Wygaśnięcie produkcyjnego urzędu certyfikacji systemu Windows 2011 i aktualizacje modułu ładującego

Dotyczy
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Data pierwotnej publikacji: 22 października 2026 r.
Identyfikator KB: 5132953

Od 19 października 2026 r. certyfikaty bezpiecznego rozruchu firmy Microsoft pierwotnie wydane w 2011 r. przekroczyły 15-letnią ważność. To wygaśnięcie nie powoduje, że komputery przestają się włączać ani nie uniemożliwiają uruchomienia systemu Windows. Istniejące urządzenia nadal się uruchamiają i działają z systemem Windows normalnie. Aby uzyskać więcej szczegółowych informacji na temat wpływu wygasania certyfikatu na urządzenia z systemem Windows, zobacz Kiedy wygasają certyfikaty bezpiecznego rozruchu na urządzeniach z systemem Windows. Aby uzyskać informacje na temat szerszego harmonogramu wygasania certyfikatu bezpiecznego rozruchu w 2026 r. i urzędów zastępczych, zobacz Wygaśnięcie certyfikatu bezpiecznego rozruchu systemu Windows i aktualizacje urzędu certyfikacji.

Grupa docelowa

Ten artykuł jest przeznaczony dla informatyków, administratorów przedsiębiorstw i inżynierów wdrażania, którzy zarządzają fizycznymi flotami systemu Windows, obciążeniami serwerów, maszynami wirtualnymi i nośnikami instalacyjnymi.

Jeśli jesteś użytkownikiem komputera osobistego lub domowego, którego urządzenie jest aktualizowane automatycznie przy użyciu usługi Windows Update, nie musisz podejmować żadnych działań opisanych w tym artykule. Usługa Windows Update automatycznie zarządza aktualizacjami certyfikatów i plików startowych dla urządzeń osobistych. Aby uzyskać wskazówki dla konsumentów, zobacz Urządzenia z systemem Windows dla użytkowników domowych, firm i szkół z aktualizacjami zarządzanymi przez firmę Microsoft.

Co się zmienia?

W celu ochrony systemów przed uruchomieniem przez złośliwe oprogramowanie i nieautoryzowaną manipulacją pliki wykonywalne systemu Windows korzystają z podpisów cyfrowych weryfikowanych na dwóch odrębnych etapach działania:

  1. Weryfikacja bezpiecznego rozruchu przed rozruchem: Przed załadowaniem systemu Windows oprogramowanie układowe interfejsu UEFI weryfikuje podpis cyfrowy programu ładującego systemu Windows (taki jak bootmgfw.efi i cdboot.efi) w zaufanych urzędach w bazie danych dozwolonych sygnatur (DB) oprogramowania układowego.

  2. Weryfikacja w środowisku uruchomieniowym systemu operacyjnego Windows: Po uruchomieniu systemu Windows jądro systemu operacyjnego i funkcje zabezpieczeń weryfikują podpisy cyfrowe Authenticode sterowników (.sys), usług systemowych i plików binarnych aplikacji (.exe, .dll).

Od 19 października 2026 r. certyfikat Microsoft Windows Production PCA 2011 osiągnął zaplanowaną ważność, a firma Microsoft przeniosła obie domeny podpisywania do nowoczesnych urzędów certyfikacji:

Aktualizacje bezpiecznego rozruchu i bootloadera (przed uruchomieniem)

  • Bootloader freeze w statycznej postaci binarnej: Ostateczne wersje Menedżera rozruchu systemu Windows podpisane za pomocą certyfikatu 2011 są zamrożone w statycznej postaci binarnej we wszystkich obsługiwanych gałęziach obsługi systemu Windows i nie otrzymają przyszłych poprawek dotyczących obsługi kodu ani zabezpieczeń.

