Windows Production CA 2011 vervaldatum en bootloader-updates

Van toepassing op
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Oorspronkelijke publicatiedatum: 22 oktober 2026
KB-id: 5132953

Vanaf 19 oktober 2026 hebben Microsoft Secure Boot-certificaten die oorspronkelijk zijn uitgegeven in 2011 de vervaldatum van 15 jaar bereikt. Deze vervaldatum zorgt er niet voor dat computers stoppen met inschakelen of voorkomen dat Windows wordt opgestart. Bestaande apparaten blijven Windows gewoon opstarten en uitvoeren. Voor meer informatie over de invloed van het verlopen van certificaten op Windows-apparaten, raadpleegt u Wanneer certificaten voor beveiligd opstarten verlopen op Windows-apparaten. Zie Windows Secure Boot-certificaatverloop en CA-updates voor achtergrondinformatie over het bredere verloopschema van 2026 Secure Boot-certificaten en vervangende instanties.

Doelgroep

Dit artikel is bedoeld voor IT-professionals, bedrijfsbeheerders en implementatietechnici die fysieke Windows-vloten, serverworkloads, virtuele machines en installatiemedia beheren.

Als u een gebruiker van een thuiscomputer of pc bent wiens apparaat automatisch wordt bijgewerkt via Windows Update, hoeft u geen actie te ondernemen die in dit artikel wordt beschreven. Windows Update beheert automatisch certificaat- en opstartbestandsupdates voor persoonlijke apparaten. Zie Windows-apparaten voor thuisgebruikers, bedrijven en scholen met door Microsoft beheerde updates voor consumenten.

Wat verandert er?

Om systemen te beschermen tegen malware vóór het opstarten en ongeoorloofde manipulatie, zijn uitvoerbare bestanden in Windows afhankelijk van digitale handtekeningen die in twee verschillende operationele fasen zijn geverifieerd:

  1. Verificatie voor beveiligd opstarten vóór het opstarten: Voordat Windows wordt geladen, vergelijkt UEFI-firmware de digitale handtekening van de Windows-bootloader (zoals bootmgfw.efi en cdboot.efi) aan de hand van vertrouwde instanties in de firmware Allowed signature database (DB).

  2. Runtimeverificatie van het Windows-besturingssysteem: Nadat Windows is opgestart, controleren de kernel en beveiligingsfuncties van het besturingssysteem de digitale handtekeningen van stuurprogramma's (.sys), systeemservices en binaire toepassingsbestanden (.exe, .dll).

Vanaf 19 oktober 2026 heeft het certificaat voor Microsoft Windows Production PCA 2011 de geplande verlopen bereikt en heeft Microsoft beide ondertekenende domeinen overgezet naar moderne certificeringsinstanties:

Updates voor Secure Boot en bootloader (pre-boot)

  • Bootloader bevriest in statische binaire vorm: De definitieve versies van Windows Boot Manager die zijn ondertekend met het 2011-certificaat, worden in statische binaire vorm geblokkeerd in alle ondersteunde Windows-onderhoudsvertakkingen en zullen in de toekomst geen codeonderhoud of beveiligingspatches ontvangen.

  • Voor toekomstige bootloader-updates is Windows UEFI CA 2023 vereist: Alle volgende beveiligingspatches voor de Windows-bootloader worden exclusief ondertekend met de Windows UEFI CA 2023-certificaatketen. Zie voor meer informatie over algemeen onderhoud van bootloaders, statuscontroles van apparaten en het bijhouden van het register de updatestatus van het Secure Boot-certificaat in de Windows-beveiliging-app, registersleutelupdates voor Secure Boot en het verlopen van Windows Secure Boot-certificaat en CA-updates.

  • Installatiemedia bootloader overgang: In een toekomstige updatemediarelease zullen door Microsoft gedistribueerde installatiemedia standaard overgaan op opstarten met de in 2023 ondertekende bootloader, terwijl de vastgelopen bootloader uit 2011 op media behouden blijft. Er wordt een media-omkeringsscript geleverd om media te configureren om op te starten met de bevroren 2011-bootloader voor systemen die dit vereisen. Gedetailleerde mediaplannen en omkeerhulpprogramma's worden beschreven in de sectie Opstartmedia en in-OS setup-gedrag .

