微软的UEFI 2011安全启动证书已在10月19日过期 不影响电脑启动但安全性会被削弱
内容提要
微软用于验证Windows启动管理器的UEFI 2011安全启动证书将于2026年10月19日到期，这是本轮证书更换的最后一个主要节点。旧证书到期后电脑仍可正常启动和安装更新，但将无法获得启动管理、安全启动数据库、撤销列表及新漏洞防护的更新，安全性会逐渐降低。替代证书UEFI CA 2023由微软负责推送，用户只需正常安装月度更新并耐心等待；部分设备需OEM固件更新，更新前应备份BitLocker恢复密钥。
延伸解读
证书过期不等于电脑罢工
文章明确指出，旧证书到期后电脑仍可正常启动和安装月度更新，用户不必担心设备突然无法使用。真正受影响的是启动链安全保护的更新能力，包括启动管理、安全启动数据库与撤销列表的更新。这意味着短期内使用体验不变，但长期来看，针对新启动链漏洞的防护会逐渐缺失，安全性会缓慢下降。
更新由微软推送，用户只需等待
替代证书 UEFI CA 2023 由微软负责推送，用户无需手动操作。只要正常安装每月累积更新，微软可能在某个时间点完成证书更新。部分设备还需要 OEM 提供固件更新，这只能由厂商处理。因此，未收到更新的用户不必焦虑，耐心等待即可，但需保持系统更新习惯。
如何查看证书状态与更新注意事项
用户可以在 Windows 安全中心、设备安全性、Secure Boot 中查看证书状态。若显示所有必要证书更新均已应用，则代表更新完成。对于需要刷写固件的设备，文章提醒应先备份 BitLocker 恢复密钥，再按 OEM 提供的方法更新固件，以避免因固件更新导致数据锁定风险。
Q&A
微软的UEFI 2011安全启动证书什么时候过期？
微软的UEFI 2011安全启动证书（Windows Production PCA 2011）已在2026年10月19日正式过期。
旧安全启动证书过期后电脑还能正常启动吗？
可以。微软表示使用旧版证书的电脑仍然可以正常启动，也可以正常安装每月的Windows更新。
安全启动证书过期后有哪些安全风险？
设备将无法获得启动管理、安全启动数据库与撤销列表的更新，以及针对新发现的启动链漏洞的缓解措施。随着新威胁出现，启动阶段的防护会逐渐落后，安全性会降低。
替代的UEFI CA 2023证书需要用户自己安装吗？
不需要。UEFI CA 2023证书由微软负责推送更新，用户只需正常安装每月累积更新并耐心等待即可。部分设备还需要OEM提供固件更新，这只能由OEM处理。
如何查看安全启动证书是否已更新？
可以在Windows安全中心、设备安全性、Secure Boot中查看状态。若显示所有必要证书更新均已应用，则代表更新完成。
更新固件前需要做什么准备？
需要刷写固件的设备，应先备份BitLocker恢复密钥，再按OEM提供的方法更新固件。
