Fecha de publicación original: 22 de octubre de 2026
KB ID: 5132953
A partir del 19 de octubre de 2026, los certificados de arranque seguro de Microsoft emitidos originalmente en 2011 han cumplido 15 años. Esta expiración no hace que los equipos dejen de encenderse ni impide que Windows se inicie. Los dispositivos existentes continúan iniciándose y ejecutando Windows con normalidad. Para obtener más información sobre cómo afecta la expiración de los certificados a los dispositivos Windows, consulte Cuando expiran los certificados de arranque seguro en dispositivos Windows. Para obtener información general sobre la programación de expiración del certificado de arranque seguro de 2026 y las autoridades de reemplazo, consulte la expiración del certificado de arranque seguro de Windows y las actualizaciones de CA.
Público objetivo
Este artículo está destinado a profesionales de TI, administradores de empresas e ingenieros de implementación que administran flotas físicas de Windows, cargas de trabajo de servidores, máquinas virtuales y medios de instalación.
Si es usuario de un equipo personal o doméstico cuyo dispositivo se actualiza automáticamente mediante Windows Update, no es necesario realizar ninguna de las acciones descritas en este artículo. Windows Update administra automáticamente las actualizaciones de certificados y archivos de inicio para dispositivos personales. Para obtener instrucciones centradas en el consumidor, consulte Dispositivos Windows para usuarios domésticos, empresas y escuelas con actualizaciones administradas por Microsoft.
¿Qué está cambiando?
Para proteger los sistemas contra el malware de prearranque y la manipulación no autorizada, los archivos ejecutables de Windows se basan en firmas digitales comprobadas en dos fases operativas distintas:
Comprobación de arranque seguro previo al arranque: Antes de que Windows se cargue, el firmware UEFI comprueba la firma digital del cargador de arranque de Windows (como
bootmgfw.efiycdboot.efi) con respecto a las entidades de confianza en la base de datos de firmas permitidas (BD) del firmware.Verificación en tiempo de ejecución del sistema operativo Windows: Una vez que Windows arranca, el kernel y las características de seguridad del sistema operativo comprueban las firmas digitales Authenticode de los controladores (
.sys), los servicios del sistema y los archivos binarios de la aplicación (.exe,.dll).
A partir del 19 de octubre de 2026, el certificado Microsoft Windows Production PCA 2011 ha alcanzado su vencimiento programado y Microsoft ha realizado la transición de ambos dominios de firma a entidades de certificación modernas:
Actualizaciones de arranque seguro y cargador de arranque (previo al arranque)
Bloqueo del cargador de arranque en forma binaria estática: Las versiones finales de la Administración de arranque de Windows firmadas con el certificado de 2011 están congeladas en formato binario estático en todas las ramas de mantenimiento de Windows compatibles y no recibirán futuras revisiones de seguridad ni de mantenimiento de código.
Las futuras actualizaciones del cargador de arranque requieren Windows UEFI CA 2023: Todas las revisiones de seguridad posteriores para el cargador de arranque de Windows se firman exclusivamente con la cadena de certificados Windows UEFI CA 2023. Para obtener más información sobre el mantenimiento general del cargador de arranque, las comprobaciones de estado de los dispositivos y el seguimiento del Registro, consulte Estado de actualización del certificado de arranque seguro en la aplicación Seguridad de Windows, Actualizaciones de clave del Registro para arranque seguro y Expiración del certificado de arranque seguro de Windows y actualizaciones de CA.
Transición del cargador de arranque del medio de instalación: En una futura versión de prensa de actualización, los medios de instalación distribuidos por Microsoft pasarán a arrancar de forma predeterminada con el cargador de arranque firmado en 2023, a la vez que se conserva el cargador de arranque de 2011 congelado en los medios. Se proporcionará un script de reversión de medios para configurar los medios para arrancar con el cargador de arranque de 2011 congelado para los sistemas que lo requieran. Los planes de medios detallados y las herramientas de reversión se describen en la sección Medios de arranque y comportamiento de configuración en el sistema operativo .
