原始發佈日期： 2026 年 10 月 22 日
KB 識別碼： 5132953
截至 2026 年 10 月 19 日，原本於 2011 年發行的 Microsoft 安全開機憑證已達到 15 年到期。 此到期不會導致電腦停止開啟或防止 Windows 啟動。 現有裝置會繼續正常啟動並執行 Windows。 如需憑證到期如何影響 Windows 裝置的詳細資料，請參閱 Windows 裝置上的安全開機憑證到期時。 如需更廣泛的 2026 年安全開機憑證到期排程和更換授權的背景，請參閱 Windows 安全開機憑證到期和 CA 更新。
目標對象
本文適用於管理實體 Windows 機群、伺服器工作負載、虛擬機器和安裝媒體的 IT 專業人員、企業系統管理員和部署工程師。
如果您是家用或個人電腦使用者，且裝置會透過 Windows Update 自動更新，則不需要採取本文所述的任何動作。 Windows Update 會自動管理個人裝置的憑證和啟動檔案更新。 如需以消費者為導向的指導方針，請參閱適用於 家庭使用者、企業和學校的 Windows 裝置，以及 Microsoft 管理的更新。
有什麼變化？
為了保護系統防範開機前惡意程式碼和未經授權的竄改，Windows 可執行檔仰賴於在兩個不同作業階段驗證的數位簽章：
開機前安全開機驗證： 在 Windows 載入之前，UEFI 韌體會驗證 Windows 開機載入器 (
bootmgfw.efi的數位簽章，例如，並cdboot.efi針對韌體允許簽章資料庫 (DB) 中的受信任授權單位) 。Windows 作業系統執行階段驗證： Windows 啟動後，作業系統核心和安全功能會驗證驅動程式的 Authenticode 數位簽章， ()
.sys、系統服務和應用程式二進位檔 (.exe、.dll) 。
截至 2026 年 10 月 19 日，Microsoft Windows Production PCA 2011 憑證已達到排定的到期日，且 Microsoft 已將這兩個簽署網域轉換至新式憑證授權單位：
(開機前) 的安全開機和開機載入器更新
引導載入程式以靜態二進位形式凍結： 使用 2011 憑證簽署的最終 Windows 開機管理程式版本會以靜態二進位形式凍結於所有支援的 Windows 維護分支，未來不會收到程式碼服務或安全性修補程式。
未來的開機載入器更新需要 Windows UEFI CA 2023： Windows 開機載入器的所有後續安全性修補程式都是專門使用 Windows UEFI CA 2023 憑證鏈結簽署。 如需一般開機載入器維護、裝置狀態檢查和登錄追蹤的詳細資訊，請參閱 Windows 安全性應用程式中的安全開機憑證更新狀態、安全開機的登錄機碼更新以及 Windows 安全開機憑證到期和 CA 更新。
安裝媒體開機載入器轉換： 在未來的更新媒體發行中，Microsoft 散發的安裝媒體將預設轉換為使用 2023 年簽署的開機載入器開機，同時在媒體上保留凍結的 2011 年開機載入器。 將提供媒體還原指令碼，以設定媒體在需要它的系統上使用凍結的 2011 開機載入器開機。 詳細的媒體計畫和還原工具請參閱開 機媒體和作業系統內設定行為 一節。
In-Windows 作業系統二進位和目錄簽署 (執行階段)
轉換到替代簽署授權單位： Windows 作業系統內容 (包括內嵌 Authenticode 簽章的二進位檔案，以及透過已簽署的 Windows 安全性目錄驗證的元件，) 從即將淘汰的 Windows Production PCA 2011 轉換為取代Microsoft憑證授權單位。 請注意，隨著密碼編譯標準和簽署做法的演進，簽署憑證授權單位在未來仍可能會變更。
停止 PCA 2011 二進位簽署： 自 2026 年 10 月 19 日起，Microsoft 不再使用 2011 PCA 憑證數位簽署任何二進位或安全性目錄。 已安裝在系統上的現有二進位檔會繼續正常執行，但不會收到使用 2011 憑證簽署的進一步更新。
