Windows Production CA 2011 uplynutie platnosti a aktualizácie zavádzacieho programu

Vzťahuje sa na
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Pôvodný dátum publikovania: Októbra 22, 2026
ID KB: 5132953

Od 19. októbra 2026 certifikáty zabezpečeného spustenia spoločnosti Microsoft pôvodne vydané v roku 2011 dosiahli svoju 15-ročnú platnosť. Uplynutie platnosti počítača nespôsobí, že sa počítače prestanú zapnúť alebo zabraňujú spusteniu Windowsu. Existujúce zariadenia sa naďalej spúšťajú a Windows bežne funguje. Podrobnejšie informácie o tom, ako uplynutie platnosti certifikátu ovplyvňuje zariadenia s Windowsom, nájdete v téme Pri uplynutí platnosti certifikátov zabezpečeného zavedenia systému v zariadeniach s Windowsom. Informácie o širšom pláne vypršania platnosti certifikátu zabezpečeného zavedenia systému 2026 a orgánoch nahrádzania nájdete v časti Uplynutie platnosti certifikátu zabezpečeného zavedenia systému Windows a aktualizácie CA.

Cieľová skupina

Tento článok je určený pre IT profesionálov, podnikových správcov a technikov nasadenia, ktorí spravujú fyzické flotily Windowsu, pracovné zaťaženia serverov, virtuálne počítače a inštalačné médiá.

Ak ste používateľ domáceho alebo osobného počítača, ktorého zariadenie sa automaticky aktualizuje prostredníctvom služby Windows Update, nemusíte vykonať žiadne kroky popísané v tomto článku. Windows Update automaticky spravuje aktualizácie certifikátov a spúšťacích súborov pre osobné zariadenia. Pokyny zamerané na spotrebiteľov nájdete v téme Zariadenia s Windowsom pre domácich používateľov, podniky a školy s aktualizáciami spravovanými spoločnosťou Microsoft.

Čo sa mení?

Na ochranu systémov pred malvérom pred spustením systému a neoprávnenou manipuláciou využívajú spustiteľné súbory Windowsu digitálne podpisy overené v dvoch rôznych prevádzkových fázach:

  1. Overenie zabezpečeného spustenia pred spustením: Pred načítaním Windowsu firmvér UEFI overí digitálny podpis zavádzacieho programu Windows (ako bootmgfw.efi napríklad a cdboot.efi) dôveryhodnými autoritami v databáze povolených podpisov (DB) firmvéru.

  2. Overenie v režime runtime operačného systému Windows: Po spustení systému Windows jadro operačného systému a funkcie zabezpečenia overujú digitálne podpisy Authenticode ovládačov (.sys), systémových služieb a binárnych súborov aplikácií (.exe, .dll).

Od 19. októbra 2026 certifikát Microsoft Windows Production PCA 2011 dosiahol plánované uplynutie platnosti a spoločnosť Microsoft prešla na moderné certifikačné autority:

Aktualizácie zabezpečeného zavedenia systému a bootloadera (pred spustením)

In-Windows binárne podpisovanie a podpisovanie katalógu (runtime) operačného systému

  • Prechod na náhradné podpisové orgány: Obsah operačného systému Windows (vrátane binárnych súborov s vloženými podpismi Authenticode a súčastí overených prostredníctvom podpísaných katalógov zabezpečenia systému Windows) prechádza z vyradenia produktu Windows Production PCA 2011 na náhradné certifikačné autority Microsoft. Upozorňujeme, že podpisové certifikačné autority podliehajú v budúcnosti zmenám s vývojom kryptografických štandardov a postupov podpisovania.

  • Ukončenie podpisovania binárnych údajov PCA 2011: Od 19. októbra 2026 už spoločnosť Microsoft digitálne nepodpisuje žiadny binárny ani bezpečnostný katalóg pomocou certifikátu PCA 2011. Existujúce binárne súbory, ktoré sú už v systémoch nainštalované, sa naďalej spúšťajú normálne, ale nebudú dostávať ďalšie aktualizácie podpísané certifikátom 2011.

