Certificados do Windows Secure Boot expiram em 2026: o que verificar antes de junho

A Microsoft está substituindo os certificados do Secure Boot que muitos PCs Windows confiam desde 2011. Duas dessas autoridades certificadoras antigas começam a expirar em junho de 2026, e o certificado de boot do Windows vem depois, em outubro de 2026.

Isso parece um cronômetro preso a todo PC. Não é exatamente assim. A Microsoft diz que um estado de certificado sem suporte não deve fazer um PC comum parar instantaneamente de iniciar em 1º de junho de 2026. O risco mais realista é mais silencioso, mas ainda importante: um PC que perde a atualização dos certificados de 2023 pode deixar de ser elegível para futuras proteções de boot inicial, atualizações de segurança do Boot Manager, revogações e mudanças em mídia de recuperação.

Então a atitude certa não é pânico. É verificar agora, atualizar com segurança e evitar quebrar o próprio caminho de recuperação.

Resposta rápida

Não desative Secure Boot como “correção”. Não redefina chaves do Secure Boot nem force revogações a menos que saiba exatamente o motivo e tenha mídia de recuperação que ainda inicia.

Meu PC vai parar de funcionar em junho de 2026?

Para a maioria dos PCs com Windows 10/11 com suporte e PCs com Windows 11, a resposta deve ser não. A Microsoft descreve a expiração dos certificados de 2026 como uma transição de segurança e manutenção, não como uma data universal de falha de boot.

O risco depende do que o PC precisa fazer depois que os certificados antigos expirarem:

A versão enganosa da história é “PCs Windows vão virar peso de papel quando os certificados expirarem”. A versão útil é: seu PC pode continuar iniciando, mas a cadeia de confiança do boot inicial precisa sair dos certificados de 2011 e ir para os de 2023 se você quer que a proteção futura do Secure Boot continue funcionando.

Verifique seu PC em 5 minutos

Comece pelas verificações seguras. Elas não alteram bancos de dados do Secure Boot, chaves de firmware nem estado do BitLocker.

1. Instale atualizações do Windows e reinicie

Abra Configurações > Windows Update, instale atualizações de segurança/cumulativas disponíveis e reinicie quando solicitado. A Microsoft está entregando a atualização dos certificados do Secure Boot pelo serviço normal para muitos dispositivos com suporte.

Se você costuma adiar reinícios, este é um daqueles casos em que adiar pode esconder o estado real. Várias etapas de atualização do Secure Boot exigem reinicialização antes de o próximo status aparecer.

É o mesmo princípio básico de manutenção de segurança: mantenha o caminho de confiança atualizado antes de precisar dele. Se estiver revisando toda a configuração, trate sistema, firmware, roteador, contas e mídia de recuperação como partes do mesmo hábito de atualização, não como tarefas isoladas.

2. Abra a tela de status do Secure Boot

Abra Segurança do Windows, depois Segurança do dispositivo e Secure Boot.

Procure o texto da mensagem. A Microsoft alerta que um ícone verde sozinho não basta; o estado totalmente atualizado precisa de uma formulação indicando que as atualizações de certificados necessárias e o Boot Manager atualizado foram aplicados.

Se a Segurança do Windows disser que há atualizações pendentes, instale atualizações do Windows e reinicie de novo. Se disser que o dispositivo precisa de firmware ou ação do fabricante, vá à página de suporte do fabricante antes de tentar correções de registro.

3. Confirme que Secure Boot está ativado

Pressione Win + R, digite msinfo32 e abra Informações do Sistema.

Confira estas linhas:

Essa tela confirma o estado do Secure Boot. Ela não prova que todos os certificados de 2023 estão instalados.

4. Verificação opcional no PowerShell

Abra o PowerShell como administrador e execute:

Confirm-SecureBootUEFI

True significa que Secure Boot está ativado. False significa que está desligado. Um erro normalmente significa que o comando não consegue ler Secure Boot UEFI naquela plataforma.

Isso ajuda, mas ainda não conta a história inteira. A prontidão de certificados é melhor verificada pela tela de status da Segurança do Windows, valores de status administrativos da Microsoft e logs de eventos.

Qual caminho combina com você?

O que está realmente expirando?

Secure Boot é um sistema de confiança no nível do firmware. Antes de o Windows iniciar, o firmware UEFI verifica se componentes iniciais de boot são assinados por autoridades certificadoras confiáveis. Esses bancos de confiança ficam no firmware/NVRAM, não apenas em uma pasta do Windows.

Mapa simplificado:

Os certificados antigos de 2011 estão sendo substituídos pelos de 2023:

A estrutura de 2023 é mais granular. Em vez de uma CA UEFI antiga cobrindo vários trabalhos, a Microsoft separa melhor a confiança para boot do Windows, apps EFI de terceiros e option ROMs.

