原始发布日期： 2026 年 10 月 22 日
KB ID： 5132953
截至 2026 年 10 月 19 日，最初在 2011 年颁发的 Microsoft 安全启动证书已达到 15 年有效期。 此到期不会导致计算机停止打开或阻止 Windows 启动。 现有设备将继续正常启动和运行 Windows。 有关证书过期如何影响 Windows 设备的更多详细信息，请参阅安全 启动证书在 Windows 设备上过期时。 有关更广泛的 2026 年安全启动证书过期计划和更换机构的背景信息，请参阅 Windows 安全启动证书过期和 CA 更新。
目标受众
本文面向管理物理 Windows 队列、服务器工作负载、虚拟机和安装媒体的 IT 专业人员、企业管理员和部署工程师。
如果你是家庭或个人计算机用户，其设备通过 Windows 更新自动更新，则无需执行本文中描述的任何操作。 Windows 更新自动管理个人设备的证书和启动文件更新。 有关以消费者为中心的指南，请参阅适用于 家庭用户、企业和学校的 Windows 设备，其中包含 Microsoft 管理的更新。
发生了什么变化？
为了保护系统免遭预启动恶意软件和未经授权的篡改，Windows 可执行文件依赖于在两个不同操作阶段验证的数字签名：
预启动安全启动验证： 在 Windows 加载之前，UEFI 固件会验证 Windows 启动加载程序 (
bootmgfw.eficdboot.efi的数字签名，例如，并针对 DB) (允许的签名数据库中的受信任机构进行) 。Windows 操作系统运行时验证： Windows 启动后，操作系统内核和安全功能会验证驱动程序 (
.sys) 、系统服务和应用程序二进制文件的验证码数字签名 (.exe，.dll) 。
截至 2026 年 10 月 19 日，Microsoft Windows 生产 PCA 2011 证书已达到计划的到期时间，Microsoft 已将这两个签名域转换为新式证书颁发机构：
预启动) (安全启动和启动加载程序更新
引导加载程序以静态二进制形式冻结： 使用 2011 证书签名的最终 Windows 引导管理器版本将在所有受支持的 Windows 服务分支中以静态二进制形式冻结，并且不会收到未来的代码服务或安全修补程序。
未来的启动加载程序更新需要 Windows UEFI CA 2023： Windows 启动加载程序的所有后续安全修补程序均使用 Windows UEFI CA 2023 证书链独占签名。 有关常规启动加载程序服务、设备状态检查和注册表跟踪的详细信息，请参阅 Windows 安全中心应用中的安全启动证书更新状态、安全启动的注册表项更新以及 Windows 安全启动证书过期和 CA 更新。
安装媒体启动加载程序转换： 在未来的更新媒体版本中，Microsoft 分发的安装媒体将默认转换为使用 2023 签名的启动加载程序启动，同时在媒体上保留冻结的 2011 启动加载程序。 将提供媒体还原脚本，以配置媒体以在需要它的系统中使用冻结的 2011 启动加载程序启动。 启动媒体和操作系统内设置行为部分介绍了详细的媒体计划和恢复工具。
In-Windows 操作系统二进制文件和目录签名 (运行时)
过渡到替换签名机构： Windows 操作系统内容 (包括具有嵌入式验证码签名的二进制文件以及通过签名的 Windows 安全目录进行身份验证的组件，) 从停用的 Windows 生产 PCA 2011 过渡到替代Microsoft证书颁发机构。 请注意，随着加密标准和签名实践的发展，签名证书颁发机构在未来仍会发生变化。
停止 PCA 2011 二进制签名： 自 2026 年 10 月 19 日起，Microsoft 不再使用 2011 PCA 证书对任何二进制文件或安全目录进行数字签名。 系统上已安装的现有二进制文件将继续正常执行，但将不会收到使用 2011 证书签名的进一步更新。
应用程序控制和验证器影响： 适用于企业的自定义应用控制 (WDAC) 策略、已签名的安全目录或将信任固定到 PCA 2011 颁发机构的 CI/CD 验证工具可能会阻止更新的二进制文件。 有关审查策略和验证第三方软件的指南，请参阅 操作注意事项和潜在影响 部分。