  • Dôsledky ovládania aplikácie a overovača: Vlastné politiky riadenia aplikácií pre podniky (WDAC), podpísané katalógy zabezpečenia alebo nástroje na overenie CI/CD, ktoré pripínajú dôveru k autorite PCA 2011, môžu blokovať aktualizované binárne súbory. Pokyny na kontrolu politík a overovanie softvéru tretích strán sú opísané v časti Prevádzkové aspekty a potenciálny vplyv .

Prevádzkové aspekty a potenciálny vplyv

Zatiaľ čo podporované plne aktualizované inštalácie Windowsu prechádzajú hladko, organizácie, ktoré vynucujú vlastné politiky kontroly aplikácií, kanály overovania zostáv alebo špecifické kontroly podpisových certifikátov, musia vyhodnotiť nasledujúce prevádzkové oblasti:

Politiky ovládania aplikácií (Ovládanie aplikácií pre podniky/WDAC)

Ak vaša organizácia používa riadenie aplikácií pre podniky alebo podpísané katalógy zabezpečenia, pozrite si politiky pravidiel, ktoré povoľujú kód podpísaný spoločnosťou Microsoft konkrétnou certifikačnou autoritou, vydavateľom alebo kryptografickým odtlačkom, ako je napríklad Microsoft Windows Production PCA 2011. Keďže aktualizované binárne súbory a katalógy zabezpečenia Windowsu sú podpísané náhradnými certifikačnými autoritami – a nie certifikátom PCA 2011 – súbory nemusia zodpovedať týmto pravidlám a pri presadzovaní pravidiel môžu byť blokované. Všimnite si, že binárne podpisové certifikačné autority sa v budúcnosti môžu aj naďalej meniť:

  • Možné príznaky: Zlyhanie kumulatívnej aktualizácie zabezpečenia, zlyhanie služieb pri spúšťaní, blokovanie súborov DLL aplikácie a udalosť integrity kódu 3077 v denníku udalostí.

  • Flexibilita certifikátov a budúce zmeny: Zatiaľ čo aktualizované binárne súbory a katalógy zabezpečenia Windowsu prechádzajú na náhradné autority, podpisové certifikáty a certifikačné autority sa budú v budúcnosti meniť s pokrokom kryptografických štandardov. Z tohto dôvodu by sa politiky riadenia aplikácií a katalógy zabezpečenia nemali pripínať ku konkrétnym certifikačným autoritám, predmetom alebo odtlačkom prstov, ale mali by namiesto toho používať známe pravidlá alebo dedenie politík vydavateľa, ktoré zostávajú kompatibilné, aj keď spoločnosť Microsoft postupne strieda podpisové certifikáty.

  • Požadovaná akcia: V kóde XML politiky sa vyhľadajú pravidlá pre signatárov, ktoré odkazujú na certifikačné autority spoločnosti Microsoft vrátane pravidiel zdedených z príkladov základných politík. Zmeny politiky najskôr zaveďte v režime auditu a pred vykonaním kontroly výsledkov. Podrobné kroky revízie politiky a sprievodné materiály ekosystému nájdete v téme Príprava ekosystému Windowsu na podpisovanie kódu ďalšej generácie.

Aplikácie s vlastným overovaním certifikátov, kanálmi CI/CD a softvérom zabezpečenia

Väčšina aplikácií pre Windows nie je ovplyvnená. Aplikácie sú vystavené riziku len vtedy, ak používajú vlastné overovanie viazané na konkrétne certifikáty spoločnosti Microsoft alebo podpisové algoritmy, alebo ak majú súkromný ukladací priestor dôveryhodnosti. Organizácie, ktoré spravujú aplikácie systému Windows, kanály CI/CD alebo nástroje zabezpečenia tretích strán, by mali zvážiť nasledujúce oblasti (upozorňujeme, že autority binárnych podpisových certifikátov sa budú v budúcnosti aj naďalej meniť):

  • Overenie vlastného certifikátu aplikácie: Každá aplikácia alebo služba, ktorá vykonáva vlastné overovanie a predpokladá prítomnosť PCA 2011, overuje špecifické reťazce certifikátov, pripne subjekty certifikátu alebo sa spolieha na pevné vlastnosti podpisovania, môže zaznamenať zlyhanie alebo odmietnuť súbory podpísané spoločnosťou Microsoft, ktoré Windows rozpozná ako dôveryhodné. Aktualizujte overenie aplikácie, aby sa používali podporované rozhrania API dôveryhodnosti systému Windows (napríklad WinVerifyTrust) namiesto vlastných kontrol viazaných na pevné certifikáty alebo podpisové algoritmy.

