Дата первоначальной публикации: 22 октября 2026 г.
Идентификатор базы знаний: 5132953
С 19 октября 2026 г. истек срок действия сертификатов безопасной загрузки Майкрософт, первоначально выданных в 2011 г. Это окончание срока действия не приведет к прекращению включения компьютеров или запуску Windows. Существующие устройства продолжают запускаться и работать под управлением Windows в обычном режиме. Дополнительные сведения о том, как окончание срока действия сертификатов влияет на устройства с Windows, см. в статье Когда на устройствах с Windows истекает срок действия сертификатов безопасной загрузки. Дополнительные сведения о более широком расписании истечения срока действия сертификатов безопасной загрузки в 2026 году и центрах замены см. в статье Срок действия сертификатов безопасной загрузки Windows и обновления ЦС.
Целевая аудитория
Эта статья предназначена для ИТ-специалистов, администраторов предприятий и инженеров по развертыванию, которые управляют физическими парками Windows, рабочими нагрузками серверов, виртуальными машинами и установочными носителями.
Если вы являетесь пользователем домашнего или персонального компьютера, устройство которого обновляется автоматически с помощью клиентского компонента Центра обновления Windows, вам не нужно выполнять никаких действий, описанных в этой статье. Клиентский компонент Центра обновления Windows автоматически управляет обновлениями файлов сертификата и запуска для личных устройств. Ориентированные на потребителей руководства см. в разделе "Устройства Windows для домашних пользователей, предприятий и учебных заведений с обновлениями, управляемыми Корпорацией Майкрософт".
Что изменится?
Чтобы защитить системы от предзагрузочных вредоносных программ и несанкционированного взлома, исполняемые файлы Windows используют цифровые подписи, проверенные на двух различных этапах работы:
Проверка безопасной загрузки перед загрузкой: Перед загрузкой Windows встроенное ПО UEFI проверяет цифровую подпись загрузчика Windows (например,
bootmgfw.efiandcdboot.efi) в базе разрешенных сигнатур (DB) встроенного ПО.Проверка среды выполнения операционной системы Windows: После загрузки Windows ядро операционной системы и функции безопасности проверяют цифровые подписи Authenticode драйверов (
.sys), системных служб и двоичных файлов приложений (.exe,.dll).
С 19 октября 2026 г. истекает запланированное окончание срока действия сертификата Microsoft Windows Production PCA 2011, и корпорация Майкрософт перевела оба домена подписи в современные центры сертификации:
Обновления безопасной загрузки и загрузчика (предварительная перезагрузка)
Зависание загрузчика в статической двоичной форме: Последние выпуски диспетчера загрузки Windows, подписанные с помощью сертификата 2011, заморожены в статической двоичной форме во всех поддерживаемых ветвях обслуживания Windows и не будут получать в будущем исправления для обслуживания кода или безопасности.
Для будущих обновлений загрузчика требуется Windows UEFI CA 2023: Все последующие исправления безопасности для загрузчика Windows подписаны исключительно цепочкой сертификатов Windows UEFI CA 2023. Дополнительные сведения об общем обслуживании загрузчика, проверке состояния устройств и отслеживании реестра см. в разделах Состояние обновления сертификата безопасной загрузки в приложении "Безопасность Windows", "Обновления разделов реестра для безопасной загрузки", "Срок действия сертификата безопасной загрузки Windows и обновления ЦС".
Переход загрузчика установочного носителя: В будущем выпуске обновления распространяемый корпорацией Майкрософт установочный носитель перейдет в загрузку по умолчанию с загрузчиком с подписью 2023 года, сохранив при этом замороженный загрузчик 2011 года на носителе. Будет предоставлен сценарий отката мультимедиа для настройки носителя на загрузку с замороженным загрузчиком 2011 для систем, требующих этого. Подробные медиапланы и инструменты отмены описаны в разделе Загрузочный носитель и поведение при установке в ОС .