In-Windows sistema operativo Firma binaria y de catálogos (tiempo de ejecución)
Transición a las autoridades firmantes de reemplazo: El contenido del sistema operativo Windows (incluidos los binarios con firmas Authenticode incrustadas y componentes autenticados a través de catálogos de seguridad de Windows firmados) pasa de la versión de PCA de producción de Windows 2011 que se retira a las entidades de certificación de Microsoft de reemplazo. Tenga en cuenta que las entidades de certificación de firma seguirán estando sujetas a cambios en el futuro a medida que evolucionen los estándares criptográficos y las prácticas de firma.
Cese de la firma binaria PCA 2011: A partir del 19 de octubre de 2026, Microsoft ya no firma digitalmente ningún catálogo binario o de seguridad con el certificado PCA de 2011. Los archivos binarios existentes ya instalados en los sistemas continúan ejecutándose con normalidad, pero no recibirán más actualizaciones firmadas con el certificado de 2011.
Implicaciones para el control de aplicaciones y el verificador: Las directivas de Control de aplicaciones personalizadas para empresas (WDAC), los catálogos de seguridad firmados o las herramientas de comprobación de CI/CD que anclan la confianza a la autoridad PCA 2011 pueden bloquear archivos binarios actualizados. Las instrucciones sobre la revisión de directivas y la comprobación del software de terceros se describen en la sección Consideraciones operativas e impacto potencial .
Consideraciones operativas e impacto potencial
Aunque las instalaciones de Windows totalmente actualizadas reciben soporte técnico y realizan una transición sin problemas, las organizaciones que aplican directivas de control de aplicaciones personalizadas, canalizaciones de comprobación de compilación o comprobaciones de certificados de firma específicas deben evaluar las siguientes áreas operativas:
Directivas de control de aplicaciones (App Control para empresas o WDAC)
Si su organización usa Control de aplicaciones para empresas o catálogos de seguridad firmados, revise las directivas para ver si hay reglas que autoricen código firmado por Microsoft por una entidad de certificación, emisor o huella digital específicos, como Microsoft Windows Production PCA 2011. Dado que los archivos binarios de Windows actualizados y los catálogos de seguridad se firman con entidades de certificación de reemplazo (y no con el certificado PCA de 2011), es posible que los archivos no coincidan con estas reglas y se puedan bloquear cuando se aplican. Tenga en cuenta que las entidades de certificación de firma binaria seguirán estando sujetas a cambios en el futuro:
Síntomas potenciales: actualizaciones de seguridad acumulativas que no se instalaron, servicios que fallaron durante el inicio, bloques de aplicación ejecutable o DLL, y evento de integridad de código 3077 en el registro de eventos.
Certificado de agilidad y cambios futuros: Mientras los archivos binarios y de seguridad actualizados de Windows pasan a entidades de reemplazo, los certificados de firma y las entidades de certificación cambiarán en el futuro a medida que avancen los estándares criptográficos. Por este motivo, las directivas de Control de aplicaciones y los catálogos de seguridad deben evitar anclar a entidades de certificación, asuntos o huellas digitales específicos y, en su lugar, deben usar reglas de editor conocidas o herencia de directivas que sigan siendo compatibles a medida que Microsoft va rotando los certificados de firma a lo largo del tiempo.
Acción necesaria: Busque en el XML de la directiva reglas de firmante que hagan referencia a las CA de Microsoft, incluidas las reglas heredadas de las directivas base de ejemplo. Implemente primero los cambios de directivas en el modo auditoría y revise los resultados antes de aplicarlos. Para conocer los pasos detallados de la revisión de directivas y las instrucciones del ecosistema, consulte Preparación del ecosistema de Windows para la firma de código de próxima generación.