應用程式控制和驗證器的影響： 自訂商務用應用程式控制 (WDAC) 原則、已簽署的安全性目錄，或將信任釘選到 PCA 2011 授權單位的 CI/CD 驗證工具，可能會封鎖更新的二進位碼。 有關檢閱原則和驗證協力廠商軟體的指引，請參閱 營運考量和潛在影響 一節。
營運考量與潛在影響
雖然受支援、完整更新的 Windows 安裝可以順利轉換，但強制執行自訂應用程式控制原則、組建驗證管線或特定簽署憑證檢查的組織必須評估下列營運區域：
應用程式控制原則 (商務用應用程式控制/WDAC)
如果您的組織使用商務用應用程式控制或已簽署的安全性目錄，請檢閱您的原則，了解授權特定憑證授權單位、簽發者或指紋Microsoft簽署程式碼的規則，Microsoft例如 Windows Production PCA 2011。 因為更新的 Windows 二進位和安全性目錄是使用取代憑證授權單位簽署，而非 2011 PCA 憑證，所以檔案可能不符合這些規則，而且強制執行時可能會遭到封鎖。 請注意，二進位簽署憑證授權單位未來仍可能會變更：
潛在症狀：累積安全性更新無法安裝、啟動期間服務失敗、應用程式可執行檔或 DLL 區塊，以及事件記錄檔中的程式碼完整性事件 3077。
憑證敏捷性和未來變更： 當更新的 Windows 二進位和安全性目錄轉換為取代授權單位時，簽署憑證和憑證授權單位將在未來隨著密碼編譯標準的進步而變更。 因此，應用程式控制原則和安全性目錄應避免釘選到特定的憑證授權單位、主體或指紋，而應該改為使用已知的發行者規則或原則繼承，這些規則或原則繼承會在 Microsoft 隨著時間輪換簽署憑證時保持相容。
必要動作： 搜尋您的原則 XML 以尋找參照 Microsoft CA 的簽署者規則，包括從範例基礎原則繼承的規則。 首先在稽核模式下部署原則變更，並在強制執行之前檢閱結果。 如需詳細的原則檢閱步驟和生態系統指引，請參閱 為新一代程式碼簽署準備 Windows 生態系統。
具有自訂憑證驗證、CI/CD 管線和安全軟體的應用程式
大部分的 Windows 應用程式都不會受影響。 只有在應用程式使用繫結至特定 Microsoft 憑證或簽署演算法的自訂驗證，或維護私人信任存放區時，應用程式才會面臨風險。 管理 Windows 應用程式、CI/CD 管線或協力廠商安全性工具的組織應評估下列 (，並留意到二進位簽署憑證授權單位在未來) 仍可能變更：
自訂應用程式憑證驗證： 任何執行自訂驗證並假設 PCA 2011 存在、驗證特定憑證鏈結、釘選至憑證主體或依賴固定簽署特性的應用程式或服務，都可能會發生失敗，或拒絕 Windows 識別為信任的 Microsoft 簽署檔案。 更新應用程式驗證以使用支援的 Windows 信任 API (，例如 WinVerifyTrust) ，而不是繫結至固定憑證或簽署演算法的自訂檢查。
使用私人信任存放區的軟體： 請確認維護私人信任存放區的任何應用程式、容器或服務都有可辨識合法 Microsoft 憑證輪替的處理程序。
組建驗證和 CI/CD 管線： 強制執行預期憑證授權單位靜態允許清單的自動化組建閘道和靜態掃描器，可能會報告驗證失敗， (例如新更新的 Windows 元件) 的原則不符錯誤。 更新靜態簽署者允許清單，以辨識取代的 Microsoft 憑證授權單位，並建立驗證程序，以適應未來隨著簽署標準演進而輪替的憑證授權單位。
協力廠商安全性和防毒軟體： 某些協力廠商防毒軟體、端點保護和應用程式保護產品會直接檢查 Authenticode 簽章。 請與您的軟體廠商確認，他們已檢閱並測試了與替代 Microsoft 簽署憑證的相容性。 如需技術驗證器指導方針，請參閱 為新一代程式碼簽署準備 Windows 生態系統。
在較舊的硬體上部署開機媒體
隨著未來的更新媒體發行，官方安裝媒體將預設轉換為使用 Windows UEFI CA 2023 開機管理程式開機：
潛在症狀： 在實體硬體上啟動更新媒體，其 UEFI 韌體的允許簽章資料庫 (DB) 中缺少 2023 憑證，將會發生安全開機違規而失敗。
必要動作： 對於沒有信任 2023 憑證之更新 OEM BIOS 的較舊硬體，將會提供媒體還原指令碼，將媒體設定為使用凍結的 2011 開機載入器開機。
開機媒體和作業系統內設定行為