  • Softvér využívajúci súkromné ukladacie priestory dôveryhodných fondov: Overte, či každá aplikácia, kontajner alebo služba, ktorá spravuje súkromný ukladací priestor dôveryhodnosti, používa proces na rozpoznávanie legitímnych rotácií certifikátov spoločnosti Microsoft.

  • Overenie zostavy a kanály CI/CD: Brány automatizovaných zostáv a statické skenery, ktoré vynucujú statický zoznam povolených certifikačných autorít, môžu hlásiť zlyhania overovania (napríklad chyby nezhody politík) novo aktualizovaných súčastí systému Windows. Aktualizovať zoznamy povolených statických podpisovateľov na rozpoznávanie náhradných certifikačných autorít spoločnosti Microsoft a zaviesť overovacie procesy, ktoré sa prispôsobia budúcim rotáciám certifikačných autorít počas vývoja štandardov podpisovania.

  • Bezpečnostný a antivírusový softvér tretích strán: Niektoré antivírusové produkty, ochranu koncových bodov a ochranu aplikácií tretích strán priamo kontrolujú podpisy Authenticode. Overte si u svojich dodávateľov softvéru, že skontrolovali a otestovali kompatibilitu s náhradnými podpisovými certifikátmi Microsoft. Pokyny pre technické overovače nájdete v téme Príprava ekosystému Windowsu na podpisovanie kódu ďalšej generácie.

Nasadenie spúšťacích médií na staršom hardvéri

S budúcimi mediálnymi vydaniami aktualizácií sa oficiálne inštalačné médium začne predvolene spúšťať so správcom spustenia Windows UEFI CA 2023:

  • Možné príznaky: Spustenie aktualizovaných médií na fyzickom hardvéri, ktorého firmvér UEFI nemá certifikát 2023 v databáze povolených podpisov (DB), zlyhá s narušením zabezpečeného zavedenia systému.

  • Požadovaná akcia: V prípade staršieho hardvéru bez aktualizovaného systému BIOS OEM, ktorý dôveruje certifikátu 2023, bude poskytnutý skript na vrátenie média na konfiguráciu média na spustenie pomocou zmrazeného zavádzacieho programu 2011.

Spúšťacie médiá a správanie nastavenia v operačnom systéme

Prenos inštalačného média a inštalácie operačného systému sa líši medzi existujúcimi verziami Windowsu a budúcimi vydaniami Windowsu:

Inštalačné médium pre existujúce verzie Windowsu

  • Predvolená cesta spúšťania inštalačného média: Budúce vydania inštalačných médií pre aktuálne podporované verzie Windowsu pripravia Správcu spustenia Windows podpísaného v roku 2023 na adrese \EFI\Boot\bootx64.efi ako predvolený spúšťací súbor pre zavádzacie médium.

  • Reverzia médií pre starší firmvér: Inštalačné médium zahŕňa zavádzacie binárne súbory s podpisom 2023 aj 2011, pričom zachovávajú existujúcu štruktúru adresárov na médiu a cieľovom systémovom oddiele EFI (ESP). Pre hardvér vyžadujúci spúšťacie súbory verzie 2011 bude k dispozícii skript na vrátenie média na konfiguráciu média na spustenie pomocou zmrazeného správcu spustenia verzie 2011.

  • Správanie inovácie na mieste: Pri vykonávaní priamej inovácie inštalátor systému Windows skontroluje firmvér databázy povolených podpisov (DB). Ak už firmvér dôveruje Windows UEFI CA 2023, inštalátor zriaďuje cieľový systémový oddiel EFI (ESP) pomocou správcu spustenia podpísaného v roku 2023. Ak firmvér dôveruje iba PCA 2011, inštalátor zriadi správcu spustenia podpísaného verziou 2011 na zachovanie možnosti spúšťania. Po inovácii štandardný servis systému Windows spravuje aktualizácie certifikátov databázy firmvéru a následné kvalitatívne aktualizácie po vytvorení dôvery firmvéru prevedú ESP na zavádzací program 2023.