In-Windows двоичных файлов операционной системы и подписывание каталогов (среда выполнения)
Переход к сменным подписывающим центрам: Содержимое операционной системы Windows (включая двоичные файлы со встроенными подписями Authenticode и компоненты, аутентифицируемые с помощью подписанных каталогов безопасности Windows) переходит от вывода Windows Production PCA 2011 к новым центрам сертификации Майкрософт. Обратите внимание, что центры сертификации подписи могут быть изменены в будущем по мере развития криптографических стандартов и методов подписывания.
Прекращение двоичной подписи PCA 2011: С 19 октября 2026 г. корпорация Майкрософт больше не подписывает цифровую подпись двоичных файлов или каталогов безопасности с помощью сертификата PCA 2011. Существующие двоичные файлы, уже установленные в системах, продолжают работать в обычном режиме, но не будут получать дальнейших обновлений, подписанных вместе с сертификатом 2011.
Последствия для управления приложением и средства проверки: Настраиваемые политики управления приложениями для бизнеса (WDAC), подписанные каталоги безопасности или средства проверки CI/CD, которые прикрепляют отношение доверия к центру PCA 2011, могут блокировать обновленные двоичные файлы. Руководство по просмотру политик и проверке стороннего программного обеспечения описано в разделе "Эксплуатационные аспекты и потенциальное влияние ".
Оперативные соображения и потенциальные последствия
При плавном переходе поддерживаемых и полностью обновленных установок Windows организации, которые применяют настраиваемые политики управления приложениями, конвейеры проверки сборок или определенные проверки сертификатов подписи, должны оценивать следующие операционные области:
Политики управления приложениями (управление приложениями для бизнеса или WDAC)
Если в вашей организации используется управление приложениями для бизнеса или подписанные каталоги безопасности, проверьте свои политики на наличие правил, разрешающих подписанный корпорацией Майкрософт код определенным центром сертификации, издателем или отпечатком пальца, например Microsoft Windows Production PCA 2011. Так как обновленные двоичные файлы Windows и каталоги безопасности подписываются замещающими центрами сертификации, а не сертификатом 2011 PCA, файлы могут не соответствовать этим правилам и могут блокироваться при применении. Обратите внимание, что центры сертификации двоичных подписей могут быть изменены в будущем.
Возможные симптомы: сбой установки накопительных обновлений системы безопасности, сбой служб во время запуска, блокирование исполняемых приложений или библиотек DLL, событие целостности кода 3077 в журнале событий.
Гибкость сертификатов и будущие изменения: В то время как обновленные двоичные файлы Windows и каталоги безопасности переходят в заменяющие центры, сертификаты подписи и центры сертификации будут меняться в будущем по мере развития криптографических стандартов. По этой причине в политиках управления приложениями и каталогах безопасности не следует привязывать их к определенным центрам сертификации, темам или отпечаткам, а вместо этого следует использовать известные правила издателя или наследование политик, которые остаются совместимыми при чередовании сертификатов подписи корпорацией Майкрософт с течением времени.
Требуется действие: Выполните поиск в XML-файле политики правил подписывающей стороны, которые ссылаются на центры сертификации Майкрософт, в том числе правила, унаследованные от примеров базовых политик. Сначала разверните изменения политики в режиме аудита, а затем просмотрите результаты, прежде чем применять. Подробные инструкции по анализу политики и рекомендации по экосистеме см. в разделе Подготовка экосистемы Windows к подписыванию кода следующего поколения.
Приложения с настраиваемой проверкой сертификатов, конвейерами CI/CD и программным обеспечением безопасности
Большинство приложений Windows остаются незатронутыми. Приложения подвергаются риску только в том случае, если они используют настраиваемую проверку, привязанную к определенным сертификатам Майкрософт или алгоритмам подписи, или если они поддерживают частное хранилище доверия. Организациям, управляющим Windows-приложениями, конвейерами CI/CD или сторонними средствами безопасности, следует оценить следующие аспекты (с учетом того, что центры сертификации двоичной подписи могут быть изменены в будущем):
Проверка сертификата пользовательского приложения: Любое приложение или служба, которые выполняют настраиваемую проверку и предполагают наличие PCA 2011, проверяют определенные цепочки сертификатов, закрепляют темы сертификатов или полагаются на фиксированные характеристики подписи, могут столкнуться со сбоями или отклонять подписанные Майкрософт файлы, которые Windows распознает как доверенные. Обновите проверку приложения, чтобы использовать поддерживаемые API доверия Windows (например, WinVerifyTrust) вместо пользовательских проверок, привязанных к фиксированным сертификатам или алгоритмам подписывания.
