Windows Production CA 2011 förfallodatum och uppdateringar för startprogram.

Gäller för
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Ursprungligt publiceringsdatum: Den 22 oktober 2026
KB-ID: 5132953

Från och med den 19 oktober 2026 har Microsoft Secure Boot-certifikat som ursprungligen utfärdades 2011 nått sitt 15-åriga förfallodatum. Den här förfallotiden gör inte att datorer slutar startas eller hindrar Windows från att starta. Befintliga enheter fortsätter att starta och köra Windows normalt. Mer information om hur certifikatets förfallodatum påverkar Windows-enheter finns i När Secure Boot-certifikat upphör att gälla på Windows-enheter. Bakgrundsinformation om det bredare förfalloschemat för certifikat för säker start 2026 och ersättningsutfärdare finns i förfallodatum för Windows Secure Boot-certifikat och CA-uppdateringar.

Målgrupp

Den här artikeln är avsedd för IT-proffs, företagsadministratörer och distributionstekniker som hanterar fysiska Windows-flottor, serverarbetsbelastningar, virtuella datorer och installationsmedia.

Om du är hemanvändare eller personlig datoranvändare vars enhet uppdateras automatiskt via Windows Update behöver du inte vidta någon åtgärd som beskrivs i den här artikeln. Windows Update hanterar automatiskt uppdateringar av certifikat och startfiler för personliga enheter. Konsumentfokuserad vägledning finns i Windows-enheter för hemanvändare, företag och skolor med Microsoft-hanterade uppdateringar.

Vad är det som förändras?

För att skydda system mot skadlig kod före start och obehörig manipulering förlitar sig körbara Windows-filer på digitala signaturer som verifierats i två olika driftsfaser:

  1. Verifiering av säker start före start: Innan Windows läses in verifierar den inbyggda UEFI-programvaran den digitala signaturen för Windows bootloader (till exempel bootmgfw.efi och cdboot.efi) mot betrodda utfärdare i databasen med tillåten signatur (DB) för den inbyggda programvaran.

  2. Körningsverifiering i Windows-operativsystemet: När Windows har startats kontrollerar operativsystemets kernel och säkerhetsfunktioner de digitala Authenticode-signaturerna för drivrutiner (.sys), systemtjänster och binärfiler för program (.exe, .dll).

Från och med den 19 oktober 2026 har Microsoft Windows Production PCA 2011-certifikatet nått sitt schemalagda förfallodatum och Microsoft har överfört båda signeringsdomänerna till moderna certifikatutfärdare:

Uppdateringar av säker start och startprogram (före start)

  • Bootloader fryser i statisk binär form: De slutliga Windows Boot Manager-utgåvorna som signerats med 2011-certifikatet är låsta i statisk binär form på alla Windows-underhållsgrenar som stöds och kommer inte att få framtida kodunderhåll eller säkerhetskorrigeringar.

  • Framtida uppdateringar av startprogramhanteraren kräver Windows UEFI CA 2023: Alla efterföljande säkerhetskorrigeringar för Windows-starthanteraren signeras exklusivt med certifikatkedjan Windows UEFI CA 2023. Mer information om allmän bootloader-service, enhetsstatuskontroller och registerspårning finns i Uppdateringsstatus för certifikat för säker start i Windows-säkerhet -appen, registernyckeluppdateringar för säker start och förfallodatum för Windows Secure Boot-certifikat och CA-uppdateringar.

  • Övergång med starthanterare för installationsmedia: I en framtida medieversion av uppdateringar övergår Microsoft-distribuerade installationsmedia till att starta som standard med den 2023-signerade starthanteraren, samtidigt som den frysta starthanteraren för 2011 behålls på mediet. Ett skript för medieåtergång kommer att tillhandahållas för att konfigurera media för uppstart med starthanteraren för frysta 2011 för system som kräver det. Detaljerade medieplaner och verktyg för återversion beskrivs i avsnittet Installationsbeteende för startmedia och i operativsystemet .