Por que BlackLotus e KB5025885 aparecem tanto

Você verá duas histórias relacionadas misturadas:

1. A atualização de certificados de 2026. Autoridades certificadoras antigas do Secure Boot estão expirando, então PCs precisam da cadeia de confiança de 2023.
2. CVE-2023-24932 / reforço contra BlackLotus. A Microsoft também prepara revogações e mudanças no Boot Manager para bloquear bootloaders assinados vulneráveis usados por bootkits.

Elas se conectam porque ambas tocam bancos de confiança do Secure Boot e assinaturas do Boot Manager. Mas não são a mesma tarefa.

A diferença prática importa. Verificar certificados de 2023 é uma etapa sensata para usuários domésticos. Forçar revogações DBX ou mitigações empresariais via registro sem preparação pode quebrar mídia WinRE, WinPE, PXE, ambientes de recuperação ou dual boot antigos. A Microsoft ainda documenta o processo de revogação da CVE-2023-24932 separadamente, e o calendário de aplicação permanente deve ser tratado como controlado pela Microsoft, não adivinhado.

O que não fazer

BitLocker, mídia de recuperação e instaladores USB

BitLocker e Secure Boot são próximos. Isso é bom para segurança, mas significa que mudanças de firmware e confiança de boot podem acionar uma tela de recuperação.

Antes de alterar BIOS/UEFI, redefinir chaves do Secure Boot ou aplicar manutenção administrativa do Secure Boot, salve sua chave de recuperação do BitLocker. Em muitos PCs com Windows 11, o caminho é Configurações > Privacidade e segurança > Criptografia do dispositivo > Criptografia de unidade BitLocker.

Ou entre na página de chaves de recuperação da sua conta Microsoft se é assim que o dispositivo armazena a chave.

Em pequenos escritórios, exporte e valide as chaves antes do piloto, não depois do primeiro reboot.

A mídia de recuperação é a outra armadilha. Um USB de instalação do Windows, imagem WinRE, pendrive WinPE ou imagem de boot PXE criado antes da transição do Boot Manager de 2023 pode não iniciar depois que certas revogações forem aplicadas. Admins devem reconstruir ou atualizar mídia de recuperação com ferramentas atuais de manutenção do Windows antes de uma implantação ampla. Usuários domésticos devem recriar mídia de recuperação/instalação com ferramentas atuais da Microsoft em vez de manter um USB antigo como único resgate.

Firmware OEM: quando o fabricante importa

O Windows Update entrega muita coisa, mas os bancos do Secure Boot vivem no firmware. Se o firmware não aceita as atualizações certas, o Windows pode relatar estado bloqueado ou limitado.

Para notebooks e desktops de grandes OEMs:

Instale firmware apenas do fabricante do dispositivo ou da placa-mãe. Ferramentas aleatórias de “BIOS updater” não são atalho.

Donos de desktops customizados devem tratar isso como parte da história de suporte da placa-mãe, não só como uma caixa do Windows. Se você está remontando ou trocando uma máquina antiga, confira o modelo exato da placa, o histórico de BIOS e o suporte do fabricante antes de planejar qualquer mudança de hardware.

Checklist para pequenos escritórios e admins de TI

Se você gerencia mais que alguns PCs, não trate isto como atualização de consumidor em um clique. Trate como implantação próxima de firmware.

1. Inventarie modelos, versões BIOS/UEFI, estado do Secure Boot e status de suporte do Windows.
2. Garanta que chaves de recuperação do BitLocker estejam salvas e recuperáveis.
3. Atualize firmware primeiro nos grupos de hardware que precisarem.
4. Faça piloto em vários dispositivos por categoria de modelo/firmware.
5. Use valores de status e eventos documentados pela Microsoft para verificar progresso.
6. Recrie ou valide WinRE, WinPE, USB de instalação e mídia PXE.
7. Documente rollback e recuperação antes de aplicar revogações amplas.

A Microsoft documenta acionamento empresarial via registro com AvailableUpdates, a tarefa agendada \Microsoft\Windows\PI\Secure-Boot-Update e valores de status em HKLM\SYSTEM<wbr>CurrentControlSet<wbr>Control<wbr>SecureBoot<wbr>Servicing.

Não cole comandos de registro empresariais em dispositivos aleatórios porque um fórum disse que funcionou. A Microsoft observa que a manutenção do Secure Boot pode levar tempo, exigir reinícios e ser bloqueada por firmware, estado do BitLocker ou pré-requisitos ausentes.

Fonte útil no log Sistema para admins:

TPM-WMI

IDs de evento úteis incluem:

Windows 10, Windows 7 e PCs mais antigos

O Windows 10 chegou ao fim do suporte em 14 de outubro de 2025 para suporte normal ao consumidor. Alguns usuários e organizações podem continuar com Extended Security Updates, mas um PC Windows 10 sem suporte não é onde você quer depender de manutenção futura da cadeia de boot.