In-Windows besturingssysteem binair en catalogusondertekening (runtime)

  • Overgang naar vervangende ondertekeningsinstanties: De inhoud van het Windows-besturingssysteem (inclusief binaire bestanden met ingesloten Authenticode-handtekeningen en onderdelen die zijn geverifieerd via ondertekende Windows-beveiligingscatalogi) gaat over van de buiten gebruik gestelde Windows-productie-PCA 2011 naar vervangende Microsoft-certificeringsinstanties. Houd er rekening mee dat certificeringsinstanties voor ondertekening in de toekomst aan verandering onderhevig blijven naarmate cryptografische standaarden en ondertekeningspraktijken zich ontwikkelen.

  • Stopzetting van de binaire ondertekening van PCA 2011: Vanaf 19 oktober 2026 ondertekent Microsoft geen binaire of beveiligingscatalogi meer digitaal met behulp van het PCA-certificaat 2011. Bestaande binaire bestanden die al op systemen zijn geïnstalleerd, blijven normaal werken, maar ontvangen geen verdere updates die met het 2011-certificaat zijn ondertekend.

  • Implicaties voor toepassingscontrole en verificator: Custom App Control for Business (WDAC)-beleid, ondertekende beveiligingscatalogi of CI/CD-verificatietools die vertrouwen vastmaken aan de PCA 2011-autoriteit, kunnen bijgewerkte binaire bestanden blokkeren. Richtlijnen voor het controleren van beleid en het controleren van software van derden worden beschreven in de sectie Operationele overwegingen en mogelijke impact .

Operationele overwegingen en mogelijke impact

Hoewel ondersteunde, volledig bijgewerkte Windows-installaties soepel overgaan, moeten organisaties die aangepast beleid voor toepassingsbeheer, pijplijnen voor buildverificatie of specifieke controles op handtekeningcertificaten afdwingen, de volgende operationele gebieden evalueren:

Beleid voor toepassingsbeheer (App Control for Business / WDAC)

Als uw organisatie app-beheer voor bedrijven of ondertekende beveiligingscatalogi gebruikt, raadpleegt u uw beleid voor regels die door Microsoft ondertekende code door een specifieke certificeringsinstantie, uitgever of vingerafdruk autoriseren, zoals Microsoft Windows Production PCA 2011. Omdat bijgewerkte binaire bestanden en beveiligingscatalogi van Windows worden ondertekend met vervangende certificeringsinstanties (en niet met het PCA-certificaat van 2011), voldoen bestanden mogelijk niet aan deze regels en kunnen ze worden geblokkeerd wanneer ze worden afgedwongen. Houd er rekening mee dat binaire handtekeningcertificeringsinstanties in de toekomst aan verandering onderhevig blijven:

  • Mogelijke symptomen: Cumulatieve beveiligingsupdates die niet kunnen worden geïnstalleerd, services die niet tijdens het opstarten werken, uitvoerbare toepassings- of DLL-blokken en code-integriteitsgebeurtenis 3077 in het gebeurtenislogboek.

  • Flexibiliteit van certificaten en toekomstige veranderingen: Terwijl bijgewerkte binaire bestanden en beveiligingscatalogi van Windows overgaan naar vervangende instanties, zullen handtekeningcertificaten en certificeringsinstanties in de toekomst veranderen naarmate de cryptografische standaarden zich verder ontwikkelen. Om deze reden moeten beleid voor app-beheer en beveiligingscatalogi voorkomen dat ze worden vastgemaakt aan specifieke certificeringsinstanties, onderwerpen of vingerafdrukken, maar moeten in plaats daarvan bekende uitgeversregels of beleidsovername worden gebruikt die compatibel blijven wanneer Microsoft certificaten in de loop van de tijd rouleert.

  • Vereiste actie: Zoek in de XML van uw beleid naar regels voor ondertekenaars die verwijzen naar certificeringsinstanties van Microsoft, inclusief regels die zijn overgenomen van voorbeeldbasisbeleid. Implementeer beleidswijzigingen eerst in de controlemodus en controleer de resultaten voordat u gaat afdwingen. Zie Preparing the Windows Ecosystem for Next-Generation Code Signing (Het Windows-ecosysteem voorbereiden voor ondertekening van code van de volgende generatie) voor gedetailleerde stappen voor beleidsherziening en richtlijnen voor het ecosysteem.

