微软近日正式发出提醒：自Windows 8时代启用、沿用超过15年的Secure Boot（安全启动）根证书将于2026年6月正式失效。这意味着全球数十亿台Windows设备的底层安全防线即将迎来一次大规模换代。

什么是安全启动证书？

安全启动（Secure Boot）是UEFI固件的核心安全机制，相当于电脑开机时的"第一道安检员"。它会在Windows系统正式加载前启动，严格验证开机时运行的所有软件和固件是否经过微软官方数字签名授权，从而拦截未签名的恶意代码，从根源上防止Rootkit等底层病毒在系统启动前偷偷加载。

而安全启动证书，就是这道安检员的"执法凭证"。目前即将失效的证书签发于2011年，伴随Windows 8系统同步推出，至今已稳定服役15年，覆盖了Windows 10、Windows 11以及多个Windows Server版本的绝大多数设备。

证书失效后会有什么影响？

微软特别强调，证书失效并非"紧急漏洞"，设备不会立即无法开机。但如果不及时完成新旧证书交替，设备将进入"安全降级"状态：

• 安全性永久降级：微软将停止推送依赖安全启动签名校验的启动核心更新，以及恶意软件拦截黑名单，设备将失去针对启动流程新型攻击的防护能力
• 未来系统升级受阻：后续Windows重大版本更新将强制校验设备是否安装了新版证书，缺少该凭证将无法完成系统升级
• 第三方程序信任异常：通过新版证书签名的第三方启动程序、硬件驱动，在未更新的设备上会校验失败，无法正常运行
• BitLocker等安全功能可能受影响：依赖Secure Boot信任链的功能也可能受到波及

如何完成证书更新？

对于绝大多数普通用户而言，无需手动操作。只要保持Windows系统开启自动更新，新版（2023版）安全启动证书就会通过常规的月度安全更新（即"补丁星期二"）自动推送安装，完成新旧交替。

2024年后出厂的新设备大多已预置新版证书，2025年出货的设备则已完全就绪，这类用户基本无需担心。

自查方法：打开系统自带的"Windows安全中心"，进入"设备安全性"，在"安全开机"板块中即可查看当前凭证状态。只要电脑安装了2026年4月及之后的系统累积更新，就已经自动安装了2023版新证书。

需要重点注意的用户群体

Windows 10用户：Windows 10已于2025年10月14日终止官方支持，未加入扩展安全更新（ESU）计划的设备将无法通过常规更新获取新证书，这类用户需尽快升级到Windows 11或更换硬件。

老旧硬件用户：2011-2013年的老旧设备，大概率受限于固件版本无法安装新版凭证，将永久失去安全启动相关更新推送，建议评估硬件升级。

关闭了安全启动的用户：部分用户为安装Linux双系统或适配特殊硬件而手动关闭了安全启动功能。建议临时进入BIOS/UEFI开启安全启动，完成Windows系统更新后再根据需求重新关闭。

企业IT管理员：受控终端、隔离网络设备或限制更新的机器可能无法自动轮换证书，需主动排查设备状态，按照微软提供的运维指南批量完成更新。

背后的深远意义

2023版安全启动证书的有效期至2038年，但微软明确表示这并非最终期限。当前密码学行业正迎来后量子密码学（PQC）的全面迭代，微软预测2030年代出厂的全新硬件将全系搭载原生后量子加密凭证。

事实上，Windows 11已率先布局抗量子加密技术，BitLocker磁盘加密、系统核心签名等模块已逐步切换为后量子加密算法。本次证书更新，正是微软在全面实现量子安全升级前的关键过渡步骤。

总结

2026年6月的安全启动证书过期事件，不会让电脑"变砖"，但所有Windows用户务必在证书到期前完成系统更新检查。保持Windows自动更新开启，就是最简单有效的应对方式。对于企业环境和老旧设备，则需要IT管理员提前排查部署，确保全网设备安全防线不出现缺口。