安裝媒體和作業系統設定的轉換在現有 Windows 版本和未來的 Windows 版本之間有所不同：
現有 Windows 版本的安裝媒體
安裝媒體上的預設開機路徑： 目前支援的 Windows 版本的未來安裝媒體版本會在 \EFI\Boot\bootx64.efi 暫存 2023 年簽署的 Windows 開機管理程式，作為開機媒體的預設啟動檔案。
舊版韌體的媒體還原： 安裝媒體封裝 2023 年簽署和 2011 年簽署的開機二進位檔，保留媒體和目標 EFI 系統分割 (ESP) 上的現有目錄結構。 對於需要 2011 開機檔案的硬體，將會提供媒體還原指令碼，將媒體設定為使用凍結的 2011 開機管理程式開機。
就地升級行為： 執行就地升級時，Windows 安裝程式會檢查韌體允許的簽章資料庫 (DB) 。 如果韌體已經信任 Windows UEFI CA 2023，安裝程式會使用 2023 簽署的開機管理程式佈建目標 EFI 系統分割 (ESP) 。 如果韌體只信任 PCA 2011，安裝程式會佈建 2011 簽署的開機管理程式，以保留啟動功能。 升級之後，標準 Windows 維護會管理韌體資料庫的憑證更新，後續品質更新會在建立韌體信任之後，將 ESP 轉換至 2023 開機載入器。
Azure Marketplace 媒體轉換： Azure 第一方 VM 資源庫映像和主機部署管線與 2023 年預設開機媒體排程一致。
未來 Windows 版本的安裝媒體
在 Windows 的未來主要用戶端和伺服器版本中，安裝媒體將僅包含 2023 年簽署的開機二進位檔，而 2011 年簽署的開機二進位檔將會從媒體中完全移除。
未來版本的韌體信任需求： Windows 的未來主要版本需要韌體允許簽章資料庫 (DB) 中的 Windows UEFI CA 2023 憑證，才能啟動安裝媒體並完成 Windows 安裝程式。
媒體產生和後援指令碼
透過下列指令碼支援跨不同世代硬體的媒體管理：
更新下層媒體： 對於預設為 2011 開機載入器的現有安裝媒體，請使用 Make2023BootableMedia.ps1將媒體更新為預設為 2023 開機載入器。 如需完整的指令碼參數和下載指示，請參閱更新 Windows 可開機媒體以使用PCA2023簽署的開機管理程式。
舊版韌體的媒體還原指令碼： 將媒體部署到具有等待 2023 年憑證 OEM 更新韌體的系統上時，上述媒體還原指令碼可能會將媒體設定為使用凍結的 2011 開機載入器開機。
常見問題集
更新開機載入器是否會觸發 BitLocker 復原？
雖然 Windows 維護可在更新期間協調平台測量，但根據裝置保護裝置設定、韌體行為和系統狀態，可能會出現非預期的 BitLocker 復原提示。 系統管理員和裝置擁有者在套用任何開機鏈結、韌體或安全開機更新（包括每月 Windows 品質更新）之前，應確保已安全備份 BitLocker 修復金鑰。Hyper-V、Azure 和 VMware 中的虛擬機器會受到什麼影響？
第 2 代 Hyper-V VM 會透過標準累積 Windows 更新來接收更新的憑證。 Azure 受信任啟動和機密 VM 會透過 Azure 平台服務接收更新。 對於 VMware vSphere，請確保 ESXi 主機和虛擬機器硬體版本已更新為客體 UEFI 範本中包含 2023 年憑證的版本。 如需詳細資訊，請參閱 Azure 中的受信任啟動 VM 和機密 VM。如果裝置從未收到 2023 年憑證，會發生什麼情況？
裝置會繼續使用凍結的 2011 年簽署的開機載入器開機，但如果發現未來的開機層級弱點，將不會收到新的開機載入器安全性修正程式。 此外，Windows 的未來主要版本將需要允許簽章資料庫 (DB) 中的 2023 憑證，而安裝媒體會封鎖在缺乏該憑證的裝置上安裝。
相關連結
變更記錄
| 變更日期 | 變更描述 |
|---|---|
| 2026 年 10 月 22 日 | 首次發行涵蓋 2026 年 10 月 19 日 Windows Production PCA 2011 到期日、開機載入器凍結、未來的安裝媒體更新、應用程式控制影響，以及遞補轉換工具。 |