操作注意事项和潜在影响
尽管受支持且完全更新的 Windows 安装可以顺利过渡，但强制实施自定义应用程序控制策略、生成验证管道或特定签名证书检查的组织必须评估以下操作领域：
应用程序控制策略 (适用于企业的应用控制/WDAC)
如果你的组织使用适用于企业的应用控制或已签名的安全目录，请查看你的策略，这些规则授权由特定证书颁发机构、颁发者或指纹（如 Windows 生产 PCA 2011）Microsoft Microsoft签名代码。 由于更新的 Windows 二进制文件和安全目录是使用替换证书颁发机构（而不是 2011 PCA 证书）进行签名，因此文件可能与这些规则不匹配，并且在强制执行时可能会被阻止。 请注意，二进制签名证书颁发机构将来仍可能发生更改：
可能的症状：累积安全更新安装失败、服务在启动过程中失败、应用程序可执行文件或 DLL 块以及事件日志中的代码完整性事件 3077。
证书敏捷性和将来的更改： 虽然更新的 Windows 二进制文件和安全目录会过渡到替换机构，但随着加密标准的进步，签名证书和证书颁发机构将在未来发生更改。 因此，应用控制策略和安全目录应避免固定到特定的证书颁发机构、使用者或指纹，而应改为使用已知的发布者规则或策略继承，这些规则或策略继承会随着 Microsoft 随着时间的推移轮换签名证书而保持兼容。
所需操作： 在策略 XML 中搜索引用 Microsoft CA 的签名者规则，包括从示例基本策略继承的规则。 请先在审核模式下部署策略更改，并在强制实施前查看结果。 有关详细的策略审查步骤和生态系统指南，请参阅 为下一代代码签名准备 Windows 生态系统。
具有自定义证书验证、CI/CD 管道和安全软件的应用程序
大多数 Windows 应用程序不受影响。 仅当应用程序使用与特定 Microsoft 证书或签名算法绑定的自定义验证，或者维护专用信任存储时，应用程序才会面临风险。 管理 Windows 应用程序、CI/CD 管道或第三方安全工具的组织应评估以下方面， (注意二进制签名证书颁发机构在未来) 仍可能发生更改：
自定义应用程序证书验证： 执行自定义验证并假定存在 PCA 2011、验证特定证书链、固定到证书使用者或依赖于固定签名特征的任何应用程序或服务都可能遇到故障或拒绝 Windows 识别为受信任的 Microsoft 签名文件。 更新应用程序验证以使用受支持的 Windows 信任 API (（如 WinVerifyTrust) ），而不是绑定到固定证书或签名算法的自定义检查。
使用专用信任存储的软件： 验证维护专用信任存储的任何应用程序、容器或服务是否具有识别合法 Microsoft 证书轮换的进程。
生成验证和 CI/CD 管道： 自动生成入口和强制实施预期证书颁发机构静态允许列表的静态扫描程序可能会报告验证失败 (例如策略不匹配错误) 新更新的 Windows 组件。 更新静态签名者允许列表以识别替换的 Microsoft 证书颁发机构，并建立验证过程，以适应未来随着签名标准的发展而进行的证书颁发机构轮换。
第三方安全和防病毒软件： 某些第三方防病毒、端点保护和应用程序保护产品直接检查 Authenticode 签名。 与软件供应商确认他们已查看并测试了与替换 Microsoft 签名证书的兼容性。 有关技术验证器指南，请参阅 为下一代代码签名准备 Windows 生态系统。
在旧硬件上启动介质部署
在未来的更新媒体版本中，官方安装媒体将默认转换为使用 Windows UEFI CA 2023 启动管理器启动：
可能症状： 在 UEFI 固件的物理硬件上启动更新的媒体，其允许的签名数据库 (DB) 中缺少 2023 证书将失败，并出现安全启动冲突。
所需操作： 对于没有信任 2023 证书的已更新 OEM BIOS 的旧硬件，将提供媒体恢复脚本，以配置媒体以使用冻结的 2011 启动加载程序启动。
启动媒体和操作系统内设置行为
