Em junho de 2026, os certificados raiz do Secure Boot que sustentam a inicialização segura de PCs há 15 anos começam a expirar. A partir de 24 de junho de 2026, o certificado KEK CA 2011 se torna inválido, seguido pelo UEFI CA 2011 em 27 de junho, e pelo Windows Production PCA 2011, usado para assinar o boot loader do Windows, em 19 de outubro de 2026. Embora os PCs continuem funcionando e recebendo atualizações regulares do Windows Update, a ausência dos novos certificados de 2023 interrompe permanentemente a entrega de atualizações de segurança críticas para o firmware UEFI, incluindo a lista de revogação (DBX) que protege contra bootkits. Isso cria um cenário onde a máquina opera, mas sua segurança fica congelada no tempo, exposta a vulnerabilidades de inicialização que não poderão mais ser corrigidas.
Cronologia da Expiração dos Certificados Secure Boot 2011
A cadeia de confiança do Secure Boot depende de três certificados-chave emitidos em 2011, que expiram em sequência em 2026. O primeiro a expirar é o KEK CA 2011, em 24 de junho. Este certificado é a chave mestra usada para atualizar a base de dados do Secure Boot no firmware UEFI. Com sua expiração, torna-se impossível adicionar novos certificados confiáveis ou revogar os antigos através do mecanismo padrão de atualização. Em 27 de junho, o UEFI CA 2011 expira, afetando a assinatura de drivers de inicialização de terceiros, como controladores de armazenamento NVMe ou placas de rede. Por fim, em 19 de outubro, o Windows Production PCA 2011 perde a validade, impedindo a autenticação do próprio boot loader do Windows. A Microsoft já preparou substitutos — os certificados CA 2023 — e está os distribuindo gradualmente via Windows Update, mas a entrega manual ou a verificação proativa é necessária para garantir que o sistema permaneça protegido.
Funcionamento Pós-Expiração: Inicialização sem Proteção
Após a expiração dos certificados, o PC ainda inicializa normalmente. O Secure Boot não bloqueia a execução de software apenas porque o certificado usado para assinar o boot loader expirou; ele verifica se a assinatura é válida no momento em que foi criada. O problema real reside no fato de que, sem os certificados de 2023, o sistema não pode mais receber atualizações de segurança para o próprio Secure Boot. A Microsoft confirmou que, sem a atualização, a entrega das listas de revogação (DBX), que bloqueiam bootkits conhecidos como BlackLotus, cessa permanentemente. Além disso, futuras grandes atualizações do sistema operacional, como a próxima versão do Windows 11, podem ser bloqueadas intencionalmente pelo instalador para evitar que a máquina se torne não inicializável. O instalador verifica a presença do certificado 2023 na partição de sistema EFI e, se ele não estiver presente, aborta o processo para proteger o usuário. Na prática, o PC funciona, mas sua segurança de inicialização fica estagnada no estado de junho de 2026.
Mecanismo de Atualização e as Múltiplas Reinicializações
A atualização dos certificados Secure Boot difere de um patch comum do Windows. O processo envolve escrever diretamente no firmware UEFI, o que exige uma sequência cuidadosa de etapas. A Microsoft emprega um sistema de implantação controlada, conhecido como “Controlled Feature Rollout” (CFR), que coleta telemetria de hardware para cada modelo de placa-mãe. Quando um número suficiente de atualizações bem-sucedidas é registrado para um determinado hardware, o patch é promovido para a categoria de “alta confiança” e distribuído em larga escala através do Cumulative Update. Durante este processo, os usuários podem observar múltiplas reinicializações — pelo menos três são esperadas. A primeira reinicialização grava o novo certificado no firmware, a segunda aplica o certificado na tabela de inicialização, e a terceira carrega o boot loader recém-assinado. A Microsoft afirma que este comportamento é normal e intencional. Para usuários com BitLocker ativado, o processo é projetado para preservar a chave de criptografia, evitando solicitações de chave de recuperação durante as reinicializações. Cada reinicialização re-sela automaticamente a chave de criptografia no TPM, garantindo que o sistema permaneça acessível sem intervenção manual.
Cenários para PCs com Secure Boot Desativado
Para sistemas que possuem o Secure Boot desabilitado nas configurações da BIOS, a Microsoft bloqueia intencionalmente a instalação dos certificados 2023. Isso se deve à enorme diversidade de implementações de firmware UEFI entre os fabricantes. Se um novo certificado fosse instalado enquanto o Secure Boot está off, ao reativá-lo, o sistema poderia entrar em um estado de falha de inicialização imediata, pois a cadeia de confiança não estaria sincronizada com a configuração do firmware. A Microsoft adota uma política conservadora: “a atualização só é executada se o Secure Boot estiver ativo”. Para máquinas onde o Windows não inicia com o Secure Boot habilitado, geralmente o disco está formatado como MBR. A conversão para GPT é um pré-requisito necessário antes de tentar habilitar o recurso. PCs mais antigos, com BIOS legada, não possuem suporte a UEFI e, portanto, estão completamente fora do escopo desta atualização. O processo de atualização detecta automaticamente a incompatibilidade e não oferece o patch.
Gestão Corporativa e a Não Recomendação de Implantação Maciça
Para administradores de TI, a Microsoft recomenda veementemente não aplicar a política de “habilitar atualização do Secure Boot” para todos os dispositivos simultaneamente. A diversidade de hardware corporativo torna impossível para a Microsoft testar cada combinação de placa-mãe, firmware e driver. Já foram relatados casos de falha na atualização devido a bugs específicos de firmware. A abordagem sugerida é selecionar uma amostra representativa dos modelos de hardware usados na organização, instalar a atualização em um ambiente de teste e monitorar o resultado via ferramentas como PowerShell e o Visualizador de Eventos (fonte TPM-WMI). A Microsoft disponibiliza scripts em aka.ms/GetSecureBootcodecodecodecode para verificar o status dos certificados. Para Windows Server, o cenário é mais complexo: o servidor não participa do rollout gradual via Cumulative Update, exigindo que o administrador execute manualmente um comando PowerShell para aplicar o novo certificado. A falta de automação para servidores aumenta o risco de esquecimento, deixando sistemas críticos permanentemente vulneráveis.
Vida Útil dos Certificados 2023 e a Transição para a Criptografia Pós-Quântica
Os novos certificados CA 2023 possuem uma validade estendida até o ano de 2038, proporcionando uma margem de segurança significativa para o hardware atual. No entanto, durante a sessão AMA de março de 2026, a Microsoft já antecipou o próximo ponto de inflexão: a migração para a criptografia pós-quântica (PQC). Sob a liderança do NIST, os roteiros nacionais de segurança cibernética apontam para o início da década de 2030 como o prazo para a adoção de algoritmos resistentes a ataques de computadores quânticos. Isso significa que o hardware fabricado a partir de 2030 provavelmente exigirá certificados Secure Boot baseados em PQC, não nos certificados de 2023. Para o usuário comum, isso implica que a atualização para o certificado 2023 é o último passo necessário para a vida útil do hardware atual. A próxima troca de certificado coincidirá com a substituição do hardware por uma nova geração de PCs.