  • Przyszłe aktualizacje bootloadera wymagają Windows UEFI CA 2023: Wszystkie kolejne poprawki bezpieczeństwa dla bootloadera systemu Windows są podpisane wyłącznie łańcuchem certyfikatów Windows UEFI CA 2023. Aby uzyskać szczegółowe informacje na temat ogólnej obsługi programu ładującego, sprawdzania stanu urządzeń i śledzenia rejestru, zobacz stan aktualizacji certyfikatu bezpiecznego rozruchu w aplikacji Zabezpieczenia Windows, aktualizacje kluczy rejestru dla bezpiecznego rozruchu oraz wygaśnięcie certyfikatu bezpiecznego rozruchu systemu Windows i aktualizacje urzędu certyfikacji.

  • Przejście programu ładującego nośnik instalacyjny: W przyszłej wersji nośnika aktualizacji nośnik instalacyjny rozpowszechniany przez firmę Microsoft przejdzie na domyślny rozruch z bootloaderem podpisanym w 2023 r., zachowując zamrożony bootloader 2011 na nośniku. Zostanie udostępniony skrypt przywracania nośników w celu skonfigurowania nośnika do uruchamiania z zamrożonym bootloaderem 2011 dla systemów, które tego wymagają. Szczegółowe plany nośników i narzędzia do przywracania wersji opisano w sekcji Nośniki rozruchowe i zachowanie konfiguracji w systemie operacyjnym .

In-Windows danych binarnych systemu operacyjnego i podpisywanie wykazu (środowisko uruchomieniowe)

  • Przejście do zastępczych organów podpisujących: Zawartość systemu operacyjnego Windows (w tym pliki binarne z osadzonymi podpisami Authenticode i składniki uwierzytelniane za pośrednictwem podpisanych katalogów zabezpieczeń systemu Windows) przechodzi z wycofywanego produkcyjnego systemu Windows PCA 2011 do zastępczych urzędów certyfikacji Microsoft. Należy pamiętać, że podpisujące urzędy certyfikacji mogą podlegać zmianom w przyszłości w miarę rozwoju standardów kryptograficznych i praktyk podpisywania.

  • Zaprzestanie podpisywania binarnego PCA 2011: Od 19 października 2026 r. firma Microsoft nie podpisuje już cyfrowo żadnego katalogu binarnego ani katalogu zabezpieczeń przy użyciu certyfikatu PCA 2011. Istniejące pliki binarne już zainstalowane w systemach będą nadal działać normalnie, ale nie będą otrzymywały dalszych aktualizacji podpisanych certyfikatem 2011.

  • Implikacje dla kontroli aplikacji i weryfikatora: Niestandardowe zasady kontroli aplikacji dla firm (WDAC), podpisane katalogi zabezpieczeń lub narzędzia do weryfikacji ciągłej integracji/ciągłego wdrażania, które przypinają zaufanie do urzędu PCA 2011, mogą blokować zaktualizowane pliki binarne. Wskazówki dotyczące przeglądania zasad i weryfikowania oprogramowania innych firm opisano w sekcji Zagadnienia operacyjne i potencjalny wpływ .

Zagadnienia operacyjne i potencjalny wpływ

Chociaż obsługiwane, w pełni zaktualizowane instalacje systemu Windows przechodzą płynnie, organizacje, które egzekwują niestandardowe zasady kontroli aplikacji, potoki weryfikacji kompilacji lub określone kontrole certyfikatów podpisywania, muszą ocenić następujące obszary operacyjne:

Zasady kontroli aplikacji (Kontrola aplikacji dla firm / WDAC)

Jeśli Twoja organizacja korzysta z kontroli aplikacji dla firm lub podpisanych wykazów zabezpieczeń, przejrzyj zasady dotyczące reguł, które autoryzują kod podpisany przez firmę Microsoft przez określony urząd certyfikacji, wystawcę lub odcisk palca, taki jak Microsoft Windows Production PCA 2011. Ponieważ zaktualizowane pliki binarne systemu Windows i katalogi zabezpieczeń są podpisywane zastępczymi urzędami certyfikacji, a nie certyfikatem PCA 2011, pliki mogą nie spełniać tych reguł i mogą zostać zablokowane w przypadku ich wymuszania. Należy pamiętać, że urzędy certyfikacji podpisywania binarnego mogą ulec zmianie w przyszłości:

  • Potencjalne objawy: niepowodzenie instalacji skumulowanych aktualizacji zabezpieczeń, awaria usług podczas uruchamiania, bloki plików wykonywalnych aplikacji lub bibliotek DLL oraz zdarzenie integralności kodu 3077 w dzienniku zdarzeń.