现有 Windows 版本和将来的 Windows 版本之间安装媒体和操作系统设置的转换有所不同：
用于现有 Windows 版本的安装媒体
安装介质上的默认启动路径： 当前受支持的 Windows 版本的未来安装媒体版本将在 \EFI\Boot\bootx64.efi 处暂存 2023 签名的 Windows 启动管理器作为启动媒体的默认启动文件。
旧固件的媒体还原： 安装媒体同时打包 2023 签名和 2011 签名的启动二进制文件，同时保留媒体和目标 EFI 系统分区 (ESP) 上的现有目录结构。 对于需要 2011 启动文件的硬件，将提供媒体还原脚本，以配置媒体以使用冻结的 2011 启动管理器启动。
就地升级行为： 执行就地升级时，Windows 安装程序会检查数据库 (数据库) 允许的签名数据库。 如果固件已信任 Windows UEFI CA 2023，安装程序会使用 2023 签名的启动管理器预配目标 EFI 系统分区 (ESP) 。 如果固件仅信任 PCA 2011，安装程序会预配 2011 签名的启动管理器以保留启动功能。 升级后，标准 Windows 服务管理固件数据库的证书更新，后续质量更新会在建立固件信任后将 ESP 转换为 2023 启动加载程序。
Azure 市场媒体转换：Azure 第一方 VM 库映像和主机部署管道与 2023 年默认启动媒体计划一致。
适用于未来 Windows 版本的安装媒体
在 Windows 的未来主要客户端和服务器版本中，安装媒体将仅携带 2023 签名的启动二进制文件，并且将从媒体中完全删除 2011 签名的启动二进制文件。
未来版本的固件信任要求： Windows 的未来主要版本需要固件中的 Windows UEFI CA 2023 证书 允许的签名数据库 (DB) 启动安装介质并完成 Windows 安装程序。
媒体生成和回退脚本
以下脚本支持跨不同代硬件的媒体管理：
更新下层媒体： 对于默认为 2011 启动加载程序的现有安装媒体，请使用 Make2023BootableMedia.ps1将媒体更新为默认为 2023 启动加载程序。 有关完整的脚本参数和下载说明，请参阅 更新 Windows 可启动媒体以使用PCA2023签名的启动管理器。
旧固件的媒体还原脚本： 将媒体部署到具有等待 2023 年证书 OEM 更新的固件的系统上时，提到的媒体还原脚本可能会将媒体配置为使用冻结的 2011 启动加载程序启动。
常见问题解答
更新启动加载程序是否会触发 BitLocker 恢复？
虽然 Windows 服务可在更新期间协调平台度量，但根据设备保护程序配置、固件行为和系统状态，可能会出现意外的 BitLocker 恢复提示。 管理员和设备所有者应确保在应用任何启动链、固件或安全启动更新（包括每月 Windows 质量更新）之前安全备份 BitLocker 恢复密钥。Hyper-V、Azure 和 VMware 中的虚拟机受到怎样的影响？
第 2 代 Hyper-V VM 通过标准累积 Windows 更新接收更新的证书。 Azure 受信任启动和机密 VM 通过 Azure 平台服务接收更新。 对于 VMware vSphere，确保 ESXi 主机和 VM 硬件版本已更新到来宾 UEFI 模板中包含 2023 年证书的版本。 有关详细信息，请参阅 Azure 中的受信任启动 VM 和机密 VM。如果设备从未收到 2023 年证书，会发生什么情况？
设备将继续使用冻结的 2011 签名启动加载程序启动，但如果发现将来的启动级别漏洞，则不会收到新的启动加载程序安全修补程序。 此外，Windows 的未来主要版本将需要 DB) 允许的签名数据库中的 2023 (证书，并且安装介质将阻止在缺少该证书的设备上安装。
相关链接
更改日志
| 更改日期 | 更改说明 |
|---|---|
| 2026 年 10 月 22 日 | 初始发布涵盖 2026 年 10 月 19 日 Windows 生产 PCA 2011 到期、启动加载程序冻结、将来的安装介质更新、应用程序控制影响和回退转换工具。 |