Aplicaciones con validación de certificados personalizada, canalizaciones de CI/CD y software de seguridad
La mayoría de las aplicaciones de Windows no se ven afectadas. Las aplicaciones solo están en riesgo si usan la validación personalizada vinculada a certificados de Microsoft o algoritmos de firma específicos, o si mantienen un almacén de confianza privado. Las organizaciones que administran aplicaciones Windows, canalizaciones de CI/CD o herramientas de seguridad de terceros deben evaluar las siguientes áreas (teniendo en cuenta que las autoridades de certificación de firma binaria seguirán estando sujetas a cambios en el futuro):
Validación de certificados de aplicación personalizados: Cualquier aplicación o servicio que realice una validación personalizada y asuma la presencia de PCA 2011, valide cadenas de certificados específicas, ancle asuntos de certificados o se base en características de firma fijas puede experimentar errores o rechazar archivos firmados por Microsoft que Windows reconozca como de confianza. Actualice la validación de la aplicación para usar API de confianza de Windows compatibles (como WinVerifyTrust) en lugar de comprobaciones personalizadas vinculadas a certificados fijos o algoritmos de firma.
Software que usa almacenes de confianza privados: Compruebe que cualquier aplicación, contenedor o servicio que mantenga un almacén de confianza privado tenga un proceso para reconocer las rotaciones legítimas de certificados de Microsoft.
Validación de compilación y canalizaciones de CI/CD: Las puertas de compilación automatizadas y los exámenes estáticos que aplican una lista de permitidos estática de las entidades de certificación esperadas pueden notificar errores de verificación (como errores de coincidencia de directivas) en componentes de Windows recientemente actualizados. Actualice las listas de permitidos de firmantes estáticos para reconocer a las entidades de certificación de Microsoft de reemplazo y establezca procesos de verificación que se adapten a futuras rotaciones de entidades de certificación a medida que evolucionen los estándares de firma.
Software antivirus y de seguridad de terceros: Algunos productos antivirus de terceros, protección de puntos de conexión y protección de aplicaciones inspeccionan directamente las firmas Authenticode. Confirme con los proveedores de software que han revisado y probado la compatibilidad con los certificados de firma de Microsoft de reemplazo. Para obtener instrucciones de comprobador técnico, consulte Preparación del ecosistema de Windows para la firma de código de próxima generación.
Implementación de medios de arranque en hardware antiguo
Con futuras versiones de medios de actualización, los medios de instalación oficiales pasarán al arranque de forma predeterminada con el Administrador de arranque de Windows UEFI CA 2023:
Síntomas potenciales: El arranque de medios actualizados en hardware físico cuyo firmware UEFI carece del certificado 2023 en su base de datos de firmas permitidas (BD) producirá un error con una infracción de arranque seguro.
Acción necesaria: Para el hardware anterior sin un BIOS OEM actualizado que confíe en el certificado de 2023, se proporcionará un script de reversión de medios para configurar los medios para arrancar mediante el cargador de arranque de 2011 congelado.
Medios de arranque y comportamiento de configuración en el sistema operativo
La transición entre los medios de instalación y la configuración del sistema operativo difiere entre las versiones existentes de Windows y las futuras versiones de Windows:
Medios de instalación para versiones existentes de Windows
Ruta de acceso de inicio predeterminada en los medios de instalación: Las futuras versiones multimedia de instalación para las versiones actualmente compatibles de Windows pondrán en escena el Administrador de arranque de Windows firmado en 2023 en \EFI\Boot\bootx64.efi como el archivo de inicio predeterminado para los medios de arranque.
Reversión de medios para firmware anterior: El medio de instalación empaqueta archivos binarios de arranque firmados en 2023 y firmados en 2011, conservando la estructura de directorios existente en el medio y la partición del sistema EFI (ESP) de destino. Para el hardware que requiera archivos de arranque de 2011, se proporcionará un script de reversión de medios para configurar los medios para arrancar utilizando el Administrador de arranque de 2011 congelado.
Comportamiento de actualización local: Al realizar una actualización local, el programa de instalación de Windows inspecciona la base de datos de firmas permitida (BD) del firmware. Si el firmware ya confía en Windows UEFI CA 2023, el programa de instalación aprovisiona la partición del sistema EFI (ESP) de destino con el administrador de arranque firmado en 2023. Si el firmware confía solo en PCA 2011, el programa de instalación aprovisiona el Administrador de arranque firmado por 2011 para conservar la capacidad de inicio. Después de la actualización, el mantenimiento estándar de Windows administra las actualizaciones de certificados en la base de datos de firmware y las actualizaciones de calidad posteriores transfieren el ESP al cargador de arranque de 2023 una vez que se establece la confianza del firmware.