Программное обеспечение, использующее частные доверительные хранилища: Убедитесь, что любое приложение, контейнер или служба, которые содержат частное хранилище доверия, имеет процесс распознавания законных ротаций сертификатов Майкрософт.
Построение конвейеров проверки и CI/CD: Автоматические шлюзы сборки и статические сканеры, которые принудительно применяют статический список разрешений ожидаемых центров сертификации, могут сообщать о сбоях проверки (например, об ошибках несоответствия политик) для недавно обновленных компонентов Windows. Обновление статических списков разрешений подписывающих листов для выявления заменяющих центров сертификации Майкрософт и создание процессов проверки с учетом будущих ротаций центров сертификации по мере развития стандартов подписывания.
Сторонние программы безопасности и антивирусное программное обеспечение: Некоторые сторонние антивирусные программы, средства защиты конечных точек и приложения проверяют подписи Authenticode напрямую. Обратитесь к поставщикам программного обеспечения, чтобы убедиться, что они проверили и протестировали совместимость с заменяющими сертификатами подписи Майкрософт. Технические рекомендации для средства проверки см. в статье "Подготовка экосистемы Windows к подписыванию кода следующего поколения".
Развертывание загрузочного носителя на старом оборудовании
В будущих выпусках мультимедиа обновления официальные установочные носители перейдут на загрузку по умолчанию с помощью диспетчера загрузки Windows UEFI CA 2023:
Возможные симптомы: Загрузка обновленного носителя на физическом оборудовании, во встроенном ПО UEFI которого отсутствует сертификат 2023 года в базе разрешенных подписей (БД), завершится сбоем с нарушением безопасной загрузки.
Требуется действие: Для старого оборудования без обновленного OEM-BIOS, который доверяет сертификату 2023 года, будет предоставлен сценарий отката носителя для настройки носителя на загрузку с использованием зависшего загрузчика 2011 года.
Поведение загрузочного носителя и настройки в ОС
Смена установочного носителя и настройки операционной системы различается в существующих и будущих выпусках Windows.
Установочный носитель для существующих версий Windows
Путь загрузки по умолчанию на установочном носителе : В будущих выпусках установочных носителей для поддерживаемых в настоящее время версий Windows в качестве файла запуска по умолчанию для загрузочного носителя будет использоваться диспетчер загрузки Windows, подписанный в 2023 г. по адресу \EFI\Boot\bootx64.efi.
Реверсия мультимедиа для более ранних версий встроенного ПО: Пакеты установочных носителей как с подписаниями 2023, так и с подписью 2011, сохраняя существующую структуру каталогов на носителе и в целевом системном разделе EFI (ESP). Для оборудования, требующего файлов загрузки 2011, будет предоставлен сценарий отката носителя для настройки носителя на загрузку с помощью зависшего диспетчера загрузки 2011.
Поведение при обновлении на месте: При обновлении на месте программа установки Windows проверяет базу разрешенных сигнатур (БД) встроенного ПО. Если встроенное ПО уже доверяет Windows UEFI CA 2023, программа установки подготавливает целевой системный раздел EFI (ESP) с помощью диспетчера загрузки, подписанного 2023 годом. Если встроенное ПО доверяет только PCA 2011, программа установки подготавливает диспетчер загрузки с подписью 2011 для сохранения возможности запуска. После обновления стандартное обслуживание Windows управляет обновлениями сертификатов в базе данных встроенного ПО, а последующие исправления переносят ESP в загрузчик 2023 года после установления доверия к встроенному ПО.