Toepassingen met aangepaste certificaatvalidatie, CI/CD-pijplijnen en beveiligingssoftware

De meeste Windows-toepassingen worden niet beïnvloed. Toepassingen lopen alleen risico als ze gebruikmaken van aangepaste validatie die is gekoppeld aan specifieke Microsoft-certificaten of ondertekeningsalgoritmen, of als ze een persoonlijke vertrouwensstore onderhouden. Organisaties die Windows-toepassingen, CI/CD-pijplijnen of beveiligingshulpprogramma's van derden beheren, moeten de volgende gebieden evalueren (waarbij wordt opgemerkt dat binaire handtekeningcertificaatinstanties in de toekomst aan verandering onderhevig blijven):

  • Validatie van aangepaste toepassingscertificaten: Elke toepassing of service die aangepaste validatie uitvoert en ervan uitgaat dat PCA 2011 aanwezig is, specifieke certificaatketens valideert, certificaatonderwerpen vastmaakt of vertrouwt op vaste ondertekeningskenmerken, kan fouten vertonen of door Microsoft ondertekende bestanden weigeren die Windows herkent als vertrouwd. Werk toepassingsvalidatie bij om ondersteunde Windows-vertrouwde API's (zoals WinVerifyTrust) te gebruiken in plaats van aangepaste controles die zijn gekoppeld aan vaste certificaten of ondertekeningsalgoritmen.

  • Software die gebruik maakt van particuliere truststores: Controleer of elke toepassing, container of service die een persoonlijke vertrouwensstore onderhoudt, een proces heeft om legitieme Microsoft-certificaatrotaties te herkennen.

  • Bouw validatie- en CI/CD-pijplijnen: Geautomatiseerde buildgates en statische scanners die een statische acceptatielijst van verwachte certificeringsinstanties afdwingen, kunnen verificatiefouten melden (zoals fouten die niet overeenkomen in beleid) voor onlangs bijgewerkte Windows-onderdelen. Werk de acceptatielijsten van statische ondertekenaars bij om vervangende Microsoft-certificeringsinstanties te herkennen en stel verificatieprocessen in die geschikt zijn voor toekomstige rotaties van certificeringsinstanties naarmate de ondertekeningsstandaarden zich ontwikkelen.

  • Beveiligings- en antivirussoftware van derden: Bepaalde antivirus-, eindpuntbeveiligings- en toepassingsbeveiligingsproducten van derden inspecteren Authenticode-handtekeningen rechtstreeks. Bevestig bij uw softwareleveranciers dat ze de compatibiliteit met vervangende Microsoft-handtekeningcertificaten hebben gecontroleerd en getest. Zie Preparing the Windows Ecosystem for Next-Generation Code Signing (Het Windows-ecosysteem voorbereiden op codeondertekening van de volgende generatie) voor richtlijnen voor technische verificateurs.

Media-implementatie opstarten op oudere hardware

Met toekomstige updatemediareleases worden officiële installatiemedia standaard overgezet naar opstarten met Windows UEFI CA 2023 Boot Manager:

  • Mogelijke symptomen: Het opstarten van bijgewerkte media op fysieke hardware waarvan de UEFI-firmware het 2023-certificaat in de database voor toegestane handtekeningen (DB) mist, mislukt met een schending van beveiligd opstarten.

  • Vereiste actie: Voor oudere hardware zonder een bijgewerkt OEM-BIOS dat het 2023-certificaat vertrouwt, wordt een script voor mediaterugdraaiing geleverd om de media te configureren om op te starten met de bevroren 2011-bootloader.

Opstartmedia en in-OS setup-gedrag

De overgang van installatiemedia en besturingssysteeminstallatie verschilt tussen bestaande Windows-versies en toekomstige Windows-versies:

Installatiemedia voor bestaande Windows-versies

  • Standaard opstartpad op installatiemedia: Toekomstige installatiemediareleases voor momenteel ondersteunde versies van Windows zullen de in 2023 ondertekende Windows Boot Manager op \EFI\Boot\bootx64.efi plaatsen als het standaard opstartbestand voor het opstarten van media.

  • Media terugzetten voor oudere firmware: Installatiemediapakketten zowel 2023- als 2011-ondertekende opstartbinaries, waarbij de bestaande mapstructuur op de media en de EFI-systeempartitie (ESP) behouden blijven. Voor hardware waarvoor 2011 opstartbestanden vereist is, wordt een media reversion script geleverd om de media te configureren om op te starten met behulp van de vastgelopen 2011 Boot Manager.

