Istek značajke Windows Production CA 2011 i ažuriranja bootloadera

Primjenjuje se na
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Izvorni datum objave: Listopada 22, 2026
ID baze znanja: 5132953

Od 19. listopada 2026. certifikati za Microsoftovo sigurno pokretanje izvorno izdani 2011. dosegnuli su 15-godišnji istek. Ovaj istek ne uzrokuje zaustavljanje uključivanja računala niti onemogućuje pokretanje sustava Windows. Postojeći uređaji nastavljaju se pokretati i normalno koristiti Windows. Dodatne pojedinosti o tome kako istek certifikata utječe na uređaje sa sustavom Windows potražite u članku Kada isteknu certifikati za sigurno pokretanje sustava na uređajima sa sustavom Windows. Informacije o širem rasporedu isteka certifikata za sigurno pokretanje sustava 2026. i ovlastima za zamjenu potražite u članku Istek certifikata za sigurno pokretanje sustava Windows i ažuriranja ustanove za izdavanje certifikata.

Ciljana publika

Ovaj je članak namijenjen IT profesionalcima, administratorima u tvrtki ili ustanovi i inženjerima za implementaciju koji upravljaju fizičkim flotama sustava Windows, radnim opterećenjima poslužitelja, virtualnim računalima i instalacijskim medijima.

Ako ste korisnik kućnog ili osobnog računala čiji se uređaj automatski ažurira putem servisa Windows Update, ne morate poduzimati radnje opisane u ovom članku. Windows Update automatski upravlja ažuriranjima certifikata i pokretačkih datoteka za osobne uređaje. Smjernice usmjerene na korisnike potražite u članku Uređaji sa sustavom Windows za kućne korisnike, tvrtke i škole s ažuriranjima, kojima upravlja Microsoft.

Što se mijenja?

Da bi zaštitile sustave od zlonamjernog softvera prije pokretanja i neovlaštenog neovlaštenog mijenjanja, izvršne datoteke sustava Windows oslanjaju se na digitalne potpise koji se provjeravaju u dvije različite operativne faze:

  1. Provjera sigurnog pokretanja prije pokretanja: Prije učitavanja sustava Windows UEFI programska oprema provjerava digitalni potpis programa za pokretanje sustava Windows (kao što je bootmgfw.efi i cdboot.efi) u odnosu na pouzdane izvore u bazi dopuštenih potpisa (DB).

  2. Provjera vremena izvođenja operacijskog sustava Windows: Nakon pokretanja sustava Windows, jezgra operacijskog sustava i sigurnosne značajke provjeravaju digitalne potpise Authenticode upravljačkih programa (.sys), sistemskih servisa i binarnih datoteka aplikacija (.exe, .dll).

Od 19. listopada 2026. nastupio je planirani istek certifikata Microsoft Windows Production PCA 2011, a Microsoft je obje domene za potpisivanje prenio u moderne ustanove za izdavanje certifikata:

Ažuriranja sigurnog pokretanja i bootloadera (prije pokretanja)

In-Windows operacijskog sustava Binarno potpisivanje i potpisivanje kataloga (Izvođenje)

  • Prijelaz na zamjenske autoritete za potpisivanje: Sadržaj operacijskog sustava Windows (uključujući binarne datoteke s ugrađenim potpisima Authenticode i komponente čiju je autentičnost potvrđena putem potpisanih sigurnosnih kataloga sustava Windows) prelazi s povlači se na zamjenske Microsoftove ustanove za izdavanje certifikata. Imajte na umu da će se potpisivanje ustanova za izdavanje certifikata i dalje mijenjati u budućnosti kako se kriptografski standardi i prakse potpisivanja razvijaju.

  • Prekid binarnog potpisivanja PCA 2011: Od 19. listopada 2026. Microsoft više ne potpisuje digitalne potpise nijednog binarnog ni sigurnosnog kataloga pomoću PCA certifikata 2011. Postojeće binarne oznake koje su već instalirane na sustavima nastavit će se normalno izvršavati, ali neće primati daljnja ažuriranja potpisana certifikatom 2011.