In-Windows operativsystemets binär- och katalogsignering (Runtime)

  • Övergång till ersättande signeringsutfärdare: Windows-operativsysteminnehåll (inklusive binärfiler med inbäddade Authenticode-signaturer och komponenter som autentiseras via signerade Windows-säkerhetskataloger) övergår från det Windows Production PCA 2011 som dras tillbaka till Microsoft-certifikatutfärdare. Observera att signeringscertifikatutfärdare kan komma att ändras i framtiden allteftersom kryptografiska standarder och signeringsmetoder utvecklas.

  • Upphörande av PCA 2011 binär signering: Från och med den 19 oktober 2026 signerar Microsoft inte längre någon binär- eller säkerhetskatalog digitalt med hjälp av 2011 PCA-certifikatet. Befintliga binärfiler som redan är installerade på system fortsätter att köras normalt, men får inga ytterligare uppdateringar signerade med 2011-certifikatet.

  • Konsekvenser för programkontroll och verifierare: Anpassade WDAC-principer (App Control for Business), signerade säkerhetskataloger eller CI/CD-verifieringsverktyg som litar på PCA 2011-utfärdaren kan blockera uppdaterade binärfiler. Vägledning om hur du granskar principer och verifierar programvara från tredje part beskrivs i avsnittet Driftsöverväganden och potentiell påverkan .

Operativa överväganden och potentiell påverkan

Fullständigt uppdaterade Windows-installationer med stöd för smidig övergång, men organisationer som tillämpar anpassade principer för programkontroll, pipelines för versionsverifiering eller specifika signeringscertifikatkontroller måste utvärdera följande verksamhetsområden:

Principer för programkontroll (appkontroll för företag/WDAC)

Om din organisation använder appkontroll för företag eller signerade säkerhetskataloger bör du läsa dina principer för regler som auktoriserar Microsoft-signerad kod av en viss certifikatutfärdare, utfärdare eller tumavtryck, till exempel Microsoft Windows Production PCA 2011. Eftersom uppdaterade binärfiler och säkerhetskataloger för Windows signeras med nya certifikatutfärdare – och inte 2011 PCA-certifikatet – kan det hända att filer inte matchar dessa regler och kan blockeras när de tillämpas. Observera att certifikatutfärdare för binär signering kan komma att ändras i framtiden:

  • Potentiella symptom: Kumulativa säkerhetsuppdateringar går inte att installera, tjänster som inte kan startas, körbara programfiler eller DLL-blockeringar och kodintegritetshändelse 3077 i händelseloggen.

  • Certifikatsmidighet och framtida förändringar: Uppdaterade binärfiler och säkerhetskataloger för Windows övergår till ersättningsutfärdare, men signeringscertifikat och certifikatutfärdare kommer att ändras i framtiden allteftersom kryptografiska standarder utvecklas. Därför bör appkontrollprinciper och säkerhetskataloger undvika att fästa på specifika certifikatutfärdare, ämnen eller tumavtryck, och bör i stället använda välkända utgivarregler eller principarv som förblir kompatibla när Microsoft roterar signeringscertifikat över tid.

  • Obligatorisk åtgärd: Sök i princip-XML efter signeringsregler som refererar till Microsoft-certifikatutfärdare, inklusive regler som ärvts från exempel basprinciper. Distribuera principändringar i granskningsläge först och granska resultaten innan du verkställer. Detaljerade steg för principgranskning och ekosystemvägledning finns i Förbereda Windows-ekosystemet för nästa generations kodsignering.