  • Gedrag van in-place upgrades: Bij het uitvoeren van een in-place upgrade inspecteert Windows Setup de firmware Allowed Signature Database (DB). Als de firmware de Windows UEFI CA 2023 al vertrouwt, voorziet Setup de EFI-systeempartitie (ESP) met de in 2023 ondertekende Opstartmanager. Als de firmware alleen PCA 2011 vertrouwt, voorziet Setup de 2011-ondertekende Boot Manager om de opstartcapaciteit te behouden. Na de upgrade beheert standaard Windows-onderhoud certificaatupdates naar de firmwaredatabase en daaropvolgende kwaliteitsupdates brengen de ESP over naar de 2023-bootloader zodra het firmwarevertrouwen is vastgesteld.

  • Media-overgang van Azure Marketplace: installatiekopieën van VM-galerieën van Azure first-party en pijplijnen voor hostimplementatie worden afgestemd op het standaardschema voor opstartmedia voor 2023.

Installatiemedia voor toekomstige Windows-versies

  • In toekomstige grote client- en serverversies van Windows zullen installatiemedia alleen 2023-ondertekende opstartbinaire bestanden bevatten, en 2011-ondertekende opstartbinaire bestanden zullen volledig van de media worden verwijderd.

  • Firmwarevertrouwensvereiste voor toekomstige versies: Voor toekomstige grote versies van Windows is het Windows UEFI CA 2023-certificaat in de firmware Allowed Signature Database (DB) vereist om installatiemedia op te starten en Windows Setup te voltooien.

Mediageneratie en terugvalscripts

Mediabeheer van verschillende hardwaregeneraties wordt ondersteund via de volgende scripts:

  • Media van een lagere versie bijwerken: Voor bestaande installatiemedia die standaard worden ingesteld op de 2011-bootloader, moet u het media bijwerken naar de standaard-2023-bootloader met behulp van Make2023BootableMedia.ps1. Voor volledige scriptparameters en downloadinstructies, zie Windows opstartbare media bijwerken om de PCA2023 ondertekende opstartmanager te gebruiken.

  • Media reversion script voor oudere firmware: Bij het implementeren van media op systemen met firmware die wacht op een OEM-update voor het 2023-certificaat, kan het genoemde script voor mediaterugdraaiing de media configureren om op te starten met behulp van de geblokkeerde 2011-bootloader.

Veelgestelde vragen

  • Leidt het bijwerken van de bootloader tot BitLocker-herstel?

    Hoewel Windows-onderhoud werkt om platformmetingen tijdens updates te coördineren, kunnen onverwachte BitLocker-herstelprompts optreden, afhankelijk van de configuratie van de apparaatbeveiliging, het gedrag van de firmware en de systeemstatus. Beheerders en apparaateigenaren moeten ervoor zorgen dat er een veilige back-up wordt gemaakt van BitLocker-herstelsleutels voordat opstartketen-, firmware- of Secure Boot-updates worden toegepast, inclusief maandelijkse Windows-kwaliteitsupdates.

  • Hoe worden virtuele machines beïnvloed in Hyper-V, Azure en VMware?

    Hyper-V VM's van generatie 2 ontvangen bijgewerkte certificaten via standaard cumulatieve Windows-updates. VM's van Azure Trusted Launch en Confidential ontvangen updates via onderhoud van het Azure-platform. Zorg er voor VMware vSphere voor dat ESXi-hosts en VM-hardwareversies worden bijgewerkt naar releases die de 2023-certificaten bevatten in gast-UEFI-sjablonen. Zie Vertrouwde start-VM's en Vertrouwelijke VM's in Azure voor meer informatie.

  • Wat gebeurt er als een apparaat nooit het certificaat voor 2023 ontvangt?

    Het apparaat blijft opstarten met behulp van de vastgelopen 2011-ondertekende bootloader, maar het ontvangt geen nieuwe bootloader-beveiligingspatches als toekomstige kwetsbaarheden op opstartniveau worden ontdekt. Bovendien vereisen toekomstige grote releases van Windows het certificaat voor 2023 in de database voor toegestane handtekeningen (DB) en installatiemedia blokkeren de installatie op apparaten die dit niet hebben.

Wijzigingenlogboek
Datum wijzigen Beschrijving van wijziging
22 oktober 2026 Eerste publicatie over het verlopen van de Windows-productie PCA 2011 van 19 oktober 2026, het bevriezen van de bootloader, toekomstige updates van installatiemedia, implicaties voor toepassingsbeheer en terugvalconversieprogramma's.