  • Implikacije kontrole aplikacija i alata za provjeru: Prilagođeni pravilnici kontrole aplikacija za tvrtke (WDAC), potpisani sigurnosni katalozi ili alati za provjeru CI/CD-a koji pouzdane podatke prikvačuju na autoritet PCA 2011 mogu blokirati ažurirane binarne datoteke. Smjernice za pregled pravilnika i provjeru softvera drugih proizvođača opisane su u odjeljku Operativna razmatranja i mogući utjecaj .

Operativna razmatranja i potencijalni učinak

Iako podržane, potpuno ažurirane instalacije sustava Windows prelaze bez problema, tvrtke ili ustanove koje primjenjuju prilagođene pravilnike kontrole aplikacija, kanale za provjeru međuverzija ili određene provjere certifikata za potpisivanje moraju procijeniti sljedeća operativna područja:

Pravilnici za kontrolu aplikacija (Kontrola aplikacija za tvrtke / WDAC)

Ako vaša tvrtka ili ustanova koristi kontrolu aplikacija za tvrtke ili potpisane sigurnosne kataloge, pregledajte pravilnike za pravila koja autoriziraju kod koji je Microsoft potpisao određena ustanova za izdavanje certifikata, izdavač ili otisak certifikata, kao što je Microsoft Windows Production PCA 2011. Budući da su ažurirane binarne datoteke i sigurnosni katalozi sustava Windows potpisani zamjenskim ustanovama za izdavanje certifikata, a ne PCA certifikatom verzije 2011, datoteke možda neće odgovarati tim pravilima i mogu biti blokirane prilikom provođenja. Imajte na umu da su tijela za izdavanje certifikata za binarno potpisivanje i dalje podložna promjenama u budućnosti:

  • Mogući simptomi: Neuspješno instaliranje kumulativnih sigurnosnih ažuriranja, neuspjeh servisa tijekom pokretanja, izvršne aplikacije ili DLL blokovi i događaj integriteta koda 3077 u zapisniku događaja.

  • Agilnost certifikata i buduće promjene: Dok ažurirane binarne datoteke i sigurnosni katalozi sustava Windows prelaze na tijela za zamjenu, potpisivanje certifikata i ustanova za odobravanje certifikata mijenjat će se u budućnosti kako kriptografski standardi napreduju. Zbog toga se pravilnicima kontrole aplikacija i sigurnosnim katalozima ne smije prikvačivati na određene ustanove za izdavanje certifikata, predmete ili otiske prstiju, već bi se umjesto toga trebala koristiti dobro poznata pravila izdavača ili nasljeđivanje pravilnika koja ostaju kompatibilna dok Microsoft s vremenom rotira certifikate za potpisivanje.

  • Potrebna radnja: U XML pravilnika potražite pravila potpisnika koja se pozivaju na Microsoftove ustanove za izdavanje certifikata, uključujući pravila naslijeđena iz oglednih osnovnih pravilnika. Najprije implementirajte promjene pravilnika u nadzornom načinu i pregledajte rezultate prije nego što ih primijenite. Detaljne korake pregleda pravilnika i smjernice za ekosustav potražite u članku Priprema ekosustava Windows za potpisivanje koda nove generacije.

Aplikacije s prilagođenom provjerom valjanosti certifikata, CI/CD kanalima i sigurnosnim softverom

To ne utječe na većinu aplikacija sustava Windows. Aplikacije su u opasnosti samo ako koriste prilagođenu provjeru valjanosti vezanu uz određene Microsoftove certifikate ili algoritme potpisivanja ili ako održavaju privatno pouzdano spremište. Tvrtke ili ustanove koje upravljaju aplikacijama sustava Windows, CI/CD kanalima ili sigurnosnim alatima drugih proizvođača trebale bi procijeniti sljedeća područja (imajući na umu da su tijela za izdavanje certifikata binarnog potpisivanja podložna promjenama u budućnosti):

  • Provjera valjanosti certifikata prilagođene aplikacije: Za svaku aplikaciju ili servis koji provodi prilagođenu provjeru valjanosti i pretpostavlja da postoji PCA 2011, provjerava valjanost određenih lanaca certifikata, prikvačuje na subjekte certifikata ili se oslanja na fiksne karakteristike potpisivanja može doći do pogrešaka ili može odbaciti datoteke koje je Microsoft potpisao, a koje Windows prepoznaje kao pouzdane. Ažurirajte provjeru valjanosti aplikacije tako da upotrebljava podržane API-je za pouzdanost sustava Windows (kao što je WinVerifyTrust) umjesto prilagođenih provjera povezanih s fiksnim certifikatima ili algoritmima potpisivanja.