Program med anpassad certifikatvalidering, CI/CD-pipelines och säkerhetsprogramvara

De flesta Windows-program påverkas inte. Program är endast utsatta för risk om de använder anpassad validering som är knuten till specifika Microsoft-certifikat eller signeringsalgoritmer, eller om de har ett privat förtroendearkiv. Organisationer som hanterar Windows-program, CI/CD-pipelines eller säkerhetsverktyg från tredje part bör utvärdera följande områden (observera att certifikatutfärdare för binär signering kan komma att ändras i framtiden):

  • Validering av anpassat programcertifikat: Alla program eller tjänster som utför anpassad verifiering och förutsätter att PCA 2011 finns, validerar specifika certifikatkedjor, fäster på certifikatämnen eller förlitar sig på fasta signeringsegenskaper kan få fel eller avvisa Microsoft-signerade filer som Windows identifierar som betrodda. Uppdatera programverifiering för att använda Windows-förtroende-API:er som stöds (till exempel WinVerifyTrust) i stället för anpassade kontroller som är knutna till fasta certifikat eller signeringsalgoritmer.

  • Programvara som använder privata förtroendebutiker: Kontrollera att alla program, containrar eller tjänster som har ett privat förtroendearkiv har en process för att känna igen legitima Microsoft-certifikatrotationer.

  • Skapa validering och CI/CD-pipelines: Automatiserade versionsgrindar och statiska skannrar som framtvingar en statisk lista över tillåtna certifikatutfärdare kan rapportera verifieringsfel (till exempel principmatchningsfel) på nyligen uppdaterade Windows-komponenter. Uppdatera tillåtelselistor för statiska undertecknare för att identifiera ersättande Microsoft-certifikatutfärdare och upprätta verifieringsprocesser som hanterar framtida rotationer av certifikatutfärdare i takt med att signeringsstandarderna utvecklas.

  • Säkerhets- och antivirusprogram från tredje part: Vissa antivirus-, slutpunktsskydds- och programskyddsprodukter från tredje part inspekterar Authenticode-signaturer direkt. Kontrollera med programvaruleverantörerna att de har granskat och testat kompatibiliteten med ersättningscertifikat från Microsoft. Vägledning för teknisk verifierare finns i Förbereda Windows-ekosystemet för nästa generations kodsignering.

Distribution av startmedia på äldre maskinvara

Med framtida uppdateringsmedieversioner övergår officiella installationsmedier till att starta som standard med Windows UEFI CA 2023 Boot Manager:

  • Potentiella symptom: Startning av uppdaterade media på fysisk maskinvara vars inbyggda UEFI-programvara saknar 2023-certifikatet i databasen med tillåtna signaturer (DB) misslyckas med ett brott mot säker start.

  • Obligatorisk åtgärd: För äldre maskinvara utan ett uppdaterat OEM-BIOS som litar på 2023-certifikatet tillhandahålls ett skript för medieåtergång för att konfigurera mediet för uppstart med den frysta starthanteraren 2011.

Beteende för startmedia och konfiguration i operativsystemet

Övergången mellan installationsmedia och operativsystemkonfiguration skiljer sig åt mellan befintliga Windows-versioner och framtida Windows-versioner:

Installationsmedia för befintliga Windows-versioner

  • Standardstartsökväg på installationsmedia: Framtida installationsmedieversioner för versioner av Windows som stöds för närvarande kommer att mellanlagra den 2023-signerade Windows Boot Manager på \EFI\Boot\bootx64.efi som standardstartfil för startmedia.

  • Återgång av media för äldre inbyggd programvara: Installationsmedia paketerar både 2023-signerade och 2011-signerade startbinärfiler och behåller den befintliga katalogstrukturen på mediet och EFI-målsystempartitionen (ESP). För maskinvara som kräver 2011-startfiler kommer ett skript för medieåtergång att tillhandahållas för att konfigurera mediet att starta med hjälp av frozen 2011 Boot Manager.

