Ngày xuất bản ban đầu: Ngày 22 tháng 10 năm 2026
ID KB: 5132953
Kể từ ngày 19 tháng 10 năm 2026, chứng chỉ Khởi động an toàn của Microsoft ban đầu được cấp vào năm 2011 đã hết hạn 15 năm. Thời hạn này không khiến máy tính ngừng bật hoặc ngăn khởi động Windows. Các thiết bị hiện có tiếp tục khởi động và chạy Windows như bình thường. Để biết thêm chi tiết về cách hết hạn chứng chỉ ảnh hưởng đến thiết bị Windows, hãy xem Khi nào chứng chỉ Khởi động an toàn hết hạn trên thiết bị Windows. Để biết thông tin cơ bản về lịch biểu hết hạn chứng chỉ Khởi động an toàn năm 2026 và cơ quan có thẩm quyền thay thế rộng hơn, hãy xem phần hết hạn chứng chỉ Khởi động an toàn của Windows và các bản cập nhật CA.
Đối tượng mục tiêu
Bài viết này dành cho các chuyên gia CNTT, quản trị viên doanh nghiệp và kỹ sư triển khai những người quản lý nhóm Windows vật lý, khối lượng công việc máy chủ, máy ảo và phương tiện cài đặt.
Nếu bạn là người dùng máy tính gia đình hoặc cá nhân có thiết bị được cập nhật tự động thông qua Windows Update, bạn không cần thực hiện bất kỳ hành động nào được mô tả trong bài viết này. Windows Update tự động quản lý các bản cập nhật chứng chỉ và tệp khởi động cho các thiết bị cá nhân. Để biết hướng dẫn tập trung vào người tiêu dùng, hãy xem các thiết bị Windows dành cho người dùng gia đình, doanh nghiệp và trường học có bản cập nhật do Microsoft quản lý.
Chức năng nào thay đổi?
Để bảo vệ hệ thống chống lại phần mềm độc hại trước khi khởi động và giả mạo trái phép, các tệp thực thi Windows dựa vào chữ ký số được xác minh ở hai giai đoạn hoạt động riêng biệt:
Xác minh Khởi động an toàn trước khi khởi động: Trước khi Windows tải, vi chương trình UEFI xác minh chữ ký số của bộ tải khởi động Windows (chẳng hạn như
bootmgfw.efivà )cdboot.efichống lại các cơ quan được ủy thác trong cơ sở dữ liệu chữ ký được cho phép (DB) của vi chương trình.Xác minh thời gian chạy hệ điều hành trong Windows: Sau khi Windows khởi động, các tính năng bảo mật và nhân hệ điều hành sẽ xác minh chữ ký số Authenticode của trình điều khiển (),
.sysdịch vụ hệ thống và nhị phân ứng dụng (.exe,.dll).
Kể từ ngày 19 tháng 10 năm 2026, chứng chỉ Microsoft Windows Production PCA 2011 đã hết hạn theo lịch trình và Microsoft đã chuyển cả hai tên miền ký sang cơ quan cấp chứng chỉ hiện đại:
Cập nhật Secure Boot và bootloader (trước khi khởi động)
Bộ tải khởi động đóng băng ở dạng nhị phân tĩnh: Bản phát hành Windows Boot Manager cuối cùng đã ký với chứng chỉ 2011 bị đóng băng ở dạng nhị phân tĩnh trên tất cả các nhánh dịch vụ Windows được hỗ trợ và sẽ không nhận được dịch vụ mã hoặc bản vá bảo mật trong tương lai.
Các bản cập nhật bộ tải khởi động trong tương lai yêu cầu Windows UEFI CA 2023: Tất cả các bản vá bảo mật tiếp theo cho bộ tải khởi động Windows đều được ký độc quyền với chuỗi chứng chỉ Windows UEFI CA 2023. Để biết chi tiết về dịch vụ bộ tải khởi động chung, kiểm tra trạng thái thiết bị và theo dõi sổ đăng ký, hãy xem trạng thái cập nhật chứng chỉ Khởi động an toàn trong ứng dụng Bảo mật Windows, Cập nhật khóa đăng ký cho tính năng Khởi động an toàn và hết hạn chứng chỉ Khởi động an toàn Windows và các bản cập nhật CA.
