微软全球升级安全启动! Win10/Win11 15年期Secure Boot旧证书6月过期

微软全球升级安全启动！Win10/Win11 15年期Secure Boot旧证书6月过期

就在昨天，微软正式宣布了一项关乎全球数十亿台PC安全根基的重要计划：大规模轮换Windows安全启动（Secure Boot）证书。核心动作已经通过月度安全更新悄然开始——用新的证书，接替那批从2011年就开始服役、即将在2026年6月下旬“退休”的旧证书。

这里简单解释一下，安全启动就像是电脑开机时的“首席安检员”。它在Windows系统启动前就率先运行，负责检查所有想要启动的程序（比如操作系统加载器）是否持有合法的“数字身份证”。如果证件不合法或者已经过期，它就会坚决拦下，从而在系统启动的最前线，将Rootkit这类底层恶意软件挡在门外。

这批即将“光荣退役”的原始证书，生命周期长达15年。为了确保全球PC生态的安全链条在2026年之后不会出现断裂，微软早已未雨绸缪，联手戴尔、惠普、联想等主要硬件伙伴，启动了一项涉及固件、操作系统和硬件的庞大协同迁移工程。

那么，用户需要做什么吗？好消息是，对于绝大多数用户而言，几乎什么都不用做。微软为了最大限度地降低对用户的干扰，已经将新证书的部署集成到了标准的Windows月度安全更新中。只要你使用的是Windows 11或仍在支持周期内的系统，并且开启了自动更新，那么新旧证书的交替工作就会在后台静默、自动地完成。

来自硬件厂商的消息也印证了迁移的顺利。戴尔、惠普等厂商表示，2024年后出厂的大部分新设备已经预置了新版证书，而2025年出货的设备则已完全准备就绪。

当然，如果一台设备在2026年证书过期前，未能完成这次关键的更新，会发生什么？设备本身仍然可以正常开机、运行现有的软件，但会进入一种“安全降级”状态。说白了，就是那位“首席安检员”失去了权威的验证依据，设备对引导加载程序的严格验证能力将大打折扣，从而极易被专门针对启动过程的恶意软件攻破。

需要特别留意的是，此次更新仅覆盖处于官方支持周期内的Windows版本。这意味着，那些仍在运行Windows 10（非付费扩展安全更新版本）及更早旧系统的设备，将无法接收到这枚新的安全“钥匙”。微软的建议非常明确：对于这些用户而言，尽快升级硬件或操作系统，是避免因根信任缺失而在网络世界中“裸奔”的唯一选择。