Les certificats Microsoft qui servent de base au démarrage sécurisé (Secure Boot) depuis 2011 sont arrivés à expiration en 2026 : le 24 juin pour le certificat KEK, le 27 juin pour l’autorité UEFI tierce et le 19 octobre 2026 pour le certificat qui signe le chargeur de démarrage de Windows. Les PC continuent de démarrer, mais ceux qui n’ont pas reçu les certificats 2023 de remplacement ne peuvent plus recevoir les nouvelles protections du démarrage. Voici comment le vérifier sur vos postes et serveurs.
Le calendrier complet
Microsoft a publié la liste des certificats concernés et de leurs remplaçants :
| Certificat expiré | Date d’expiration | Remplaçant | Rôle |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24 juin 2026 | Microsoft Corporation KEK 2K CA 2023 | Signe les mises à jour des bases DB et DBX |
| Microsoft UEFI CA 2011 | 27 juin 2026 | Microsoft UEFI CA 2023 | Signe les chargeurs de démarrage tiers (dont Linux) |
| Microsoft UEFI CA 2011 | 27 juin 2026 | Microsoft Option ROM UEFI CA 2023 | Signe les ROM d’extension (cartes graphiques, réseau…) |
| Microsoft Windows Production PCA 2011 | 19 octobre 2026 | Windows UEFI CA 2023 | Signe le chargeur de démarrage de Windows |
Le remplacement de l’autorité UEFI tierce est scindé en deux : une machine peut ainsi faire confiance aux ROM d’extension de son matériel sans faire confiance à tous les chargeurs de démarrage tiers.
Ce qui se passe sur un appareil non mis à jour
Selon Microsoft, un appareil qui n’a pas reçu les certificats 2023 :
- continue de démarrer et de fonctionner ;
- continue d’installer les mises à jour Windows classiques ;
- ne peut plus recevoir les nouvelles protections du démarrage : mises à jour du gestionnaire de démarrage, des bases de signatures autorisées et révoquées, correctifs contre les failles qui visent la phase de démarrage.
Autrement dit, rien ne casse brutalement, mais la protection s’érode au fil des mois. Microsoft signale aussi que les scénarios qui s’appuient sur la confiance Secure Boot, comme le durcissement de BitLocker ou les chargeurs de démarrage tiers, peuvent être affectés.
Quels systèmes sont concernés
La liste publiée par Microsoft est large : Windows 10 (dont la 22H2 et plusieurs éditions LTSC), Windows 11 de la 21H2 à la 24H2, et Windows Server 2012 et 2012 R2 (sous ESU), 2016, 2019, 2022 et 2025. Les machines physiques comme les machines virtuelles avec Secure Boot activé sont concernées.
Pour la majorité des PC, Microsoft déploie les nouveaux certificats automatiquement via Windows Update. Les notes des mises à jour de juillet à septembre 2026 mentionnent d’ailleurs un redémarrage unique qui suit l’application de la mise à jour des certificats Secure Boot. La mise à jour de septembre 2026 a élargi la liste des appareils jugés assez fiables pour la recevoir automatiquement.
Les cas qui demandent de l’attention :
- les postes et serveurs dont les mises à jour sont gérées par l’entreprise (WSUS, outils de gestion), pour lesquels Microsoft publie une procédure spécifique ;
- les machines dont le micrologiciel (UEFI/BIOS) est ancien : le constructeur doit parfois fournir une mise à jour pour accepter les nouveaux certificats ;
- les machines virtuelles sur des hyperviseurs dont le modèle UEFI n’a pas été mis à jour.
Vérifier un poste Windows
Microsoft recommande de suivre l’état par le registre. Dans une console PowerShell lancée en administrateur :
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' |
Select-Object UEFICA2023Status, UEFICA2023Error
La valeur UEFICA2023Status peut prendre trois états :
NotStarted: la mise à jour n’a pas encore tourné ;InProgress: elle est en cours ;Updated: elle s’est terminée avec succès.
Si UEFICA2023Error contient une valeur non nulle, consultez le journal d’événements Windows. Microsoft précise de ne pas se fier à la valeur WindowsUEFICA2023Capable, fournie à titre indicatif seulement. Pensez aussi que la mise à jour du gestionnaire de démarrage ne se termine qu’après un redémarrage.
Pour les parcs gérés, Microsoft documente une valeur de déploiement (AvailableUpdates à 0x5944 dans HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot) et une tâche planifiée, \Microsoft\Windows\PI\Secure-Boot-Update, qui s’exécute toutes les 12 heures et peut être lancée à la demande. À réserver à un test sur quelques machines avant tout déploiement large.
Et les serveurs Linux ?
Les distributions Linux démarrent en Secure Boot grâce à un petit chargeur, shim, signé par l’autorité UEFI tierce de Microsoft. Debian l’a expliqué en publiant sa version 12.15, le 11 juillet 2026 : le paquet shim-signed a été mis à jour pour prendre en charge l’autorité Microsoft UEFI CA 2023, et il vérifie désormais les risques de problème de démarrage avant de s’installer. Debian prévient que de futures mises à jour de shim pourraient empêcher le démarrage en Secure Boot sur une machine dont les bases n’ont pas été mises à jour. Elle conseille d’appliquer les mises à jour CA, KEK et DBX fournies par le constructeur ; l’outil fwupd prend en charge ces mises à jour à partir de sa version 2.0.20.
La liste d’actions pour une PME
- Inventoriez les machines avec Secure Boot actif (postes, serveurs, VM).
- Contrôlez
UEFICA2023Statussur un échantillon, puis sur tout le parc via votre outil de gestion. - Mettez à jour le micrologiciel des machines qui restent bloquées, en commençant par les serveurs.
- Vérifiez vos hyperviseurs et les modèles de VM.
- Sur Linux, appliquez les mises à jour de shim et des bases UEFI avant les prochaines mises à jour du noyau.
- Ne désactivez pas Secure Boot pour « régler » un problème : vous perdriez justement la protection en jeu.
Sources
- Microsoft Support, « Windows Secure Boot certificate expiration and CA updates », mis à jour le 18 mai 2026 : https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e
- Microsoft Support, « Registry key updates for Secure Boot: Windows devices with IT-managed updates », mis à jour le 20 mars 2026 : https://support.microsoft.com/en-us/topic/registry-key-updates-for-secure-boot-windows-devices-with-it-managed-updates-a7be69c9-4634-42e1-9ca1-df06f43f360d
- Microsoft, « Windows message center » (notes des mises à jour de juillet à septembre 2026) : https://learn.microsoft.com/en-us/windows/release-health/windows-message-center
- Debian, « Updated Debian 12: 12.15 released », 11 juillet 2026 : https://www.debian.org/News/2026/2026071102