Chuyển tiếp bộ tải khởi động phương tiện cài đặt: Trong bản phát hành phương tiện cập nhật trong tương lai, phương tiện cài đặt do Microsoft phân phối sẽ chuyển sang khởi động theo mặc định với bộ tải khởi động đã ký năm 2023, trong khi vẫn giữ nguyên bộ tải khởi động 2011 bị đóng băng trên phương tiện. Một tập lệnh đảo ngược phương tiện sẽ được cung cấp để cấu hình phương tiện để khởi động với bộ tải khởi động 2011 bị đóng băng cho các hệ thống yêu cầu nó. Kế hoạch phương tiện chi tiết và công cụ đảo ngược được mô tả trong phần Phương tiện khởi động và hành vi thiết lập trong hệ điều hành .
In-Windows hệ điều hành nhị phân và ký danh mục (thời gian chạy)
Chuyển sang cơ quan ký thay thế: Nội dung hệ điều hành Windows (bao gồm các tệp nhị phân có nhúng chữ ký Authenticode và các cấu phần được xác thực thông qua các danh mục bảo mật Windows đã ký) chuyển từ Windows Production PCA 2011 ngừng hoạt động sang cơ quan cấp chứng chỉ Microsoft thay thế. Lưu ý rằng các cơ quan cấp chứng chỉ ký vẫn phải thay đổi trong tương lai khi tiêu chuẩn mã hóa và thực tiễn ký phát triển.
Chấm dứt ký nhị phân PCA 2011: Kể từ ngày 19 tháng 10 năm 2026, Microsoft không còn ký điện tử bất kỳ danh mục nhị phân hoặc danh mục bảo mật nào bằng chứng chỉ PCA 2011. Các nhị phân hiện có đã được cài đặt trên hệ thống tiếp tục thực thi bình thường, nhưng sẽ không nhận được thêm các bản cập nhật được ký với chứng chỉ 2011.
Ý nghĩa của việc kiểm soát ứng dụng và trình xác thực: Các chính sách Kiểm soát Ứng dụng Tùy chỉnh dành cho Doanh nghiệp (WDAC), danh mục bảo mật đã ký hoặc các công cụ xác minh CI/CD gán độ tin cậy vào cơ quan có thẩm quyền PCA 2011 có thể chặn các nhị phân được cập nhật. Hướng dẫn xem lại chính sách và xác minh phần mềm của bên thứ ba được mô tả trong mục Cân nhắc hoạt động và tác động tiềm ẩn .
Cân nhắc hoạt động và tác động tiềm tàng
Mặc dù các bản cài đặt Windows được hỗ trợ, cập nhật đầy đủ chuyển tiếp trơn tru, các tổ chức thực thi các chính sách kiểm soát ứng dụng tùy chỉnh, quy trình xác minh bản dựng hoặc kiểm tra chứng chỉ ký cụ thể phải đánh giá các lĩnh vực hoạt động sau:
Chính sách kiểm soát ứng dụng (App Control for Business / WDAC)
Nếu tổ chức của bạn sử dụng Kiểm soát Ứng dụng dành cho Doanh nghiệp hoặc các danh mục bảo mật đã ký, hãy xem lại các chính sách của bạn để biết các quy tắc ủy quyền mã do Microsoft ký bởi một cơ quan cấp chứng chỉ, người cấp hoặc hình thu nhỏ cụ thể, chẳng hạn như Microsoft Windows Production PCA 2011. Vì các danh mục bảo mật và nhị phân Windows được cập nhật được ký với các cơ quan cấp chứng chỉ thay thế - chứ không phải chứng chỉ PCA 2011 - các tệp có thể không khớp với các quy tắc này và có thể bị chặn khi được thực thi. Lưu ý rằng cơ quan cấp chứng chỉ ký nhị phân vẫn có thể thay đổi trong tương lai:
Các dấu hiệu có thể xảy ra: Các bản cập nhật bảo mật tích lũy không cài đặt được, dịch vụ không thực hiện được trong khi khởi động, tệp thực thi ứng dụng hoặc các khối DLL và Sự kiện tính toàn vẹn của mã 3077 trong nhật ký sự kiện.
