תאריך פרסום מקורי: אוקטובר 22, 2026
מזהה KB: 5132953
נכון ל - 19 באוקטובר 2026, תוקף אישורי האתחול המאובטח של Microsoft שהונפקו במקור בשנת 2011 הגיע ל- 15 שנות תפוגה. פקיעת תוקף זו אינה גורמת למחשבים להפסיק להידלק או מונעת את הפעלת Windows. מכשירים קיימים ממשיכים לפעול ולהפעיל את Windows כרגיל. לקבלת פרטים נוספים על האופן שבו תפוגת אישורים משפיעה על מכשירי Windows, ראה מתי פג התוקף של אישורי אתחול מאובטח במכשירי Windows. לקבלת רקע על לוח הזמנים הרחב יותר של התפוגה והרשויות החלופיות של אישורי אתחול מאובטח לשנת 2026, ראה תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכונים של רשות אישורים.
קהל יעד
מאמר זה מיועד למומחי IT, מנהלי ארגונים ומהנדסי פריסה שמנהלים ציי Windows פיזיים, עומסי עבודה של שרתים, מחשבים וירטואליים ומדיית התקנה.
אם אתה משתמש במחשב ביתי או אישי שהמכשיר שלו מתעדכן באופן אוטומטי באמצעות Windows Update, אינך צריך לבצע פעולה כלשהי המתוארת במאמר זה. Windows Update מנהל באופן אוטומטי עדכונים של אישורים וקבצי אתחול עבור מכשירים אישיים. לקבלת הדרכה ממוקדת צרכנים, ראה מכשירי Windows עבור משתמשי בית, עסקים ובתי ספר עם עדכונים המנוהלים על-ידי Microsoft.
מה משתנה?
כדי להגן על מערכות מפני תוכנות זדוניות לפני אתחול וטיפול שלא כדין, קובצי הפעלה של Windows מסתמכים על חתימות דיגיטליות שאומתו בשני שלבים תפעוליים נפרדים:
אימות אתחול מאובטח לפני האתחול: לפני טעינת Windows, קושחת UEFI מאמתת את החתימה הדיגיטלית של טוען האתחול של Windows (כגון
bootmgfw.efiוcdboot.efi) מול רשויות מהימנות במסד הנתונים של החתימה המותרת (DB) של הקושחה.אימות זמן ריצה של מערכת הפעלה Windows: לאחר אתחול Windows, תכונות הליבה והאבטחה של מערכת ההפעלה מאמתות את החתימות הדיגיטליות Authenticode של מנהלי התקנים (
.sys), שירותי מערכת וקבצים בינאריים של יישומים (.exe,.dll).
נכון ל- 19 באוקטובר 2026, אישור Microsoft Windows Production PCA 2011 הגיע לתפוגה המתוכננת שלו, ו- Microsoft העבירה את שני תחומי החתימה לרשויות אישורים מודרניות:
עדכוני אתחול מאובטח וטוען אתחול (טרום אתחול)
טוען האתחול קופא בצורה בינארית סטטית: המהדורות הסופיות של Windows Boot Manager שנחתמו עם אישור 2011 מוקפאות בצורה בינארית סטטית בכל ענפי השירות הנתמכים של Windows, ולא יקבלו שירות קוד או תיקוני אבטחה עתידיים.
עדכוני Bootloader עתידיים דורשים Windows UEFI CA 2023: כל תיקוני האבטחה הבאים עבור טוען האתחול של Windows חתומים אך ורק עם שרשרת האישורים של Windows UEFI CA 2023. לפרטים על שירות כללי של טוען האתחול, בדיקות מצב המכשיר ומעקב אחר רישום, ראה מצב עדכון אישור אתחול מאובטח באפליקציית אבטחת Windows, עדכוני מפתח רישום עבור אתחול מאובטחותפוגת אישור אתחול מאובטח של Windows ועדכוני CA.
מעבר Bootloader של מדיית התקנה: במהדורת מדיה של עדכון עתידי, מדיית התקנה המופצת על ידי מיקרוסופט תעבור לאתחול כברירת מחדל עם טוען האתחול החתום ב-2023, תוך שמירה על טוען האתחול הקפוא של 2011 במדיה. סקריפט החזרת מדיה יסופק כדי להגדיר מדיה לאתחול עם טוען האתחול הקפוא של 2011 עבור מערכות הדורשות זאת. תוכניות מדיה מפורטות וכלי החזרה מתוארים בסעיף אופן הפעולה של מדיית אתחול והתקנה בתוך מערכת ההפעלה .
