Os certificados originais do Secure Boot, emitidos pela Microsoft em 2011, estão chegando ao fim da validade. Se o firmware do seu PC não recebeu os substitutos de 2023, ele continua ligando normalmente, mas deixa de receber correções de segurança para a etapa de boot.
O Secure Boot é o recurso do UEFI que confere a assinatura de cada componente de inicialização antes de o Windows carregar. Isso bloqueia rootkits e bootkits, que se instalam antes do sistema e escapam do antivírus.
Sumário
O que está vencendo
Segundo a documentação da Microsoft, as datas são estas: o KEK CA 2011 expirou em 24 de junho de 2026, o Microsoft UEFI CA 2011 em 27 de junho, e o Windows Production PCA 2011 vence em 19 de outubro de 2026. Os substitutos têm “2023” no nome, como o Windows UEFI CA 2023.
A troca costuma chegar sozinha, por atualização de firmware ou pelo Windows Update, em Windows 10 e 11. Sem ela, o PC não deixa de funcionar, mas perde atualizações do gerenciador de boot, da lista de revogação (DBX) e de mitigações ligadas ao BitLocker. A Microsoft pede explicitamente que o Secure Boot não seja desativado como contorno.
Como verificar
O caminho mais simples é o app Segurança do Windows: Segurança do dispositivo > Secure Boot. Um selo verde com a mensagem de que todas as atualizações de certificado foram aplicadas indica que está tudo certo. Amarelo sugere bloqueio por firmware ou hardware; vermelho exige ação.
Pelo PowerShell, aberto como administrador:
Confirm-SecureBootUEFI
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes) -match 'Windows UEFI CA 2023'O primeiro comando retorna True se o Secure Boot está ativo. O segundo retorna True se o certificado novo já está na base de dados. O msinfo32 mostra apenas se o recurso está ligado (Modo BIOS em UEFI e Estado de Inicialização Segura em Ativado), não a situação dos certificados.
No registro, a chave HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing traz o valor UEFICA2023Status, que passa de NotStarted a InProgress e depois a Updated.
Se a atualização não aparecer
Instale todas as atualizações pendentes do Windows e procure uma versão nova de UEFI/BIOS no site do fabricante da placa-mãe ou do notebook. Em frotas gerenciadas, a Microsoft documenta o processo nas páginas das KB5062710 e KB5087130.
Fontes: PCWorld e Microsoft Support.
