Microsoft: último certificado Secure Boot de 2011 expirou em 19 de outubro
A Microsoft lembrou que, em 19 de outubro de 2026, expirou o certificado Microsoft Windows Production PCA 2011, utilizado para assinar o carregador de inicialização do Windows. Trata-se da última data importante do plano da empresa de migração para os novos certificados Secure Boot. Outros dois certificados de 2011 já tinham expirado em junho.
Os computadores continuarão a iniciar e a funcionar normalmente, e as atualizações habituais do Windows seguirão sendo instaladas. No entanto, os dispositivos sem os certificados de 2023 não poderão receber novas proteções para as fases iniciais da inicialização. Isso inclui atualizações do gerenciador de inicialização, das bases de dados do Secure Boot e das listas de revogação, além de correções para novas vulnerabilidades na cadeia de inicialização. Um exemplo de ameaça contra a qual essas listas protegem é o bootkit BlackLotus, descoberto em 2023, que contornava o Secure Boot até em sistemas Windows 11 totalmente atualizados.
O Secure Boot é um recurso do firmware UEFI que, antes de o computador iniciar, verifica as assinaturas digitais dos componentes de inicialização, desde os drivers até o sistema operacional. Até agora, os dispositivos confiavam nos certificados da Microsoft de 2011, e a empresa passa a substituí-los pelos de 2023. O certificado KEK CA 2011 (expirado em 24 de junho) é substituído pelo KEK 2K CA 2023. O certificado UEFI CA 2011 (expirado em 27 de junho) é substituído pelo UEFI CA 2023 e pelo Option ROM UEFI CA 2023. O certificado Windows Production PCA 2011 (expirado em 19 de outubro) é substituído pelo Windows UEFI CA 2023.
Os novos certificados são distribuídos pelo Windows Update e, em muitos casos, o usuário não precisa fazer nada. É necessário ter uma versão compatível do sistema, atualizações não pausadas e o Secure Boot ativado. O estado do recurso pode ser consultado no programa Informações do Sistema (msinfo32). Desde abril, o Windows 11 também mostra o estado dos certificados na Segurança do Windows, na página Segurança do dispositivo, no item Inicialização segura. As mensagens possíveis são: todas as atualizações necessárias aplicadas, configuração de confiança de inicialização desatualizada (o sistema a atualizará por conta própria), afetado por um problema conhecido (atualização suspensa até a correção), limitações de hardware ou firmware (é necessária a ajuda do fabricante), não é mais possível receber as atualizações necessárias (continua em uso um certificado expirado). Os computadores com Windows 10 recebem os certificados apenas se participarem do programa de atualizações de segurança estendidas ESU.
Em caso de alerta amarelo ou vermelho, convém consultar a página de suporte do fabricante do dispositivo: Dell, HP, Lenovo, Asus e Acer têm seções dedicadas a atualizações de BIOS. Antes da instalação, é preciso salvar a chave de recuperação do BitLocker, pois algumas atualizações de BIOS da HP lançadas em abril causaram ciclos repetidos de recuperação. Não se recomenda desativar o Secure Boot para contornar o problema. Se a função for reativada mais tarde e o firmware confiar apenas no certificado de 2011, o computador poderá deixar de iniciar. A restauração do BIOS para as configurações de fábrica traz um risco semelhante se elas não incluírem os certificados de 2023. Além disso, a Dell não lançará atualizações de BIOS para plataformas cujo período de suporte terminou antes de 1.º de janeiro de 2026. Em março, também ocorreram problemas na transição em algumas placas da ASUS, MSI e ASRock.
A distribuição da atualização acontece em etapas. O pacote KB5124008, de 8 de setembro, acrescentou dados para identificar dispositivos em que a atualização tem alta probabilidade de êxito, ampliando assim o alcance. Os computadores são agrupados por hardware e firmware, e um grupo só recebe os certificados automaticamente depois de uma instalação bem-sucedida em dispositivos semelhantes. A Microsoft atualiza essa base de dados duas vezes por mês. Mesmo um computador que ficou meses sem acesso à internet receberá os certificados quando a conexão for restabelecida.
O certificado PCA 2011 também era usado para assinar arquivos do Windows não relacionados à inicialização, por isso a empresa está migrando para o Windows Production PCA 2026. As compilações do canal Release Preview 26100.9539 e 26200.9539, lançadas em 10 de setembro, já estão assinadas com ele. Recomenda-se aos desenvolvedores que não vinculem as verificações dos seus aplicativos a certificados Secure Boot específicos. A instalação de uma única atualização não significa que a transição esteja concluída: o firmware pode exigir várias reinicializações. O dispositivo só é considerado totalmente atualizado depois que os certificados de 2023 e o novo gerenciador de inicialização forem instalados, por isso deve-se tomar como referência a marca de verificação verde na seção de inicialização segura.