Sự linh hoạt của chứng chỉ và các thay đổi trong tương lai: Trong khi các danh mục bảo mật và nhị phân Windows được cập nhật chuyển sang cơ quan có thẩm quyền thay thế, chứng chỉ ký và cơ quan cấp chứng chỉ sẽ thay đổi trong tương lai khi các tiêu chuẩn mật mã hóa phát triển. Vì lý do này, các chính sách Kiểm soát Ứng dụng và danh mục bảo mật nên tránh ghim vào cơ quan cấp chứng chỉ, đối tượng hoặc hình thu nhỏ cụ thể và thay vào đó, sử dụng các quy tắc nhà phát hành phổ biến hoặc kế thừa chính sách vẫn tương thích khi Microsoft xoay vòng chứng chỉ ký theo thời gian.
Hành động bắt buộc: Tìm kiếm XML chính sách của bạn cho các quy tắc người ký tham chiếu đến Microsoft CA, bao gồm các quy tắc được thừa kế từ các chính sách cơ sở mẫu. Triển khai các thay đổi chính sách trong chế độ kiểm tra trước và xem lại kết quả trước khi thực thi. Để biết các bước đánh giá chính sách chi tiết và hướng dẫn hệ sinh thái, hãy xem Chuẩn bị Hệ sinh thái Windows cho việc ký mã thế hệ tiếp theo.
Các ứng dụng có xác thực chứng chỉ tùy chỉnh, đường ống CI/CD và phần mềm bảo mật
Hầu hết các ứng dụng Windows không bị ảnh hưởng. Các ứng dụng chỉ gặp rủi ro khi chúng sử dụng xác thực tùy chỉnh gắn với chứng chỉ Microsoft hoặc thuật toán ký cụ thể hoặc nếu chúng duy trì kho tin cậy riêng. Các tổ chức quản lý các ứng dụng Windows, đường ống CI/CD hoặc công cụ bảo mật của bên thứ ba nên đánh giá các lĩnh vực sau (lưu ý rằng các cơ quan cấp chứng chỉ ký nhị phân vẫn có thể thay đổi trong tương lai):
Xác thực chứng chỉ ứng dụng tùy chỉnh: Bất kỳ ứng dụng hoặc dịch vụ nào thực hiện xác thực tùy chỉnh và giả định sự hiện diện của PCA 2011, xác thực chuỗi chứng chỉ cụ thể, ghim vào đối tượng chứng chỉ hoặc dựa vào các đặc tính ký cố định đều có thể gặp lỗi hoặc từ chối các tệp được Microsoft ký mà Windows công nhận là đáng tin cậy. Cập nhật xác thực ứng dụng để sử dụng các API tin cậy của Windows được hỗ trợ (chẳng hạn như WinVerifyTrust) thay vì các kiểm tra tùy chỉnh gắn với các chứng chỉ cố định hoặc thuật toán ký.
Phần mềm sử dụng kho tin cậy riêng: Xác minh rằng bất kỳ ứng dụng, bộ chứa hoặc dịch vụ nào duy trì kho lưu trữ tin cậy riêng tư đều có quy trình nhận dạng các vòng xoay chứng chỉ hợp pháp của Microsoft.
Xác thực bản dựng và quy trình CI/CD: Các cổng bản dựng tự động và trình quét tĩnh thực thi danh sách cho phép tĩnh của cơ quan cấp chứng chỉ dự kiến có thể báo cáo lỗi xác minh (chẳng hạn như lỗi không khớp chính sách) trên các cấu phần Windows mới được cập nhật. Cập nhật danh sách cho phép của người ký tĩnh để nhận dạng cơ quan cấp chứng chỉ Microsoft thay thế và thiết lập các quy trình xác minh phù hợp với việc luân chuyển cơ quan cấp chứng chỉ trong tương lai khi tiêu chuẩn ký phát triển.
Phần mềm bảo mật và chống vi-rút của bên thứ ba: Một số sản phẩm diệt vi-rút, bảo vệ điểm cuối và bảo vệ ứng dụng của bên thứ ba sẽ kiểm tra trực tiếp chữ ký của Authenticode. Xác nhận với nhà cung cấp phần mềm của bạn rằng họ đã xem xét và kiểm tra tính tương thích với chứng chỉ ký Microsoft thay thế. Để biết hướng dẫn trình xác thực kỹ thuật, hãy xem Chuẩn bị Hệ sinh thái Windows cho việc ký mã thế hệ tiếp theo.