  • Uppgraderingsbeteende på plats: När du utför en uppgradering på plats inspekterar installationsprogrammet för Windows den inbyggda databasens tillåtna signatur (DB). Om den inbyggda programvaran redan litar på Windows UEFI CA 2023 etablerar installationsprogrammet EFI-målsystempartitionen (ESP) med den 2023-signerade Boot Manager. Om den inbyggda programvaran endast litar på PCA 2011 etablerar installationsprogrammet den 2011-signerade Boot Manager för att bevara startkapaciteten. Efter uppgraderingen hanterar Standard Windows-underhåll certifikatuppdateringar till databasen för den inbyggda programvaran, och efterföljande kvalitetsuppdateringar överför ESP till 2023-starthanteraren när förtroendet för den inbyggda programvaran har upprättats.

  • Azure Marketplace mediaövergång: Azure VM-galleriavbildningar och värddistributionspipelines från första part överensstämmer med 2023-standardschemat för startmedia.

Installationsmedia för framtida Windows-versioner

  • I framtida större klient- och serverversioner av Windows kommer installationsmedia endast att innehålla 2023-signerade startbinärfiler, och 2011-signerade startbinärfiler kommer att tas bort helt från mediet.

  • Förtroendekrav för inbyggd programvara för framtida versioner: Framtida större versioner av Windows kräver Windows UEFI CA 2023-certifikatet i databasen med tillåten signatur (DB) för inbyggd programvara för att starta installationsmedia och slutföra installationsprogrammet för Windows.

Mediegenerering och reservskript

Mediehantering över olika generationer av maskinvara stöds genom följande skript:

  • Uppdatera äldre media: För befintliga installationsmedia som använder 2011 bootloader som standard uppdaterar du mediet till 2023 bootloader som standard med Make2023BootableMedia.ps1. Fullständiga skriptparametrar och instruktioner för nedladdning finns i Uppdatera startbara Windows för att använda den PCA2023 signerade starthanteraren.

  • Media Reversion Script för äldre firmware: När media distribueras till system med inbyggd programvara som väntar på en OEM-uppdatering för 2023-certifikatet kan det nämnda skriptet för medieåtergång konfigurera mediet att starta med den frysta 2011-starthanteraren.

Vanliga frågor och svar

  • Utlöser uppdatering av starthanteraren BitLocker-återställning?

    Medan Windows-underhåll fungerar för att samordna plattformsmätningar under uppdateringar, kan oväntade BitLocker-återställningsprompter inträffa beroende på enhetsskyddets konfiguration, den inbyggda programvarans beteende och systemets tillstånd. Administratörer och enhetsägare bör se till att BitLocker-återställningsnycklar säkerhetskopieras på ett säkert sätt innan du tillämpar uppdateringar av startkedjor, inbyggd programvara eller säker start, inklusive månatliga kvalitetsuppdateringar för Windows.

  • Hur påverkas virtuella datorer i Hyper-V, Azure och VMware?

    Virtuella Hyper-V-datorer i generation 2 får uppdaterade certifikat via kumulativa Windows-standarduppdateringar. Azure Trusted Launch och konfidentiella virtuella datorer får uppdateringar via Azure Platform Servicing. För VMware vSphere kontrollerar du att ESXi-värdar och maskinvaruversioner för virtuella datorer uppdateras till versioner som innehåller 2023-certifikaten i UEFI-gästmallar. Mer information finns i Betrodda virtuella startdatorer och konfidentiella virtuella datorer i Azure.

  • Vad händer om en enhet aldrig får 2023-certifikatet?

    Enheten kommer att fortsätta att starta med den frysta 2011-signerade bootloadern, men den kommer inte att få nya säkerhetskorrigeringar för bootloader om framtida sårbarheter på startnivå upptäcks. Dessutom kräver framtida större versioner av Windows 2023-certifikatet i databasen med tillåtna signaturer (DB), och installationsmedia blockerar installationen på enheter som saknar det.

Ändringslogg
Ändra datum Beskrivning av ändring
Den 22 oktober 2026 Första publicering som täcker förfallodatumet för Windows Production PCA 2011 den 19 oktober 2026, låsningen av startprogrammet, framtida uppdateringar av installationsmedia, konsekvenser för programkontroll och reservkonverteringsverktyg.