  • Elastyczność certyfikatów i przyszłe zmiany: Podczas gdy zaktualizowane pliki binarne systemu Windows i katalogi zabezpieczeń są przenoszone do urzędów zastępczych, certyfikaty podpisywania i urzędy certyfikacji będą się zmieniać w przyszłości wraz z rozwojem standardów kryptograficznych. Z tego powodu zasady kontroli aplikacji i katalogi zabezpieczeń powinny unikać przypinania do określonych urzędów certyfikacji, tematów lub odcisków palców, a zamiast tego powinny używać dobrze znanych reguł wydawcy lub dziedziczenia zasad, które pozostają zgodne, ponieważ firma Microsoft zmienia certyfikaty podpisywania w czasie.

  • Wymagane działanie: Przeszukaj kod XML zasad pod kątem reguł osób podpisujących, które odwołują się do urzędów certyfikacji firmy Microsoft, w tym reguł odziedziczonych z przykładowych zasad podstawowych. Najpierw wdróż zmiany zasad w trybie inspekcji i przejrzyj wyniki przed ich wymuszeniem. Aby uzyskać szczegółowe kroki przeglądu zasad i wskazówki dotyczące ekosystemu, zobacz Przygotowywanie ekosystemu Windows do podpisywania kodu nowej generacji.

Aplikacje z niestandardową weryfikacją certyfikatu, potokami ciągłej integracji/ciągłego wdrażania i oprogramowaniem zabezpieczającym

W przypadku większości aplikacji systemu Windows ten problem pozostaje niezmieniony. Aplikacje są zagrożone tylko wtedy, gdy korzystają z niestandardowych testów poprawności powiązanych z określonymi certyfikatami firmy Microsoft lub algorytmami podpisywania albo jeśli utrzymują prywatny magazyn zaufania. Organizacje zarządzające aplikacjami systemu Windows, potokami ciągłej integracji/ciągłego wdrażania lub narzędziami zabezpieczającymi innych firm powinny ocenić następujące obszary (zwracając uwagę, że urzędy certyfikacji podpisywania binarnego mogą ulec zmianie w przyszłości):

  • Weryfikacja certyfikatu aplikacji niestandardowej: W każdej aplikacji lub usłudze, która przeprowadza niestandardową weryfikację i zakłada obecność PCA 2011, weryfikuje określone łańcuchy certyfikatów, przypina do tematów certyfikatów lub opiera się na stałych cechach podpisywania, mogą wystąpić błędy lub odrzucenie plików podpisanych przez firmę Microsoft, które system Windows rozpoznaje jako zaufane. Zaktualizuj sprawdzanie poprawności aplikacji, aby używało obsługiwanych interfejsów API zaufania systemu Windows (takich jak WinVerifyTrust) zamiast niestandardowych testów powiązanych ze stałymi certyfikatami lub algorytmami podpisywania.

  • Oprogramowanie korzystające z zaufanych magazynów prywatnych: Upewnij się, że każda aplikacja, kontener lub usługa, która utrzymuje prywatny magazyn zaufania, ma proces rozpoznawania prawidłowych rotacji certyfikatów firmy Microsoft.

  • Walidacja kompilacji i potoki ciągłej integracji/ciągłego wdrażania: Zautomatyzowane bramy kompilacji i skanery statyczne, które wymuszają statyczną listę dozwolonych oczekiwanych urzędów certyfikacji, mogą zgłaszać błędy weryfikacji (takie jak błędy niezgodności zasad) w nowo zaktualizowanych składnikach systemu Windows. Aktualizowanie statycznych list dozwolonych osób podpisujących w celu rozpoznawania zastępczych urzędów certyfikacji firmy Microsoft oraz ustanowienie procesów weryfikacji uwzględniających przyszłe rotacje urzędów certyfikacji w miarę rozwoju standardów podpisywania.