Triển khai phương tiện khởi động trên phần cứng cũ hơn
Với các bản phát hành phương tiện cập nhật trong tương lai, phương tiện cài đặt chính thức sẽ chuyển sang khởi động theo mặc định với Trình quản lý khởi động Windows UEFI CA 2023:
Các triệu chứng có thể xảy ra: Việc khởi động phương tiện được cập nhật trên phần cứng vật lý có vi chương trình UEFI thiếu chứng chỉ 2023 trong cơ sở dữ liệu chữ ký được phép (DB) sẽ không thành công do vi phạm Khởi động an toàn.
Hành động bắt buộc: Đối với phần cứng cũ hơn không có BIOS OEM cập nhật tin cậy chứng chỉ 2023, tập lệnh đảo ngược phương tiện sẽ được cung cấp để định cấu hình phương tiện khởi động bằng bộ nạp khởi động 2011 được cố định.
Phương tiện khởi động và hành vi thiết lập trong HĐH
Sự chuyển đổi phương tiện cài đặt và thiết lập hệ điều hành sẽ khác nhau giữa các phiên bản Windows hiện có và các bản phát hành Windows trong tương lai:
Phương tiện cài đặt cho các phiên bản Windows hiện có
Đường dẫn khởi động mặc định trên phương tiện cài đặt: Các bản phát hành phương tiện cài đặt trong tương lai cho các phiên bản Windows hiện được hỗ trợ sẽ tích hợp Trình quản lý khởi động Windows đã ký năm 2023 tại \EFI\Boot\bootx64.efi làm tệp khởi động mặc định để khởi động phương tiện.
Đảo ngược phương tiện cho vi chương trình cũ hơn: Phương tiện cài đặt các gói cả nhị phân khởi động được ký năm 2023 và ký năm 2011, giữ lại cấu trúc thư mục hiện có trên phương tiện và Phân vùng hệ thống EFI (ESP) mục tiêu. Đối với phần cứng yêu cầu các tệp khởi động 2011, một tập lệnh đảo ngược phương tiện sẽ được cung cấp để cấu hình phương tiện để khởi động bằng Trình quản lý khởi động 2011 được đông lạnh.
Hành vi nâng cấp tại chỗ: Khi thực hiện nâng cấp tại chỗ, Windows Setup sẽ kiểm tra cơ sở dữ liệu chữ ký được cho phép (DB) của vi chương trình. Nếu vi chương trình đã tin cậy Windows UEFI CA 2023, Thiết lập cung cấp Phân vùng hệ thống EFI (ESP) mục tiêu với Trình quản lý khởi động được ký năm 2023. Nếu vi chương trình chỉ tin cậy PCA 2011, Thiết lập cung cấp Trình quản lý khởi động được ký năm 2011 để duy trì khả năng khởi động. Sau khi nâng cấp, dịch vụ Windows tiêu chuẩn quản lý các bản cập nhật chứng chỉ cho cơ sở dữ liệu cơ sở dữ liệu và các bản cập nhật chất lượng tiếp theo sẽ chuyển ESP sang bộ tải khởi động 2023 sau khi thiết lập độ tin cậy của vi chương trình.
Chuyển tiếp phương tiện Azure Marketplace: Hình ảnh bộ sưu tập máy ảo của bên thứ nhất Azure và quy trình triển khai máy chủ phù hợp với lịch trình phương tiện khởi động mặc định năm 2023.
Phương tiện cài đặt cho các phiên bản Windows trong tương lai
Trong các bản phát hành máy khách và máy chủ lớn trong tương lai của Windows, phương tiện cài đặt sẽ chỉ tải các nhị phân khởi động được ký năm 2023 và các phần nhị phân khởi động được ký năm 2011 sẽ bị xóa hoàn toàn khỏi phương tiện.
Yêu cầu độ tin cậy của vi chương trình cho các bản phát hành trong tương lai: Các bản phát hành Windows lớn trong tương lai yêu cầu chứng chỉ Windows UEFI CA 2023 trong cơ sở dữ liệu chữ ký được phép (DB) của vi chương trình để khởi động phương tiện cài đặt và hoàn tất Thiết lập Windows.
