负责签署Windows引导加载程序的Microsoft Windows Production PCA 2011证书将于2026年10月19日正式到期。这是微软2026年安全启动证书过渡计划中的最后一个主要截止日期。此前，另外两个2011版证书已于同年6月过期。
证书到期后，PC不会停止启动。微软官方指导指出，未安装新证书的设备“仍将正常启动和运行”，标准Windows更新也会继续安装。但此类设备将无法为早期启动过程接收新的安全保护更新。
安全启动证书过渡进入最后阶段
安全启动是UEFI固件的一项功能，可在PC启动前检查从UEFI驱动程序到操作系统的每段启动软件签名。自Windows首次支持该功能以来，PC一直信任微软2011年签发的证书。目前，微软正将其替换为2023年版证书组。
| 旧证书 | 到期时间 | 替代方案 |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 2026年6月24日 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 2026年6月27日 | Microsoft UEFI CA 2023 和 Microsoft Option ROM UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 2026年10月19日 | Windows UEFI CA 2023 |
KEK证书授权更新允许使用的签名数据库（DB）和已撤销的签名数据库（DBX）；Microsoft UEFI CA 2011用于签署第三方引导加载程序、EFI应用程序和选项ROM；Windows Production PCA 2011则用于签署Windows引导管理器，其替代方案Windows UEFI CA 2023存储在DB中。
微软工程师在今年6月的安全启动AMA活动中表示，公司可继续使用旧密钥签署引导管理器直到10月，因此未来的Windows引导管理器将需要2023版证书。除非证书被添加到DBX吊销列表中，否则固件仍会信任在到期日前签署的引导加载程序。
缺少2023版证书的PC将无法获得“Windows引导管理器、安全启动数据库和吊销列表的更新”，也无法修复新发现的启动链漏洞。例如2023年出现的BlackLotus启动套件，曾绕过完全更新的Windows 11 PC上的安全启动，此类威胁正是通过吊销列表进行阻止。
如何检查并更新安全启动证书
2023版证书通过Windows Update分发。微软表示，“在许多情况下，无需采取任何操作”。前提是PC运行受支持的Windows版本、未暂停更新且已开启安全启动（可在系统信息msinfo32中的“安全启动状态”下查看）。仅在使用ESU（扩展安全更新）时，Windows 10 PC才能获得这些证书。
用户可通过Windows安全中心 > 设备安全性 > 安全启动路径检查证书状态。Windows 11自今年4月起在此处显示状态，提示信息包括：
- “所有必需的证书更新均已应用”：设置已完成。
- “较旧的启动信任配置”：Windows应自行更新，请安装待处理更新并重启。
- “受到已知问题影响”：微软已暂停推送更新，直至修复程序就绪。
- “硬件或固件限制”：需联系PC制造商寻求帮助。
- “无法再接收必需更新”：PC仍在过期证书上运行。
若安全启动部分缺失，意味着PC使用传统BIOS、关闭了安全启动，或通过绕过手段在不支持硬件上运行Windows 11。对于出现黄色或红色警告的用户，建议检查PC制造商支持页面。戴尔、惠普、联想、华硕和宏碁等品牌均设有包含BIOS更新的安全启动页面。操作前务必备份BitLocker恢复密钥，以防某些BIOS更新导致PC陷入BitLocker恢复循环。
微软强调，“不应为了规避证书到期而禁用安全启动”。Windows仍会将此类PC迁移至由2023版证书签署的引导管理器。若稍后重新开启安全启动，而固件仅信任2011版证书，可能导致PC无法启动。重置BIOS为出厂默认值也存在类似风险，除非默认设置中包含2023版证书。
微软持续推送更新以应对截止日期
在第一份证书到期前数小时，微软向所有符合条件的PC发布了更新，并持续推送。9月8日的更新KB5124008增加了“高置信度设备目标数据”，解锁了更多PC的更新资格。随着10月13日更新的发布，微软表示“将继续通过Windows Update向符合条件的设备提供新版安全启动证书”。
由于微软采用高置信度数据库机制，推送过程较为缓慢。PC按硬件和固件分组，只有当相似PC成功更新后，某组别才会自动获得更新。6月的更新已将大多数具有诊断数据的消费级PC纳入高置信度组，微软每月刷新两次数据。即使PC离线数月，重连后仍会获得证书。
戴尔表示，对于在2026年1月1日之前达到服务寿命结束的平台，将不再发布BIOS更新。在旧PC上，安全启动更新过程复杂，惠普最新固件曾出现KEK更新卡住和BitLocker循环问题。今年3月，部分华硕、微星和华擎主板也曾难以应对2023版更新。
此外，PCA 2011还签署启动流程之外的Windows文件。微软8月的代码签名文档指出，Windows签名正转向Microsoft Windows Production PCA 2026。9月10日发布的Release Preview版本26100.9539和26200.9539已使用该证书签名。微软建议开发人员不要在应用中固定安全启动证书。
需注意，一次Windows更新未必能完成所有工作。在证书写入固件过程中，PC可能会重启几次，C:\\Windows中出现新的SecureBoot文件夹属预期现象。微软认为，只有当PC同时拥有2023版证书和新引导管理器时，才算完全更新，此时显示的绿色对勾才是可信标志。