  • Zabezpieczenia i oprogramowanie antywirusowe innych firm: Niektóre produkty antywirusowe, produkty do ochrony punktów końcowych i aplikacji innych firm bezpośrednio sprawdzają podpisy Authenticode. Potwierdź u dostawców oprogramowania, że przejrzeli i przetestowali zgodność z zastępczymi certyfikatami podpisywania firmy Microsoft. Aby uzyskać wskazówki dotyczące weryfikatora technicznego, zobacz Przygotowywanie ekosystemu Windows do podpisywania kodu nowej generacji.

Rozmieszczanie nośników rozruchowych na starszym sprzęcie

Wraz z przyszłymi wersjami nośników aktualizacji oficjalny nośnik instalacyjny przejdzie domyślnie do rozruchu za pomocą Menedżera rozruchu Windows UEFI CA 2023:

  • Potencjalne objawy: Rozruch zaktualizowanego nośnika na sprzęcie fizycznym, którego oprogramowanie układowe UEFI nie ma certyfikatu 2023 w bazie danych dozwolonych sygnatur (DB), zakończy się niepowodzeniem z naruszeniem bezpiecznego rozruchu.

  • Wymagane działanie: W przypadku starszego sprzętu bez zaktualizowanego systemu BIOS OEM, który ufa certyfikatowi z 2023 r., zostanie udostępniony skrypt przywracania nośnika w celu skonfigurowania nośnika do rozruchu przy użyciu zamrożonego programu ładującego 2011.

Nośnik rozruchowy i zachowanie konfiguracji w systemie operacyjnym

Przejście instalacji nośnika instalacyjnego i konfiguracji systemu operacyjnego różni się w zależności od istniejących wersji systemu Windows i przyszłych wersji systemu Windows:

Nośnik instalacyjny dla istniejących wersji systemu Windows

  • Domyślna ścieżka rozruchu na nośniku instalacyjnym: Przyszłe wersje nośników instalacyjnych dla obecnie obsługiwanych wersji systemu Windows przygotują podpisanego w 2023 r. Menedżera rozruchu systemu Windows w lokalizacji \EFI\Boot\bootx64.efi jako domyślny plik startowy nośnika rozruchowego.

  • Przywracanie nośników dla starszego oprogramowania układowego: Pakiety nośników instalacyjnych, zarówno z plikami binarnymi rozruchu podpisanymi w 2023 r., jak i w 2011 r., z zachowaniem istniejącej struktury katalogów na nośniku i docelowej partycji systemowej EFI (ESP). W przypadku sprzętu wymagającego plików rozruchowych z 2011 roku zostanie udostępniony skrypt przywracania nośnika w celu skonfigurowania nośnika do rozruchu za pomocą zamrożonego Menedżera rozruchu 2011.

  • Zachowanie uaktualnienia w miejscu: Podczas wykonywania uaktualnienia w miejscu Instalator systemu Windows sprawdza bazę danych dozwolonych sygnatur (DB) oprogramowania układowego. Jeśli oprogramowanie układowe ufa już systemowi Windows UEFI CA 2023, instalator aprowizuje docelową partycję systemową EFI (ESP) za pomocą menedżera rozruchu podpisanego w 2023 r. Jeśli oprogramowanie układowe ufa tylko programowi PCA 2011, instalator inicjuje obsługę menedżera rozruchu podpisanego w wersji 2011, aby zachować możliwości uruchamiania. Po uaktualnieniu standardowa obsługa systemu Windows zarządza aktualizacjami certyfikatów w bazie danych oprogramowania układowego, a kolejne aktualizacje jakości przenoszą ESP do programu ładującego 2023 po ustanowieniu zaufania oprogramowania układowego.

  • Przejście na nośniki w usłudze Azure Marketplace: Obrazy galerii własnych maszyn wirtualnych platformy Azure i potoki wdrażania hosta są zgodne z domyślnym harmonogramem nośników rozruchowych 2023.

Nośnik instalacyjny dla przyszłych wersji systemu Windows

  • W przyszłych głównych wersjach klienckich i serwerowych systemu Windows nośniki instalacyjne będą zawierać tylko pliki binarne rozruchu podpisane w 2023 r., a pliki binarne rozruchu podpisane w wersji 2011 zostaną całkowicie usunięte z nośnika.