Перенос мультимедиа Azure Marketplace: образы коллекции собственных виртуальных машин Azure и конвейеры развертывания хостов соответствуют графику загрузки носителей по умолчанию на 2023 год.
Установочный носитель для будущих версий Windows
В будущих основных клиентских и серверных выпусках Windows установочные носители будут содержать только двоичные файлы загрузки, подписанные 2023 годом, а двоичные файлы загрузки, подписанные 2011 г. будут полностью удалены с носителя.
Требование доверия к встроенному ПО для будущих выпусков: Для будущих основных выпусков Windows требуется сертификат Windows UEFI CA 2023 в базе данных разрешенных сигнатур (БД) во встроенном ПО для загрузки установочного носителя и завершения установки Windows.
Создание мультимедиа и резервные сценарии
Управление мультимедиа на различных поколениях оборудования поддерживается с помощью следующих сценариев:
Обновление носителей прежних версий: Для существующего установочного носителя, на котором по умолчанию используется загрузчик версии 2011, обновите носитель до загрузчика версии 2023 по умолчанию с помощью Make2023BootableMedia.ps1. Полные параметры сценариев и инструкции по скачиванию см. в разделе Обновление загрузочного носителя Windows для использования подписанного диспетчера загрузки PCA2023.
Сценарий реверсии мультимедиа для старых встроенных ПО: При развертывании носителя в системах с прошивкой, ожидающей обновления OEM для сертификата 2023 года, упомянутый сценарий отката мультимедиа может настроить носитель на загрузку с использованием загрузчика frozen 2011.
Вопросы и ответы
Запускает ли обновление загрузчика восстановление BitLocker?
В то время как обслуживание Windows работает для координации измерений платформы во время обновлений, в зависимости от конфигурации защиты устройства, поведения встроенного ПО и состояния системы могут появляться неожиданные запросы на восстановление BitLocker. Администраторам и владельцам устройств следует убедиться, что ключи восстановления BitLocker надежно сохранены, прежде чем применять обновления цепочки загрузки, встроенного ПО или безопасной загрузки, включая ежемесячные исправления Windows.Как это влияет на виртуальные машины в Hyper-V, Azure и VMware?
Виртуальные машины Hyper-V поколения 2 получают обновленные сертификаты в рамках стандартных накопительных обновлений Windows. Доверенный запуск Azure и конфиденциальные виртуальные машины получают обновления через службу обслуживания платформы Azure. Для VMware vSphere убедитесь, что хосты ESXi и версии оборудования виртуальных машин обновлены до выпусков, включающих сертификаты 2023 года в гостевых шаблонах UEFI. Дополнительные сведения см. в статье Виртуальные машины доверенного запуска и конфиденциальные виртуальные машины в Azure.Что произойдет, если устройство так и не получит сертификат 2023 года?
Устройство будет по-прежнему загружаться с использованием заблокированного загрузчика, подписанного 2011 годом, но оно не будет получать новые исправления безопасности загрузчика в случае обнаружения будущих уязвимостей на уровне загрузки. Кроме того, будущие основные выпуски Windows потребуют сертификат 2023 года в базе разрешенных подписей (DB), а установочный носитель будет блокировать установку на устройствах, на которых он отсутствует.
См. также
Окончание срока действия сертификатов безопасной загрузки Windows и обновления ЦС (KB5062710)
Когда на устройствах с Windows истекает срок действия сертификатов безопасной загрузки
Подготовка экосистемы Windows для подписывания кода нового поколения
Руководство ИТ-администратора: состояние обновления сертификата безопасной загрузки
Руководство по устранению неполадок безопасной загрузки (KB5085046)
Журнал изменений
| Изменить дату | Изменить описание |
|---|---|
| 22 октября 2026 г. | Первоначальная публикация, охватывающая окончание срока действия Windows Production PCA 2011 от 19 октября 2026 г., зависание загрузчика, будущие обновления установочных носителей, последствия для управления приложениями и резервные средства преобразования. |