Morten Lyhne Petersen
Microsofts gamle Secure Boot-certifikater udløber i denne uge, og opdateringen skal være på plads.
Det første af tre certifikater udløb i onsdags, og det næste falder allerede i morgen, lørdag den 27. juni. Uden de nye certifikater mister din Windows-pc adgang til fremtidige sikkerhedsopdateringer på det dybeste niveau af systemet.
Microsoft har skubbet de nye certifikater ud via Windows Update, og for langt de fleste private brugere sker opdateringen helt automatisk. Men ikke alle maskiner har modtaget den endnu, og enkelte ældre pc’er kan ende uden den nye beskyttelse, hvis ikke man tjekker manuelt.
Det handler om Secure Boot, den funktion der sikrer at kun godkendt software kan køre, når Windows starter op. De nuværende certifikater stammer fra 2011 og udløber i tre etaper i 2026, oplyser Microsoft i sin officielle vejledning. Microsoft Corporation KEK CA 2011 udløb 24. juni, Microsoft UEFI CA 2011 udløber 27. juni, og Microsoft Windows Production PCA 2011 følger 19. oktober.
Din pc starter stadig op
En af de mest udbredte misforståelser om opdateringen er, at en manglende installation skulle gøre maskinen ude af stand til at starte. Det er ikke tilfældet.
Microsoft slår fast, at en pc uden de nye certifikater stadig vil starte og fungere normalt. Almindelige Windows-opdateringer fortsætter også, og browsing, apps og netværk virker som hidtil.
Konsekvensen er en anden og mere snigende. Uden de nye certifikater kan maskinen ikke længere modtage sikkerhedsrettelser til selve opstartsfasen, herunder opdateringer til Windows Boot Manager og spærrelister over kompromitteret boot-software. Det betyder, at beskyttelsen langsomt forældes, mens nye sårbarheder dukker op.
Sådan tjekker du status på to minutter
Sikkerhedsfirmaet Malwarebytes anbefaler, at man verificerer sin status fremfor blindt at stole på, at opdateringen er gået igennem. Det gøres direkte i Windows.
Åbn Windows Sikkerhed, klik på Enhedssikkerhed og find Secure Boot. Et grønt badge med teksten om, at Secure Boot er aktiveret, er ifølge Malwarebytes signal om, at alt er på plads. Selve verifikationsfunktionen blev tilføjet til Windows Sikkerhed i en opdatering, der ifølge How-To Geek rullede ud til Windows-pc’er i april 2026.
Hvis ikke alt er på plads, er den enkleste løsning at tjekke for ventende Windows-opdateringer og installere alt, hvad der mangler. På ældre maskiner kan en BIOS- eller firmware-opdatering fra producenten være nødvendig, før certifikaterne kan installeres korrekt.
Et skifte der varer til 2038
De nye certifikater er en del af et større skifte i hele økosystemet omkring Windows-opstart. Microsoft skal flytte nye 2023-certifikater ind i firmwaren, udskifte boot manageren med en version signeret af de nye nøgler og til sidst tilbagekalde tilliden til de gamle certifikater, forklarer PCWorld. De nye certifikater er gyldige frem til 2038.
For private er der ingen grund til panik, hvis Windows Update er slået til, og maskinen er nogenlunde nyere. Men for ældre pc’er, maskiner der har stået slukket i længere tid, eller systemer der ikke får regelmæssige opdateringer, er det værd at bruge to minutter på at tjekke status, mens deadlinen for det andet certifikat falder allerede lørdag.