  • Softver koji koristi privatna pouzdana spremišta: Provjerite ima li svaka aplikacija, spremnik ili servis koji održavaju privatno pouzdano spremište proces za prepoznavanje legitimnih rotacija Microsoftovih certifikata.

  • Provjera valjanosti međuverzije i CI/CD kanali: Automatizirana vrata međuverzije i statički skeneri koji nameću statički popis dopuštenih dopuštenih mogućnosti očekivanih ustanova za izdavanje certifikata mogu prijaviti neuspjele provjere (kao što su pogreške neusklađenosti pravilnika) na nedavno ažuriranim komponentama sustava Windows. Ažuriranje popisa dopuštenih statičnih potpisnika radi prepoznavanja zamjenskih Microsoftovih ustanova za izdavanje certifikata te uspostava postupaka provjere valjanosti u skladu s budućim rotacijama ustanova za izdavanje certifikata u skladu s razvojem standarda potpisivanja.

  • Sigurnosni i antivirusni softver drugih proizvođača: Određeni antivirusni programi, proizvodi za zaštitu krajnjih točaka i zaštitu aplikacija drugih proizvođača izravno pregledavaju potpise servisa Authenticode. Provjerite kod dobavljača softvera da su pregledali i testirali kompatibilnost sa zamjenskim Microsoftovim certifikatima za potpisivanje. Upute za tehničku provjeru potražite u članku Priprema ekosustava Windows za potpisivanje koda nove generacije.

Pokretanje medija na starijem hardveru

Uz buduća medijska izdanja ažuriranja, službeni instalacijski mediji će se prebaciti na pokretanje prema zadanim postavkama pomoću upravitelja pokretanja Windows UEFI CA 2023:

  • Mogući simptomi: Pokretanje ažuriranog medija na fizičkom hardveru čija UEFI oprema nema certifikat 2023 u bazi dopuštenih potpisa (DB) neće uspjeti zbog kršenja sigurnog pokretanja.

  • Potrebna radnja: Za stariji hardver bez ažuriranog OEM-ovog BIOS-a koji smatra certifikat 2023 pouzdanim, pružit će se skripta za vraćanje medija za konfiguriranje medija za pokretanje pomoću zamrznutog bootloadera 2011.

Pokretanje medija i ponašanje postavljanja unutar OS-a

Prijelaz instalacijskog medija i postavljanje operacijskog sustava razlikuje se između postojećih verzija sustava Windows i budućih izdanja sustava Windows:

Instalacijski medij za postojeće verzije sustava Windows

  • Zadani put pokretanja na instalacijskom mediju: Buduća izdanja instalacijskih medija za trenutačno podržane verzije sustava Windows postavit će Windows Boot Manager potpisan za 2023. na \EFI\Boot\bootx64.efi kao zadanu datoteku za pokretanje medija za pokretanje.

  • Vraćanje medija za stariju opremu: Instalacijski medij pakira binarne datoteke za pokretanje potpisane 2023. i potpisane 2011., zadržavajući postojeću strukturu direktorija na mediju i ciljnu EFI sistemsku particiju (ESP). Za hardver za koji su potrebne datoteke za pokretanje sustava 2011 ponudit će se skripta za vraćanje medija za konfiguriranje medija za pokretanje pomoću zamrznutog upravitelja pokretanja verzije 2011.

  • Ponašanje nadogradnje uz zadržavanje postojećeg stanja: Prilikom izvođenja nadogradnje uz zadržavanje postojećeg stanja Program za instalaciju sustava Windows pregledava bazu podataka s dopuštenim potpisima (DB) opreme. Ako oprema već smatra Windows UEFI CA 2023 pouzdanom, Instalacijski program dodjeljuje ciljnu EFI sistemsku particiju (ESP) s upraviteljem pokretanja potpisanim 2023. Ako firmver pouzdan smatra samo PCA 2011, instalacijski program dodjeljuje upravitelj pokretanja s potpisom 2011 radi očuvanja mogućnosti pokretanja. Nakon nadogradnje, standardno održavanje sustava Windows upravlja ažuriranjima certifikata za bazu podataka opreme, a naknadna ažuriranja kvalitete prenose ESP na bootloader 2023 kada se uspostavi pouzdanost firmvera.

