Vypršení platnosti certifikátu Secure Boot: Co potřebujete vědět

Společnost Microsoft vydala aktualizaci certifikátů Secure Boot 2023 na všechny způsobilé počítače s Windows 11 a Windows 10 jen několik hodin před původním termínem vypršení platnosti, který byl stanoven na 24. června 2026. Podle prohlášení společnosti Microsoft: „Tato aktualizace zahrnuje do kvalitativních aktualizací Windows další data cílení zařízení s vysokou důvěrou, což zvyšuje pokrytí zařízení způsobilých k automatickému přijímání nových certifikátů Secure Boot. Zařízení obdrží nové certifikáty pouze po prokázání dostatečných úspěšných signálů aktualizace, což zajišťuje kontrolované a postupné nasazení.”

Pokud váš počítač obdržel aktualizaci Patch Tuesday z června 2026, je pravděpodobné, že certifikáty Secure Boot 2023 již byly na vašem zařízení nainstalovány. Níže naleznete vše, co potřebujete vědět o kontrole stavu certifikátů a řešení možných problémů.

Co je aktualizace certifikátu Secure Boot?

Secure Boot je bezpečnostní funkce na úrovni firmwaru, která ověřuje digitální podpis každé komponenty při spuštění, aby zabránila rootkitům a bootkitům v infiltraci spouštěcího řetězce. Certifikáty podporující tento systém byly vydány v roce 2011 a jejich data vypršení platnosti jsou následující:

• Microsoft Corporation KEK CA 2011: 24. června 2026
• Microsoft UEFI CA 2011: 27. června 2026
• Microsoft Windows Production PCA 2011: 19. října 2026

Aby bylo zajištěno, že Secure Boot bude fungovat i po těchto datech, společnost Microsoft od roku 2024 nasazuje nové certifikáty 2023 prostřednictvím služby Windows Update. Aktualizace z června 2026 významně rozšířila počet způsobilých zařízení, čímž většinu podporovaných počítačů zařadila do kategorie „vysoká důvěra“, kde jsou aktualizace aplikovány automaticky a bezpečně.

Jak ověřit, zda váš počítač má certifikáty Secure Boot 2023

Nejrychlejší způsob, jak ověřit stav certifikátů Secure Boot, je prostřednictvím aplikace Zabezpečení Windows, která byla přidána v dubnové aktualizaci Windows 11 z roku 2026. Postupujte podle těchto kroků:

1. Otevřete aplikaci Zabezpečení Windows.
2. Klikněte na Zabezpečení zařízení v levém menu.
3. Sjeďte do sekce Secure Boot a zkontrolujte svůj stav.

Zobrazí se vám jeden z následujících stavových indikátorů:

• Zelená fajfka: Označuje, že všechny požadované aktualizace certifikátů byly aplikovány a není třeba žádné další akce.
• Žluté varování: Označuje, že aktualizace čeká. Může být vyžadována kompatibilní data nebo aktualizace BIOSu od výrobce vašeho počítače, než bude možné certifikáty nainstalovat.
• Červený varovný symbol: Označuje konkrétní problém blokující aktualizaci, obvykle kvůli nekompatibilitě firmwaru. Zkontrolujte stránku podpory výrobce vašeho počítače pro aktualizaci BIOSu.

Pokud sekce Secure Boot chybí, pravděpodobně to znamená, že Secure Boot je deaktivován nebo byl váš počítač nainstalován s obcházením registru na nepodporovaném hardwaru. Pro podrobné kroky týkající se starších a nepodporovaných počítačů si přečtěte náš průvodce ověřením Secure Boot.

Co dělat, pokud váš počítač neobdržel aktualizaci Secure Boot?

Chybějící aktualizace certifikátů Secure Boot 2023 neznamená, že váš počítač přestane fungovat. Microsoft potvrdil, že zařízení bez aktualizovaných certifikátů budou nadále normálně bootovat a přijímat pravidelné aktualizace Windows. Tato zařízení však již nebudou dostávat budoucí bezpečnostní aktualizace na úrovni bootu, což je může časem vystavit zranitelnostem, jako je bootkit BlackLotus.

U moderního hardwaru se aktualizace aplikuje automaticky. Pokud váš počítač zobrazuje žluté varování, vyčkejte na další cyklus Windows Update. Microsoft nadále rozšiřuje pokrytí zařízení s každou měsíční aktualizací. U staršího hardwaru, kde výrobci ukončili podporu, nemusí být získání certifikátů 2023 možné. V takových případech je prvním krokem kontrola aktualizace BIOSu před zvážením manuálních zásahů.

Váš počítač se může po aktualizaci restartovat dvakrát

Během procesu aktualizace certifikátů Secure Boot je běžné, že se počítač restartuje dvakrát nebo třikrát. Microsoft potvrdil, že toto chování je očekávané kvůli vícestupňovému procesu, který zahrnuje:

1. Zapisování nových certifikátů do firmwaru.
2. Aplikaci aktualizovaného boot manageru.
3. Bootování Windows s aktualizovaným řetězcem Secure Boot.

Kromě toho se může objevit nová složka na C:\Windows\SecureBoot. Nejedná se o malware; Windows ji používá k ukládání kryptografických souborů certifikátů před jejich zápisem do firmwaru. Tuto složku nemažte.

Uživatelé Windows 10 také dostávají aktualizace Secure Boot

Navzdory tomu, že Windows 10 dosáhl stavu End-of-Life, byly aktualizace Secure Boot zpřístupněny uživatelům zapsaným v programu Extended Security Updates (ESU). Od aktualizace z května 2026 (KB5087544) začali uživatelé Windows 10 přijímat informace o stavu Secure Boot. Uživatelé, kteří nejsou zapsáni v programu ESU, tyto aktualizace prostřednictvím Windows Update neobdrží.

Přechod na ESU vyžaduje přechod z místního účtu na účet Microsoft. Pro uživatele Windows 11 obsahuje aktualizace z června 2026 největší nasazení certifikátů Secure Boot dosud.

Pro IT administrátory: Klíčové informace o termínu 24. června

Od 24. června 2026 již Microsoft Corporation KEK CA 2011 nemůže podepisovat nové revokační balíčky Secure Boot (aktualizace DBX) starým klíčem. Stávající podepsané balíčky a manuální metody nasazení však budou nadále fungovat. Klíč DB zůstává platný do 19. října 2026, což umožňuje společnosti Microsoft podepisovat nové boot managery až do tohoto data.

Microsoft pořádal AMA sezení s inženýry, aby řešil obavy IT administrátorů, včetně kategorií důvěry zařízení, monitorování přes Intune, scénáře PXE bootu a specifik pro virtuální stroje. Pro správu flotily podnikových zařízení zůstává primárním zdrojem aka.ms/GetSecureBoot.

Zařízení v pozastavené kategorii vyžadují aktualizaci BIOSu od OEM před aplikací aktualizace Secure Boot. Vynucení aktualizace bez firmwarové aktualizace se nedoporučuje a může vést k selhání bootování nebo spuštění obnovy BitLockeru.

Windows Latest závisí na čtenářích, jako jste vy. Zvažte, že nás nastavíte jako svůj preferovaný zdroj na Google Discover a Google Search, abyste podpořili naše nezávislé zpravodajství.