Transición de medios de Azure Marketplace: las imágenes de la galería de máquinas virtuales propias de Azure y las canalizaciones de implementación de host se alinean con la programación multimedia de arranque predeterminada de 2023.
Medios de instalación para futuras versiones de Windows
En futuras versiones principales de clientes y servidores de Windows, los medios de instalación solo llevarán archivos binarios de arranque firmados en 2023 y los archivos binarios de arranque firmados en 2011 se quitarán por completo de los medios.
Requisito de confianza del firmware para versiones futuras: Las futuras versiones principales de Windows requieren el certificado Windows UEFI CA 2023 en el firmware Permitir base de datos de firmas (BD) para iniciar los medios de instalación y completar la instalación de Windows.
Generación de medios y scripts de reserva
La administración de medios en distintas generaciones de hardware es compatible con los siguientes scripts:
Actualizando medios de nivel inferior: Para los medios de instalación existentes que tienen como valor predeterminado el cargador de arranque de 2011, actualícelos al cargador de arranque de 2023 mediante Make2023BootableMedia.ps1. Para ver parámetros de script completos e instrucciones de descarga, consulte Actualización de medios de arranque de Windows para usar el administrador de arranque firmado PCA2023.
Script de reversión de medios para firmware anterior: Al implementar medios en sistemas con firmware en espera de una actualización OEM para el certificado de 2023, el script de reversión de medios mencionado puede configurar los medios para arrancar mediante el cargador de arranque de 2011 congelado.
Preguntas frecuentes
¿La actualización del cargador de arranque desencadena la recuperación de BitLocker?
Mientras el mantenimiento de Windows funciona para coordinar las mediciones de la plataforma durante las actualizaciones, pueden producirse avisos de recuperación de BitLocker inesperados en función de la configuración del protector del dispositivo, los comportamientos del firmware y el estado del sistema. Los administradores y los propietarios de dispositivos deben asegurarse de que las claves de recuperación de BitLocker tengan una copia de seguridad segura antes de aplicar cualquier actualización de cadena de arranque, firmware o arranque seguro, incluidas las actualizaciones mensuales de calidad de Windows.¿Cómo se ven afectadas las máquinas virtuales en Hyper-V, Azure y VMware?
Las máquinas virtuales de Hyper-V de generación 2 reciben certificados actualizados a través de las actualizaciones estándar acumulativas de Windows. Las máquinas virtuales de inicio seguro y confidenciales de Azure reciben actualizaciones a través del mantenimiento de la plataforma de Azure. En el caso de VMware vSphere, asegúrese de que los hosts ESXi y las versiones de hardware de la VM se actualicen a versiones que incluyan los certificados de 2023 en las plantillas UEFI de invitado. Para obtener más información, consulte Inicio seguro de máquinas virtuales y Máquinas virtuales confidenciales en Azure.¿Qué sucede si un dispositivo nunca recibe el certificado 2023?
El dispositivo seguirá arrancando con el cargador de arranque firmado por 2011, pero no recibirá nuevas correcciones de seguridad del cargador de arranque si se descubren futuras vulnerabilidades en el nivel de arranque. Además, las futuras versiones principales de Windows requerirán el certificado de 2023 en la base de datos de firmas permitida (BD), y los medios de instalación bloquearán la instalación en dispositivos que no lo tengan.
Vínculos relacionados
Expiración del certificado de arranque seguro de Windows y actualizaciones de CA (KB5062710)
Cuando los certificados de arranque seguro expiran en dispositivos Windows
Preparación del ecosistema de Windows para la firma de código de próxima generación
Guía del administrador de TI: Estado de actualización del certificado de arranque seguro
Guía de solución de problemas de arranque seguro (KB5085046)
Registro de cambios
| Cambiar fecha | Cambiar descripción |
|---|---|
| 22 de octubre de 2026 | Publicación inicial que abarca la expiración del PCA de producción de Windows 2011 del 19 de octubre de 2026, la congelación del cargador de arranque, futuras actualizaciones de medios de instalación, implicaciones de control de aplicaciones y herramientas de conversión de reserva. |