  • Prijelaz medija trgovine Azure: slike galerije VM računala Azure prve strane i kanali za implementaciju glavnog računala usklađeni su sa zadanim rasporedom medija za pokretanje za 2023.

Instalacijski medij za buduće verzije sustava Windows

  • U budućim glavnim klijentskim i poslužiteljskim izdanjima sustava Windows, instalacijski medij sadržavat će samo binarne datoteke za pokretanje s potpisom 2023, a binarne datoteke za pokretanje s potpisom 2011 bit će potpuno uklonjene s medija.

  • Preduvjet pouzdanosti opreme za buduća izdanja: Buduća glavna izdanja sustava Windows zahtijevaju certifikat Windows UEFI CA 2023 u firmveru Dopuštena baza podataka potpisa (DB) za pokretanje instalacijskog medija i dovršetak instalacije sustava Windows.

Generiranje medija i rezervne skripte

Upravljanje medijima različitih generacija hardvera podržano je putem sljedećih skripti:

  • Ažuriranje medija niže razine: Za postojeći instalacijski medij za koji je zadani bootloader 2011 ažurirajte medij na zadanu vrijednost bootloadera 2023 pomoću Make2023BootableMedia.ps1. Potpune parametre skripte i upute za preuzimanje potražite u članku Ažuriranje medija za pokretanje sustava Windows radi korištenja PCA2023 potpisanog upravitelja pokretanja.

  • Skripta za vraćanje medija za stariju opremu: Prilikom implementacije medija na sustave s firmverom koji čeka OEM ažuriranje za certifikat 2023, spomenuta skripta za vraćanje medija može konfigurirati medij za pokretanje pomoću zamrznutog bootloadera 2011.

Najčešća pitanja

  • Pokreće li ažuriranje bootloadera oporavak značajke BitLocker?

    Iako održavanje sustava Windows funkcionira za koordiniranje mjerenja platforme tijekom ažuriranja, mogu se pojaviti neočekivani BitLocker upiti za oporavak ovisno o konfiguraciji zaštite uređaja, ponašanju opreme i stanju sustava. Administratori i vlasnici uređaja trebaju osigurati sigurnosno kopiranje BitLocker ključeva oporavka prije primjene bilo kakvih ažuriranja lanca pokretanja, opreme ili sigurnog pokretanja, uključujući mjesečna ažuriranja kvalitete sustava Windows.

  • Kako to utječe na virtualna računala u sustavima Hyper-V, Azure i VMware?

    Virtualna računala s tehnologijom Hyper-V 2. generacije primaju ažurirane certifikate putem standardnih kumulativnih ažuriranja sustava Windows. Pouzdano pokretanje i povjerljivi VM-ovi na servisu Azure primaju ažuriranja putem servisiranja platforme Azure. Za VMware vSphere provjerite jesu li ESXi hostovi i verzije hardvera VM-a ažurirani na izdanja koja uključuju certifikate za 2023. u gost UEFI predlošcima. Pojedinosti potražite u članku Pouzdani VM-ovi za pokretanje i Povjerljivi VM-ovi na Azure.

  • Što se događa ako uređaj nikada ne primi certifikat 2023?

    Uređaj će se i dalje pokretati pomoću zamrznutog bootloadera s potpisom 2011, ali neće primiti nove sigurnosne popravke bootloadera ako se otkriju buduće slabe točke na razini pokretanja. Osim toga, buduća glavna izdanja sustava Windows zahtijevat će certifikat za 2023. u bazi podataka dopuštenih potpisa (DB), a instalacijski medij blokirat će instalaciju na uređajima koji ga nemaju.

Zapisnik promjena
Promjena datuma Opis izmjene
Listopada 22, 2026 Početna publikacija koja se odnosi na istek PCA 2011 za Windows Production PCA 2011. od 19. listopada 2026., zamrzavanje bootloadera, buduća ažuriranja medija za instalaciju, implikacije kontrole aplikacija i alate za rezervnu pretvorbu.