微软的UEFI 2011安全启动证书已在10月19日过期不影响电脑启动但安全性会被削弱

#系统资讯微软的 UEFI 2011 安全启动证书已在 10 月 19 日正式过期，微软称 PC 仍然可以正常启动和安装更新，但漏洞防护链会被削弱。这就是这段时间我们经常说的 UEFI 2023 证书更新，旧证书到期后设备无法获得启动管理、安全启动数据库与撤销列表更新。这虽然不会影响 PC 启动但也会降低安全性，不过证书更新也都是微软负责的，所以还未被更新的用户只需要耐心等待即可。查看全文：https://ourl.co/127480

Microsoft Windows Production PCA 2011 证书已经在 2026 年 10 月 19 日正式到期，这张证书用于验证 Windows Boot Manager。微软称证书到期后使用旧版证书的电脑仍然可以正常启动，也可以正常安装微软发布的每月更新，但未来启动链安全保护的更新能力会受影响。

安全启动会在 Windows 启动前检查 UEFI 固件、启动程序等组件的数字签名，阻止未获得信任的软件在启动阶段运行。PCA 2011 证书存放在安全启动签名数据库中，主要用于签署 Windows Boot Manager，微软为其准备的替代证书是 Windows UEFI CA 2023。

这是 2026 年这轮证书更换中的最后一个主要到期节点，另外两张 2011 证书已经在 6 月到期，分别用于签署安全启动数据库更新以及第三方启动程序和 EFI 应用。

微软称仍然使用旧版证书的 PC 仍然可以启动和运行，常规的 Windows 更新也可以正常安装。设备后续无法获得的新保护主要涉及启动管理、安全启动数据库与撤销列表，以及针对新发现的启动链漏洞的缓解措施。随着新威胁的出现，启动阶段的防护会逐渐落后。

不过 UEFI CA 2023 证书也都是由微软负责推送更新，如果用户暂时还未收到更新也只需要等待即可，只要正常安装每月累积更新，微软就可能在某个时候完成证书更新。部分设备还需要 OEM 提供固件更新，这个只能由 OEM 处理。

当前证书状态可以在 Windows 安全中心、设备安全性、Secure Boot 中查看状态，若显示所有必要证书更新均已应用则代表更新完成。需要刷写固件的设备，应先备份 BitLocker 恢复密钥，再按 OEM 提供的方法更新固件。