  • Prechod médií do lokality Azure Marketplace: Obrazy galérie virtuálnych počítačov Azure prvej strany a kanály nasadenia hostiteľa sú v súlade s predvoleným plánom zavádzania médií na rok 2023.

Inštalačné médium pre budúce verzie Windowsu

  • V budúcich hlavných klientskych a serverových vydaniach Windowsu budú inštalačné médiá obsahovať iba binárne súbory spustenia podpísané rokom 2023 a binárne súbory spustenia podpísané 2011 budú z média úplne odstránené.

  • Požiadavky na dôveryhodnosť firmvéru pre budúce vydania: Budúce hlavné vydania Windowsu vyžadujú certifikát Windows UEFI CA 2023 v firmvéri Povolená databáza podpisov (DB) na spustenie inštalačného média a dokončenie inštalácie systému Windows.

Generovanie médií a záložné skripty

Správa médií v rámci rôznych generácií hardvéru je podporovaná prostredníctvom nasledujúcich skriptov:

  • Aktualizácia médií nižšej verzie: V prípade existujúceho inštalačného média, ktoré je predvolene nastavené na zavádzací program 2011, aktualizujte médium na predvolené spúšťací program 2023 pomocou Make2023BootableMedia.ps1. Úplné parametre skriptu a pokyny na stiahnutie nájdete v téme Aktualizácia spúšťacieho média systému Windows na používanie PCA2023 podpísaného správcu spúšťania.

  • Skript reverzie médií pre starší firmvér: Pri nasadzovaní médií do systémov s firmvérom čakajúcim na aktualizáciu OEM pre certifikát 2023 môže uvedený skript reverzie médií nakonfigurovať médium na spustenie pomocou zmrazeného zavádzacieho programu 2011.

Najčastejšie otázky

  • Spustí aktualizácia zavádzacieho programu obnovenie šifrovania BitLocker?

    Zatiaľ čo údržba systému Windows funguje na koordinácii meraní platformy počas aktualizácií, v závislosti od konfigurácie ochrany zariadenia, správania firmvéru a stavu systému sa môžu vyskytnúť neočakávané výzvy na obnovenie šifrovania BitLocker. Správcovia a vlastníci zariadení by mali zabezpečiť, aby boli kľúče na obnovenie šifrovania BitLocker bezpečne zálohované pred použitím akejkoľvek aktualizácie zavádzacej reťazca, firmvéru alebo zabezpečeného spustenia vrátane mesačných kvalitatívnych aktualizácií Windowsu.

  • Aký vplyv majú virtuálne počítače v Hyper-V, Azure a VMware?

    Virtuálne počítače Hyper-V 2. generácie dostávajú aktualizované certifikáty prostredníctvom štandardných kumulatívnych aktualizácií Windowsu. Dôveryhodné spúšťanie Azure a dôverné virtuálne počítače dostávajú aktualizácie prostredníctvom servisu platformy Azure. V prípade VMware vSphere sa uistite, že hostitelia ESXi a verzie hardvéru VM sú aktualizované na vydania, ktoré obsahujú certifikáty 2023 v šablónach hosťovského UEFI. Podrobnosti nájdete v témach Dôveryhodné spúšťacie virtuálne počítače a Dôverné virtuálne počítače v Azure.

  • Čo sa stane, ak zariadenie nikdy nedostane certifikát 2023?

    Zariadenie sa bude aj naďalej spúšťať pomocou zmrazeného zavádzacieho programu podpísaného v roku 2011, ale v prípade budúceho zistenia nedostatočného zabezpečenia na úrovni spustenia nedostáva nové opravy zabezpečenia. Okrem toho budúce hlavné vydania Windowsu budú vyžadovať certifikát 2023 v databáze povolených podpisov (DB) a inštalačné médium zablokuje inštaláciu v zariadeniach, ktoré ho nemajú.

Zoznam zmien
Zmeniť dátum Popis zmeny
Októbra 22, 2026 Počiatočná publikácia zahŕňajúca uplynutie platnosti PCA 2011 Windows Production z 19. októbra 2026, zmrazenie zavádzacieho programu, budúce aktualizácie inštalačných médií, dôsledky ovládania aplikácií a záložné nástroje na konverziu.