In-Windows מערכת הפעלה חתימה בינארית וקטלוג (זמן ריצה)
מעבר לרשויות חתימה חלופיות: תוכן מערכת ההפעלה Windows (כולל קבצים בינאריים עם חתימות Authenticode מוטבעות ורכיבים שאומתו באמצעות קטלוגים חתומים של אבטחת Windows) עובר מ- PCA 2011 Windows Production שיוצא משימוש לרשויות אישורים חלופיות של Microsoft. שים לב שרשויות אישורי החתימה ימשיכו להשתנות בעתיד עם התפתחות תקני ההצפנה ושיטות החתימה.
הפסקת החתימה הבינארית של PCA 2011: נכון ל- 19 באוקטובר 2026, Microsoft אינה מוסיפה עוד חתימה דיגיטלית לקטלוג בינארי או לקטלוג אבטחה באמצעות אישור PCA 2011. קבצים בינאריים קיימים שכבר מותקנים במערכות ממשיכים לפעול כרגיל, אך לא יקבלו עדכונים נוספים הנחתמים עם אישור 2011.
בקרת יישומים והשלכות מאמת: מדיניות של בקרת אפליקציות מותאמות אישית לעסקים (WDAC), קטלוגים של אבטחה חתומים או כלי אימות CI/CD שמצמידים אמון לרשות PCA 2011 עשויים לחסום קבצים בינאריים מעודכנים. הדרכה לסקירת מדיניות ואימות תוכנה של צד שלישי מתוארת בסעיף שיקולים תפעוליים והשפעה פוטנציאלית .
שיקולים תפעוליים והשפעה פוטנציאלית
בעוד שהתקנות Windows נתמכות ומעודכנות במלואן עוברות בצורה חלקה, ארגונים שאוכפים מדיניות בקרת יישומים מותאמת אישית, צינורות אימות בנייה או בדיקות אישורי חתימה ספציפיות חייבים להעריך את התחומים התפעוליים הבאים:
פריטי מדיניות לבקרת אפליקציות (בקרת אפליקציות לעסקים / WDAC)
אם הארגון שלך משתמש בבקרת יישומים לעסקים או בקטלוגים של אבטחה חתומים, עיין במדיניות שלך כדי למצוא כללים המאשרים קוד חתום על-ידי רשות אישורים, מנפיק או טביעת אצבע מסוימים, כגון Microsoft Windows Production PCA 2011. מאחר שקבצים בינאריים מעודכנים של Windows וקטלוגים של אבטחה חתומים באמצעות רשויות אישורים חלופיות - ולא עם אישור PCA של 2011 - ייתכן שקבצים לא תואמים לכללים אלה וייתכן שייחסמו בעת אכיפה. שים לב שרשויות האישורים של חתימה בינארית ימשיכו להיות כפופות לשינויים בעתיד:
תסמינים אפשריים: התקנה של עדכוני אבטחה מצטברים, שירותים נכשלים במהלך האתחול, בלוקים של קובץ הפעלה או DLL של יישום ואירוע תקינות קוד 3077 ביומן האירועים.
זריזות אישורים ושינויים עתידיים: בזמן שקבצים בינאריים מעודכנים של Windows וקטלוגים של אבטחה עוברים לרשויות חלופיות, אישורי חתימה ורשויות אישורים ישתנו בעתיד עם התקדמות תקני ההצפנה. מסיבה זו, פריטי מדיניות של בקרת אפליקציות וקטלוגים של אבטחה צריכים להימנע מהצמדה לרשויות אישורים ספציפיות, נושאים או טביעות אצבע ספציפיים, ובמקום זאת להשתמש בכללי מפרסם מוכרים או במדיניות בירושה שנשארים תואמים כאשר Microsoft מסובבת אישורי חתימה לאורך זמן.
הפעולה הנדרשת: חפש ב- XML של המדיניות שלך אחר כללי חותם המתייחסים לרשויות אישורים של Microsoft, כולל כללים שעברו בירושה מפריטי מדיניות בסיסיים לדוגמה. פרוס תחילה שינויי מדיניות במצב ביקורת וסקור את התוצאות לפני האכיפה. לקבלת שלבים מפורטים לסקירת מדיניות והדרכה למערכת האקולוגית, ראה הכנת המערכת האקולוגית של Windows לחתימת קוד מהדור הבא.
