí verze instalačních médií pro aktuálně podporované verze Windows nastaví Správce spouštění Windows podepsaný v roce 2023 na adrese \EFI\Boot\bootx64.efi jako výchozí spouštěcí soubor pro spouštěcí médium.

  • Reverze média pro starší firmware: Instalační média zabalí spouštěcí binární soubory podepsané rokem 2023 i 2011, přičemž zachovávají stávající adresářovou strukturu na médiu a cílový systémový oddíl EFI (ESP). U hardwaru vyžadujícího spouštěcí soubory 2011 bude poskytnut skript pro návrat k médiu pro konfiguraci média pro spuštění pomocí zablokovaného správce spouštění 2011.

  • Chování při místním upgradu: Při provádění místního upgradu instalační program systému Windows zkontroluje databázi povolených podpisů firmwaru. Pokud firmware už důvěřuje certifikační autoritě Windows UEFI CA 2023, instalační program zřídí cílový systémový oddíl EFI (ESP) se správcem spouštění podepsaným v roce 2023. Pokud firmware důvěřuje pouze PCA 2011, instalační program zřídí správce spouštění podepsaný 2011, aby se zachovala možnost spouštění. Po upgradu standardní služba Windows Servicing spravuje aktualizace certifikátů do databáze firmwaru a následné aktualizace pro zvýšení kvality převedou ESP na bootloader 2023, jakmile se vytvoří důvěryhodnost firmwaru.

  • Azure Přechod z médií na Marketplace: Azure image galerií virtuálních počítačů první strany a kanály nasazení hostitele se shodují s výchozím plánem spouštěcích médií pro rok 2023.

Instalační média pro budoucí verze Windows

  • V budoucích hlavních verzích Windows pro klienty a servery budou instalační média obsahovat jenom spouštěcí binární soubory podepsané v roce 2023 a spouštěcí binární soubory podepsané v roce 2011 budou z média zcela odebrány.

  • Požadavek na důvěryhodnost firmwaru pro budoucí verze: Budoucí hlavní verze Windows vyžadují ke spuštění instalačního média a dokončení instalace systému Windows certifikát certifikační autority Windows UEFI CA 2023 v databázi povolených podpisů firmwaru.

Generování médií a záložní skripty

Správa médií napříč různými generacemi hardwaru se podporuje prostřednictvím následujících skriptů:

  • Aktualizace média nižší verze: U stávajícího instalačního média, které je výchozím zavaděčem 2011, aktualizujte médium na výchozí zavaděč 2023 pomocí Make2023BootableMedia.ps1. Úplné parametry skriptu a pokyny ke stažení naleznete v tématu Aktualizace spouštěcího média systému Windows pro použití správce spouštění podepsaného PCA2023.

  • Skript reverze média pro starší firmware: Při nasazování média do systémů s firmwarem, který čeká na aktualizaci OEM pro certifikát 2023, může zmíněný skript pro návrat média nakonfigurovat médium tak, aby se spouštělo pomocí zablokovaného zavaděče 2011.

Časté otázky

  • Aktivuje aktualizace zavaděče obnovení nástroje BitLocker?

    Zatímco údržba Windows pracuje na koordinaci měření platformy během aktualizací, mohou se v závislosti na konfiguraci ochrany zařízení, chování firmwaru a stavu systému zobrazovat neočekávané výzvy k obnovení nástroje BitLocker. Správci a vlastníci zařízení by měli zajistit, aby byly obnovovací klíče nástroje BitLocker bezpečně zálohovány před použitím jakýchkoli aktualizací spouštěcího řetězce, firmwaru nebo zabezpečeného spouštění, včetně měsíčních aktualizací systému Windows pro zvýšení kvality.

  • Jaký vliv mají virtuální počítače na technologie Hyper-V, Azure a VMware?

    Virtuální počítače Hyper-V 2. generace dostávají aktualizované certifikáty prostřednictvím standardních kumulativních aktualizací Windows. Virtuální počítače Azure Trusted Launch a důvěrné virtuální počítače dostávají aktualizace prostřednictvím údržby platformy Azure. V případě VMware vSphere se ujistěte, že jsou hostitelé ESXi a verze hardwaru virtuálních počítačů aktualizované na verze, které zahrnují certifikáty pro rok 2023 v hostovaných šablonách UEFI. Podrobnosti najdete v tématu Důvěryhodné spouštěcí virtuální počítače a Důvěrné virtuální počítače v Azure.

  • Co se stane, když zařízení certifikát z roku 2023 nikdy neobdrží?

    Zařízení se bude nadále spouštět pomocí zablokovaného zavaděče podepsaného ve verzi 2011, ale nebude dostávat nové opravy zabezpečení spouštěcího zavaděče, pokud budou v budoucnu zjištěny chyby zabezpečení na úrovni spouštění. Budoucí hlavní verze Windows budou navíc vyžadovat certifikát z roku 2023 v databázi povolených podpisů (DB) a instalační médium zablokuje instalaci na zařízeních, která ho postrádají.

Změnový protokol
Změnit datum Popis změny
22 října, 2026 Původní publikace pokrývající vypršení platnosti XPS 2011 Windows Production z 19. října 2026, zamrznutí zavaděče, budoucí aktualizace instalačních médií, důsledky pro řízení aplikací a nástroje pro záložní převod.