  • Wymaganie zaufania oprogramowania układowego dla przyszłych wersji: Przyszłe główne wersje systemu Windows wymagają certyfikatu Windows UEFI CA 2023 w bazie danych dozwolonych podpisów oprogramowania układowego (DB) w celu uruchomienia nośnika instalacyjnego i ukończenia instalacji systemu Windows.

Generowanie multimediów i skrypty rezerwowe

Zarządzanie multimediami na różnych generacjach sprzętu jest obsługiwane za pomocą następujących skryptów:

  • Aktualizowanie nośnika niskiego poziomu: W przypadku istniejącego nośnika instalacyjnego, który domyślnie jest bootloaderem 2011, zaktualizuj nośnik do domyślnego bootloadera 2023 za pomocą Make2023BootableMedia.ps1. Aby zapoznać się z pełnymi parametrami skryptu i instrukcjami pobierania, zobacz Aktualizowanie nośnika rozruchowego systemu Windows w celu użycia menedżera rozruchu podpisanego przez PCA2023.

  • Skrypt przywracania multimediów dla starszego oprogramowania układowego: Podczas wdrażania nośników w systemach z oprogramowaniem sprzętowym oczekującym na aktualizację OEM dla certyfikatu 2023, wspomniany skrypt rewersji nośnika może skonfigurować nośnik do rozruchu przy użyciu zamrożonego bootloadera 2011.

Często zadawane pytania

  • Czy aktualizacja bootloadera wyzwala odzyskiwanie funkcji BitLocker?

    Podczas gdy serwisowanie systemu Windows koordynuje pomiary platformy podczas aktualizacji, w zależności od konfiguracji ochrony urządzenia, zachowań oprogramowania układowego i stanu systemu mogą pojawiać się nieoczekiwane monity o przywrócenie sprawności funkcji BitLocker. Administratorzy i właściciele urządzeń powinni upewnić się, że utworzono kopię zapasową kluczy odzyskiwania funkcji BitLocker przed zastosowaniem jakichkolwiek aktualizacji łańcucha rozruchowego, oprogramowania układowego lub bezpiecznego rozruchu, w tym comiesięcznych aktualizacji jakości systemu Windows.

  • Jaki wpływ na maszyny wirtualne ma Hyper-V, Azure i VMware?

    Maszyny wirtualne Hyper-V generacji 2 otrzymują zaktualizowane certyfikaty za pośrednictwem standardowych aktualizacji zbiorczych systemu Windows. Zaufane uruchamianie na platformie Azure i poufne maszyny wirtualne otrzymują aktualizacje za pośrednictwem usług obsługi platformy platformy Azure. W przypadku VMware vSphere upewnij się, że hosty ESXi i wersje sprzętowe maszyn wirtualnych zostały zaktualizowane do wersji zawierających certyfikaty z 2023 r. w szablonach UEFI gościa. Aby uzyskać szczegółowe informacje, zobacz Zaufane maszyny wirtualne uruchamiania i Poufne maszyny wirtualne na platformie Azure.

  • Co się stanie, jeśli urządzenie nigdy nie otrzyma certyfikatu 2023?

    Urządzenie będzie nadal uruchamiać się przy użyciu zamrożonego programu ładującego podpisanego w 2011 r., ale nie otrzyma nowych poprawek zabezpieczeń programu ładującego, jeśli w przyszłości zostaną wykryte luki w zabezpieczeniach na poziomie rozruchu. Ponadto przyszłe główne wersje systemu Windows będą wymagały certyfikatu z 2023 r. w bazie danych dozwolonych sygnatur (DB), a nośnik instalacyjny będzie blokował instalację na urządzeniach, które go nie mają.

Dziennik zmian
Zmień datę Opis zmiany
22 października 2026 r. Wstępna publikacja obejmująca wygaśnięcie produkcyjnego systemu Windows PCA 2011 19 października 2026 r., zawieszanie się bootloadera, przyszłe aktualizacje nośników instalacyjnych, implikacje kontroli aplikacji i narzędzia konwersji rezerwowej.