יישומים עם אימות אישורים מותאם אישית, צינורות CI/CD ותוכנות אבטחה
רוב האפליקציות של Windows אינן מושפעות. אפליקציות נמצאות בסיכון רק אם הן משתמשות באימות מותאם אישית הקשור לאישורים ספציפיים של Microsoft או לאלגוריתמי חתימה, או אם הן מנהלות מאגר אמון פרטי. ארגונים המנהלים אפליקציות של Windows, צינורות CI/CD או כלי אבטחה של ספקים חיצוניים צריכים לבצע הערכה של התחומים הבאים (ושימו לב שרשויות אישורים של חתימה בינארית ימשיכו להיות כפופות לשינויים בעתיד):
אימות אישור יישום מותאם אישית: כל אפליקציה או שירות שמבצעים אימות מותאם אישית ומניחים נוכחות של PCA 2011, מאמתים שרשראות אישורים ספציפיות, מצמידים לנושאי אישורים או מסתמכים על מאפייני חתימה קבועים, עשויים להיתקל בכשלים או לדחות קבצים בחתימת Microsoft ש- Windows מזהה כמהימנים. עדכן אימות אפליקציה כך שישתמש בממשקי API נתמכים של אמון Windows (כגון WinVerifyTrust) במקום בבדיקות מותאמות אישית הקשורות לאישורים קבועים או לאלגוריתמי חתימה.
תוכנה המשתמשת במאגרי אמון פרטיים: ודא שכל אפליקציה, גורם מכיל או שירות שמחזיקים מאגר אמון פרטי כוללים תהליך לזיהוי סיבובים לגיטימיים של אישורים של Microsoft.
אימות בנייה וצינורות CI/CD: שערי בנייה אוטומטיים וסורקים סטטיים האוכפים רשימת היתרים סטטית של רשויות אישורים צפויות עשויים לדווח על כשלים באימות (כגון שגיאות אי-התאמה במדיניות) ברכיבי Windows שעודכנו לאחרונה. לעדכן רשימות היתרים של חותמים סטטיים כדי לזהות רשויות אישורים חלופיות של Microsoft, וליצור תהליכי אימות שמתאימים לסבבים עתידיים של רשות אישורים עם התפתחות תקני החתימה.
אבטחה ואנטי-וירוס של צד שלישי: מוצרי אנטי-וירוס, הגנה על נקודות קצה והגנה על יישומים מסוימים של ספקים חיצוניים בודקים ישירות חתימות Authenticode. ודא עם ספקי התוכנה שלך שהם בדקו ובדקו תאימות עם אישורי חתימה חלופיים של Microsoft. לקבלת הדרכה טכנית למאמת, ראה הכנת המערכת האקולוגית של Windows לחתימת קוד מהדור הבא.
אתחול פריסת מדיה בחומרה ישנה
במהדורות מדיה של עדכונים עתידיים, מדיית ההתקנה הרשמית תעבור לאתחול כברירת מחדל באמצעות מנהל האתחול של Windows UEFI CA 2023:
תסמינים פוטנציאליים: אתחול מדיה מעודכנת בחומרה פיזית שקושחת ה-UEFI שלה חסרה את אישור 2023 במסד הנתונים של החתימה המותרת (DB) שלה ייכשל עם הפרת אתחול מאובטח.
הפעולה הנדרשת: עבור חומרה ישנה יותר ללא BIOS OEM מעודכן שסומך על אישור 2023, יסופק סקריפט החזרת מדיה כדי להגדיר את המדיה לאתחול באמצעות טוען האתחול הקפוא של 2011.
אופן הפעולה של מדיית אתחול והגדרה בתוך מערכת ההפעלה
המעבר של מדיית ההתקנה והגדרת מערכת ההפעלה שונה בין גירסאות קיימות של Windows ומהדורות עתידיות של Windows:
מדיית התקנה עבור גירסאות קיימות של Windows
נתיב האתחול המוגדר כברירת מחדל במדיית התקנה: מהדורות עתידיות של מדיית התקנה עבור גרסאות נתמכות כעת של Windows ימקמו את מנהל האתחול של Windows החתום לשנת 2023 ב- \EFI\Boot\bootx64.efi כקובץ האתחול המוגדר כברירת מחדל לאתחול מדיה.
החזרת מדיה עבור קושחה ישנה יותר: חבילת מדיית התקנה הן קבצים בינאריים של אתחול חתומים ב-2023 והן בחתימה של 2011, תוך שמירה על מבנה הספרייה הקיים במדיה ועל מחיצת מערכת EFI (ESP) היעד. עבור חומרה הדורשת קבצי אתחול 2011, יסופק סקריפט החזרה של מדיה כדי להגדיר את המדיה לאתחול באמצעות מנהל האתחול הקפוא של 2011.
אופן פעולה של שדרוג במקום: בעת ביצוע שדרוג במקום, התקנת Windows בודקת את מסד הנתונים של החתימה המותרת (DB) של הקושחה. אם הקושחה כבר נותנת אמון ב-Windows UEFI CA 2023, ההתקנה מקצה את מחיצת מערכת EFI (ESP) היעד עם מנהל האתחול החתום ב-2023. אם הקושחה נותנת אמון רק ב- PCA 2011, ההתקנה מקצה את מנהל האתחול החתום משנת 2011 כדי לשמר את יכולת האתחול. לאחר השדרוג, שירות Windows סטנדרטי מנהל עדכוני אישורים ל-DB של הקושחה, ועדכוני האיכות הבאים מעבירים את ה-ESP ל-Bootloader 2023 לאחר שנוצר אמון בקושחה.