Tập lệnh dự phòng và tạo phương tiện
Hỗ trợ quản lý đa phương tiện trên các thế hệ phần cứng khác nhau thông qua các tập lệnh sau:
Cập nhật phương tiện cấp dưới: Đối với phương tiện cài đặt hiện có mặc định là bộ tải khởi động 2011, hãy cập nhật phương tiện để mặc định thành bộ tải khởi động 2023 bằng cách sử dụngMake2023BootableMedia.ps1. Để biết các tham số tập lệnh đầy đủ và hướng dẫn tải xuống, hãy xem Cập nhật phương tiện có thể khởi động Windows để sử dụng trình quản lý khởi động được ký PCA2023.
Tập lệnh đảo ngược phương tiện cho vi chương trình cũ hơn: Khi triển khai phương tiện trên các hệ thống có chương trình cơ sở đang chờ bản cập nhật OEM cho chứng chỉ 2023, tập lệnh đảo ngược phương tiện được đề cập có thể định cấu hình phương tiện để khởi động bằng cách sử dụng bộ tải khởi động 2011 được đóng băng.
Câu hỏi thường gặp
Cập nhật bộ tải khởi động có kích hoạt khôi phục BitLocker không?
Mặc dù dịch vụ Windows hoạt động để điều phối các phép đo nền tảng trong khi cập nhật, lời nhắc khôi phục BitLocker không mong muốn có thể xảy ra tùy thuộc vào cấu hình bộ bảo vệ thiết bị, hành vi vi chương trình và trạng thái hệ thống. Quản trị viên và chủ sở hữu thiết bị nên đảm bảo các khóa khôi phục BitLocker được sao lưu an toàn trước khi áp dụng bất kỳ chuỗi khởi động, chương trình cơ sở hoặc bản cập nhật Khởi động an toàn nào, bao gồm các bản cập nhật chất lượng Windows hàng tháng.Máy ảo bị ảnh hưởng như thế nào trong Hyper-V, Azure và VMware?
Các VM Hyper-V thế hệ 2 nhận được chứng chỉ cập nhật thông qua các bản cập nhật Windows tích lũy tiêu chuẩn. Azure Trusted Launch và Confidential VMs nhận các bản cập nhật thông qua dịch vụ nền tảng Azure. Đối với VMware vSphere, hãy đảm bảo các phiên bản phần cứng máy chủ ESXi và máy ảo được cập nhật lên các bản phát hành bao gồm chứng chỉ 2023 trong các mẫu UEFI dành cho khách. Để biết chi tiết, hãy xem các VM khởi chạy được tin cậy và VM bí mật trong Azure.Điều gì xảy ra nếu một thiết bị không bao giờ nhận được chứng chỉ 2023?
Thiết bị sẽ tiếp tục khởi động bằng cách sử dụng bộ tải khởi động đã ký năm 2011 bị đóng băng, nhưng sẽ không nhận được bản sửa lỗi bảo mật bộ tải khởi động mới nếu phát hiện thấy các lỗ hổng ở cấp độ khởi động trong tương lai. Ngoài ra, các bản phát hành Windows lớn trong tương lai sẽ yêu cầu chứng chỉ 2023 trong cơ sở dữ liệu chữ ký được phép (DB) và phương tiện cài đặt sẽ chặn cài đặt trên các thiết bị thiếu chứng chỉ.
Các nối kết liên quan
Hết hạn chứng chỉ Khởi động an toàn Windows và các bản cập nhật CA (KB5062710)
Khi chứng chỉ Khởi động an toàn hết hạn trên thiết bị Windows
Chuẩn bị cho hệ sinh thái Windows cho việc ký mã thế hệ tiếp theo
Hướng dẫn quản trị CNTT: Trạng thái cập nhật chứng chỉ Khởi động an toàn
Nhật ký thay đổi
| Thay đổi ngày | Thay đổi mô tả |
|---|---|
| Ngày 22 tháng 10 năm 2026 | Ấn phẩm ban đầu về việc hết hạn PC 2011 sản xuất Windows ngày 19 tháng 10 năm 2026, bộ tải khởi động bị treo, các bản cập nhật phương tiện cài đặt trong tương lai, ý nghĩa kiểm soát ứng dụng và các công cụ chuyển đổi dự phòng. |