Windows 11 automaticky zavádí aktualizaci certifikátu Secure Boot 2023 s červnovou aktualizací Patch Tuesday 2026

S červnovou aktualizací Patch Tuesday 2026 (KB5094126) Microsoft rozšířil zavádění aktualizace certifikátu Secure Boot 2023 na širší škálu zařízení s Windows 11 a Windows 10. Po dobu téměř dvou let bylo zavádění opatrné a fázované kvůli kontrolám kompatibility firmwaru. Nicméně s touto poslední aktualizací je většina podporovaných spotřebitelských počítačů, pro které má Microsoft diagnostická data, nyní kategorizována jako vysoká důvěra. To znamená, že certifikáty buď již byly aplikovány, nebo se aplikují automaticky bez nutnosti zásahu uživatele.

Secure Boot je pro mnoho uživatelů Windows nepochopené téma. Zatímco IT profesionálové jej mohou znát, běžní domácí uživatelé se často ptají, zda musí podniknout nějaké kroky. Krátká odpověď pro většinu uživatelů je ne. Nicméně existují specifické scénáře, které mohou vyžadovat další pozornost, o kterých budeme hovořit níže.

Co je Secure Boot a proč je důležitý pro váš počítač?

Secure Boot je bezpečnostní funkce zabudovaná do firmwaru vašeho počítače, konkrétně do UEFI (Unified Extensible Firmware Interface), která nahradila starší systém BIOS. Když zapnete počítač, Secure Boot ověřuje kryptografický podpis softwaru, který se pokouší načíst před spuštěním Windows. Pokud se během tohoto procesu pokusí spustit neautorizovaný software, jako jsou rootkity nebo bootkity, Secure Boot jej zablokuje. Tato funkce je od svého uvedení povinná pro Windows 11 a je ve výchozím nastavení povolena na většině moderních počítačů.

Původní certifikáty podporující Secure Boot byly vydány v roce 2011 a nyní jsou postupně vyřazovány, s expiracemi začínajícími 24. června 2026 a pokračujícími do října 2026. Microsoft dodává náhradní certifikáty, známé jako Secure Boot 2023, aby zajistil, že počítače zůstanou bezpečné a schopné přijímat aktualizace na úrovni spouštění i po expiraci starších certifikátů.

Pokud jste běžný uživatel Windows 11 nebo Windows 10, co byste měli dělat

Pro většinu domácích uživatelů není potřeba žádná manuální akce. Certifikáty Secure Boot 2023 jsou doručovány prostřednictvím Windows Update. Pokud je vaše zařízení způsobilé a Windows Update není pozastaven, aktualizace proběhne automaticky na pozadí. Nicméně je doporučeno ověřit stav aktualizace:

1. Otevřete aplikaci Zabezpečení Windows.
2. Přejděte na Zabezpečení zařízení > Secure Boot.
3. Zkontrolujte indikátor stavu:
   • Zelená zaškrtávací značka: Váš počítač je plně aktualizován a není potřeba žádná další akce.
   • Žluté varování: Aktualizace certifikátu čeká. Ujistěte se, že Windows Update běží, a vyčkejte.
   • Červené upozornění: To označuje problém s kompatibilitou firmwaru. Navštivte stránku podpory výrobce vašeho zařízení a stáhněte a nainstalujte nejnovější aktualizaci BIOS/UEFI.

Někteří uživatelé zaznamenali, že jejich počítače se během nedávných aktualizací několikrát restartovaly. Microsoft potvrdil, že toto je očekávané chování kvůli procesu aktualizace certifikátu Secure Boot, který zahrnuje několik fází: přípravu certifikátů, jejich aplikaci a restartování pro aktualizaci bootloaderu.

Pokud si všimnete nové složky SecureBoot uvnitř C:\Windows, neodstraňujte ji. Tato složka je používána Windows pro přípravu kryptografických souborů před jejich nahráním do firmwaru. Její odstranění není nutné a mohlo by narušit proces aktualizace.

Starší PC a kompatibilita

Starší PC spadají do různých kategorií:

• Novější PC (2020 nebo novější): Červnová aktualizace pravděpodobně pokryje tato zařízení automaticky.
• PC střední éry (2015–2019): Tato zařízení mohou vyžadovat další čas, aby Microsoft shromáždil data o kompatibilitě.
• Velmi staré PC: Některá nemusí obdržet aktualizaci kvůli nevyřešeným problémům s firmwarem. V takových případech může být nutné manuální řešení problémů nebo podpora výrobce.

Pro domácí uživatele není potřeba manuálně měnit nastavení BIOSu nebo klíče registru. Microsoft uvedl, že proces je automatický pro zařízení, která přijímají aktualizace prostřednictvím Windows Update.

Zařízení HP – Specifické problémy

Uživatelé HP by si měli všimnout, že některé aktualizace BIOSu z dubna 2026 způsobily cykly obnovy BitLocker a chyby při spouštění na určitých prémiových noteboocích a pracovních stanicích. HP tento problém od té doby řešilo vydáním aktualizovaného firmwaru. Pokud se setkáte s takovými problémy, zkontrolujte stránku podpory HP pro nejnovější aktualizace BIOSu a nainstalujte je před pokračováním.

Co by měli vědět IT administrátoři

Červnová aktualizace 2026 výrazně rozšířila seznam zařízení v databázi s vysokou důvěrou Microsoftu, což umožňuje automatické aktualizace certifikátů pro většinu spravovaných systémů. Administrátoři spravující zařízení prostřednictvím Intune mohou sledovat průběh aktualizací prostřednictvím Intune Secure Boot monitorovací zprávy, která zvýrazňuje stav všech spravovaných zařízení.

Pro zařízení mimo kategorii vysoké důvěry může být vyžadován manuální zásah. To zahrnuje spuštění aktualizací prostřednictvím politik Intune nebo klíčů registru. Administrátorům se doporučuje:

1. Stáhnout monitorovací zprávu Secure Boot.
2. Identifikovat zařízení, která ještě nebyla aktualizována.
3. Otestovat aktualizace na malém počtu zařízení.
4. Rozšířit nasazení až po úspěšném testování.

Zařízení pozastavená kvůli problémům s kompatibilitou firmwaru vyžadují aktualizace firmwaru od OEM před pokračováním. Microsoft poskytuje podrobné pokyny pro řešení takových případů a zdůrazňuje důležitost monitorování živých dat, aby se zabránilo jednání na základě zastaralých zpráv.

Klíčové protokoly událostí pro odstraňování problémů

IT administrátoři mohou použít Prohlížeč událostí Windows k diagnostice problémů s aktualizací Secure Boot:

• ID události 1801: Označuje, že zařízení je pod pozorováním a čeká na další data.
• ID události 1802: Signalizuje problém s kompatibilitou na úrovni firmwaru.
• ID události 1808: Potvrzuje úspěšné aktualizace certifikátů Secure Boot.

Závěr

Aktualizace certifikátů Secure Boot je klíčovým krokem k udržení bezpečnosti na úrovni spouštění pro zařízení s Windows. Pro většinu uživatelů je tento proces bezproblémový a automatický. IT administrátoři spravující velké flotily by měli zajistit kompatibilitu a pečlivě monitorovat aktualizace. Pro více informací navštivte centrální zdroj Microsoftu na aka.ms/GetSecureBoot.