Se você está no Windows 10:

• veja se o dispositivo está inscrito em ESU ou ainda recebendo atualizações de segurança por outro caminho;
• instale todas as atualizações disponíveis e reinicie;
• confira se Secure Boot está ativado e se a Segurança do Windows informa status de certificado;
• atualize firmware pelo OEM se o dispositivo ainda tiver suporte;
• planeje sair de hardware/software sem suporte se o PC não puder receber firmware ou manutenção do Windows necessários.

Para um PC muito antigo que não roda Windows 11 e não tem suporte real de firmware OEM, a resposta honesta pode ser substituição, não contorno via registro.

Se você ainda tem Windows 7

Windows 7 é diferente de Windows 10 ou 11. A Microsoft encerrou o suporte normal ao Windows 7 em 14 de janeiro de 2020, e o programa principal de Extended Security Updates do Windows 7 foi só até 10 de janeiro de 2023. Sistemas embarcados, médicos, industriais ou de ponto de venda ainda podem existir no mundo real, mas isso não os torna bons candidatos para uma atualização normal de certificados Secure Boot via Windows Update.

Regra para uma máquina Windows 7:

Checklist prático para Windows 7:

1. Tenha uma imagem completa do disco e um caminho de restauração testado antes de tocar no firmware.
2. Não mude Secure Boot, CSM, modo UEFI ou TPM sem testar o caminho exato em hardware reserva ou disco clonado.
3. Remova navegação web, e-mail e trabalho diário dessa máquina.
4. Coloque-a em rede/VLAN restrita ou offline se o fluxo permitir.
5. Use allowlist de firewall apenas para servidores ou dispositivos necessários.
6. Substitua ferramentas antigas de acesso remoto e bloqueie acesso de entrada quando possível.
7. Pergunte ao fornecedor do software/hardware por um caminho de SO com suporte; em equipamento industrial antigo, isso pode significar imagem do fornecedor, plano de VM ou troca de hardware.

Se a máquina é importante demais para um simples “atualize”, ela é importante o bastante para ser tratada como risco operacional, não como PC doméstico comum.

Dual boot Linux, PXE e VMs

Sistemas dual boot exigem mais cautela que PCs só com Windows. Muitas distribuições Linux usam um shim assinado pela Microsoft para participar do Secure Boot. A transição exata para componentes assinados em 2023 depende da distribuição, do pacote shim e do banco de confiança do firmware.

Abordagem prática:

• atualize Windows e sua distribuição Linux antes de mudar confiança do Secure Boot;
• confirme a orientação da sua distro sobre Secure Boot/shim;
• não aplique revogações DBX amplas até saber que ambos os caminhos de boot ainda funcionam;
• mantenha um USB de recuperação atual para cada sistema.

PXE e WinPE são parecidos. Se seu boot de rede ou mídia de implantação ainda depende de componentes de boot assinados em 2011, etapas de revogação podem quebrá-los.

VMs também merecem checagem. Hosts e convidados Hyper-V precisam de manutenção atual do Windows para o caminho de atualização de certificados. Se você gerencia VMware ou outras plataformas de virtualização, leia as notas do fornecedor antes de aplicar revogações de Secure Boot amplamente.

Os termos sem neblina

Um plano sensato para a próxima semana

Para um PC doméstico normal:

1. Faça backup de arquivos importantes.
2. Salve a chave de recuperação do BitLocker se a criptografia do dispositivo estiver ativa.
3. Instale atualizações do Windows.
4. Reinicie até não haver reinício pendente.
5. Confira Segurança do Windows > Segurança do dispositivo > Secure Boot.
6. Veja o app de atualização do OEM para BIOS/UEFI se o Windows relatar problema de firmware.
7. Recrie qualquer USB antigo de recuperação/instalação do Windows com ferramentas atuais da Microsoft.

Para um pequeno escritório, acrescente inventário, grupos piloto, monitoramento de eventos e validação de mídia de recuperação antes de tocar em revogações amplas.

A versão calma também é a séria: atualize normalmente, verifique o status real dos certificados e não transforme uma transição administrável em um problema de boot causado por você mesmo.

Notas de fontes

A orientação principal veio do panorama da Microsoft sobre expiração de certificados do Windows Secure Boot e atualizações de CA, da página de status no app Segurança do Windows, da orientação de atualização no Microsoft Learn, da referência de eventos de atualização Secure Boot DB e DBX, da orientação KB5025885, do playbook Windows IT Pro Secure Boot 2026 e da página de ciclo de vida do Windows 7. Contexto OEM foi checado com páginas de suporte da Dell e ASUS. Discussões de comunidade/admins foram usadas apenas para identificar pontos comuns de confusão, não como prova de comportamento técnico.