מעבר מדיה של Azure Marketplace: תמונות של גלריית VM של צד ראשון של Azure וצינורות פריסת מארח תואמים ללוח הזמנים של מדיית האתחול המוגדר כברירת מחדל לשנת 2023.
מדיית התקנה עבור גירסאות עתידיות של Windows
במהדורות גדולות עתידיות של לקוח ושרת של Windows, מדיית ההתקנה תישא רק קבצים בינאריים של אתחול חתומים ב- 2023, וקבצים בינאריים של אתחול בחתימת 2011 יוסרו לחלוטין מהמדיה.
דרישת אמון בקושחה עבור מהדורות עתידיות: מהדורות ראשיות עתידיות של Windows דורשות את אישור Windows UEFI CA 2023 בקושחה מסד הנתונים של חתימה מותרת (DB) כדי לאתחל את מדיית ההתקנה ולהשלים את התקנת Windows.
יצירת מדיה וסקריפטים לגיבוי
ניהול מדיה בין דורות שונים של חומרה נתמך באמצעות קבצי ה- Script הבאים:
עדכון מדיה ברמה נמוכה: עבור מדיית התקנה קיימת שעוברת כברירת מחדל ל-Bootloader 2011, עדכן את המדיה לברירת מחדל ל-Bootloader 2023 באמצעות Make2023BootableMedia.ps1. לקבלת פרמטרי סקריפט מלאים והוראות הורדה, ראה עדכון מדיה הניתנת לאתחול של Windows לשימוש במנהל אתחול החתום PCA2023.
קובץ Script להחזרת מדיה עבור קושחה ישנה יותר: בעת פריסת מדיה במערכות עם קושחה הממתינה לעדכון OEM עבור אישור 2023, סקריפט החזרת המדיה שהוזכר עשוי להגדיר את המדיה לאתחול באמצעות טוען האתחול הקפוא של 2011.
שאלות נפוצות
האם עדכון טוען האתחול מפעיל התאוששות של BitLocker?
בזמן ששירות Windows פועל כדי לתאם מדידות פלטפורמה במהלך עדכונים, בקשות שחזור בלתי צפויות של BitLocker עשויות להתרחש, בהתאם לתצורת מגן ההתקן, אופני הפעולה של הקושחה ומצב המערכת. מנהלי מערכת ובעלי מכשירים צריכים לוודא שמפתחות השחזור של BitLocker מגובים באופן מאובטח לפני החלת עדכוני שרשרת אתחול, קושחה או אתחול מאובטח, כולל עדכוני איכות חודשיים של Windows.כיצד מחשבים וירטואליים מושפעים ב- Hyper-V, ב- Azure וב- VMware?
מחשבים וירטואליים של Hyper-V מדור שני מקבלים אישורים מעודכנים באמצעות עדכוני Windows מצטברים סטנדרטיים. מחשבים וירטואליים סודיים והפעלה מהימנה של Azure מקבלים עדכונים באמצעות שירות פלטפורמת Azure. עבור VMware vSphere, ודא שמארחי ESXi וגרסאות חומרת VM מעודכנות למהדורות הכוללות את אישורי 2023 בתבניות UEFI אורחות. לקבלת פרטים, ראה מחשבים וירטואליים בהפעלה מהימנה ומחשבים וירטואליים סודיים ב- Azure.מה קורה אם מכשיר לעולם לא מקבל את אישור 2023?
המכשיר ימשיך לאתחל באמצעות טוען האתחול החתום ב-2011, אך הוא לא יקבל תיקוני אבטחה חדשים של Bootloader אם יתגלו פגיעויות עתידיות ברמת האתחול. בנוסף, מהדורות ראשיות עתידיות של Windows ידרשו את אישור 2023 במסד הנתונים של החתימה המותרת (DB), ומדיית ההתקנה תחסום את ההתקנה במכשירים שאין להם אותו.
קישורים באותו נושא
תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכוני CA (KB5062710)
עדכון מדיה הניתנת לאתחול של Windows לשימוש במנהל אתחול (KB5053484) עם חתימת PCA2023
עדכוני מפתח רישום עבור אתחול מאובטח: מכשירי Windows עם עדכונים המנוהלות על-ידי IT
יומן רישום שינויים
| שנה תאריך | תיאור השינוי |
|---|---|
| אוקטובר 22, 2026 | פרסום ראשוני המכסה את תפוגת התוקף של Windows Production PCA 2011 ב-19 באוקטובר 2026, הקפאת טוען האתחול, עדכוני מדיה להתקנה עתידיים, השלכות בקרת יישומים וכלי המרה לנסיגה. |