Windows 安全啟動憑證將於 2026 年 6 月到期：現在該怎麼辦？

支撐所有現代 Windows 系統啟動的加密信任機制正在經歷一場悄無聲息卻至關重要的過渡。自 2011 年以來隨電腦預先安裝的安全啟動憑證將於 2026 年 6 月開始陸續過期，微軟正致力於用透過 Windows 更新推送的 2023 年新憑證系列來取代它們。最令人擔憂的情況是設備可能因此無法啟動。但實際情況遠沒有那麼嚴重，而且對大多數用戶來說，這種變化幾乎是察覺不到的。

簡要解答：保持 Windows 更新啟用狀態，並安裝最新的累積更新。然後開啟 Windows 安全中心，依序點選「裝置安全性」 > 「安全啟動」，確保狀態顯示為新的 2023 信任鏈。大多數受支援設備的韌體無需手動操作。

---

哪些安全啟動憑證將於 2026 年到期？

這不是單一的截止日期。 2011 年的基礎設施將在年內分階段逐步關閉，因此才會出現不同的日期說法。第一批硬體的失效日期從 6 月下旬開始，隨後是幾個月後的 10 月，屆時Windows 作業系統的金鑰也將失效。

證書	角色	到期日
KEK CA 2011	金鑰交換金鑰，用於更新簽章資料庫	24年2026月XNUMX日
UEFI CA 2011	第三方簽名錨點	27年2026月XNUMX日
Windows 生產 PCA 2011	原始 Windows 啟動管理器金鑰	2026年XNUMX月

2023 年發布的替代產品旨在延續這種信任，預計有效期至 2038 年。眼下的目標很簡單，就是在舊系列產品無法使用之前，將現有電腦移轉到新系列產品。

---

如果錯過了 2026 年 6 月的截止日期會怎麼樣？

第一天不會出現任何問題。使用 2011 年證書的電腦仍可正常運作。證書過期並不意味著您的設備將完全無法使用。

這種代價是緩慢且累積的。使用舊憑證的系統可能會停止接收關鍵的啟動安全性更新，並可能錯過未來的 DBX 撤銷清單更新。此清單會阻止已知的惡意啟動元件和啟動工具包威脅，例如 BlackLotus。隨著時間的推移，未接收 2023 系列更新的設備將更難抵禦韌體級攻擊，並且可能需要使用包含設備所缺乏的可信任材料的未來啟動管理器或恢復環境。

因此，「目前有效」的說法是準確的，但這並不等於「無限期地安全」。

如何在 Windows 中檢查安全啟動狀態

您無需再猜測何時會有更新；Windows 現在直接在 Windows 安全性中心應用程式中顯示憑證狀態，無需像以前那樣在 PowerShell 中搜尋。

1. 在搜尋欄中輸入「Windows 安全中心」並開啟它。這是用於保護您設備的內建控制面板。

2. 選擇「裝置安全性」，然後向下捲動至「安全啟動」項目。狀態文字和徽章顏色指示目前裝置狀態。

3. 閱讀訊息。 「安全啟動已啟用，可防止惡意軟體在裝置啟動時載入」是正常狀態。如果出現「舊的啟動信任配置需要更新」的提示，則表示遷移程序尚未完成。

如果您希望獲得明確的「是」或「否」答案，請以管理員身分開啟 PowerShell 並執行一次掃描。電腦必須處於 UEFI 模式並啟用安全啟動；此命令無法在虛擬機器中運作。

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

參考值表示 True 關於是否存在2023年證書。至於 False 這意味著新證書尚未實施。

---

綠色、黃色和紅色安全啟動徽章分別代表什麼意思？

Windows 安全中心的狀態指示器會顯示三種正常狀態。您可以根據此指示器判斷是否可以放心，或者設備是否需要進行更徹底的掃描。

徽章	意義	行動
綠色	2023 年新證書已確認	無需採取任何行動。
黃色的	他仍在繼續使用舊版證書或等待分階段發放。	安裝 更新 重啟設備；稍後再檢查。
紅色的	啟動配置問題導致更新無法進行。	解決韌體或安全啟動設定問題，或套用 OEM 韌體。

紅色指示燈對 IT 團隊來說至關重要。它通常表示韌體狀態、磁碟佈局或裝置目標設定導致裝置無法透過 Microsoft 自動交付，因此僅重新啟動 Windows 更新可能無法解決問題。在這種情況下，您可能需要解決更深層的韌體或啟動設定問題。有關將遊戲玩家升級到 Windows 11 的更多信息，請參閱我們的其他文章。

---

SecureBoot 資料夾和額外的重新啟動：為什麼它們是正常的？

此次更新有兩個面向容易引起使用者擔憂。首先是出現了一個名為「新資料夾」的資料夾。 SecureBoot 在您的 C 碟上，這個資料夾是一個合法的暫存區域，Windows 會將憑證檔案存放在這裡，然後再將其安裝到主機板韌體中。刪除此資料夾是一種「清理」操作，反而會導致您想要避免的問題，因此建議您保留它。

第二個方面是頻繁重啟。向韌體推送資料需要重啟一次來準備證書，再重啟一次讓韌體應用程式證書，最後重啟一次來載入新簽署的引導程式。因此，在這種情況下，更新需要比平常更多的重啟是預期行為，並不表示安裝失敗。

也無需停用 BitLocker。此程序與 BitLocker 相容，並會自動重新鎖定 BitLocker 和虛擬安全模式的金鑰，確保 Windows Hello 和磁碟加密在重新啟動後仍然有效。

---

安全啟動憑證更新何時會被跳過或封鎖？

並非所有設備都能獲得新的認證，這是有意為之。相關規則具體明確。

• 傳統BIOS系統 這些系統已被完全繞過。它們不支援安全啟動，因此被標記為不具備此功能，Windows 也永遠不會嘗試更新它們。
• CSM（相容性支援模組）設備 只要它還能運行 UEFI 和安全啟動，它就可以接收更新。
• 在 BIOS 中停用安全啟動 更新已被有意阻止。由於 UEFI 實作方式有顯著差異，微軟要求主動啟用安全啟動，以防止啟動順序損壞。

如果您有意停用安全啟動，裝置將繼續使用舊證書，直到您重新啟動裝置為止。需要注意一種特殊情況：遷移後清除 CMOS 或重置 BIOS 可能會恢復原始配置，導致啟動時出現安全啟動違規。通常可以透過允許 Windows重新套用憑證或透過韌體設定匯入最新金鑰來解決此問題。

Windows 10 裝置也需要這個嗎？

是的，Windows 10 裝置需要此更新。安全啟動的底層基礎架構是共用的，這表示受支援的 Windows 10 系統會收到相同的 2023 年憑證。但是，前提條件是符合更新條件；Windows 10 裝置需要啟用擴充安全性更新 (ESU) 才能繼續接收相關更新，因為憑證傳輸是透過 Windows 更新進行的。

對於一般使用者而言，Windows 10 的 ESU 服務會在主流支援結束後繼續提供一年。一旦此期限結束，尚未遷移的 Windows 10 裝置將面臨啟動保護功能顯著減弱的問題，因為它將停止接收更新。

---

強製手動更新安全啟動證書

大多數家庭用戶通常無需執行此步驟。遷移過程旨在透過 Windows 更新自動完成，啟用「設定」>「隱私和安全性」>「診斷和回饋」下的診斷功能有助於系統識別現有憑證。但是，如果您遇到裝置無法正常更新的問題，可以使用受支援的方法手動執行更新。

1. 以管理員身分開啟命令提示符，並勾選「可用更新」選項。這將指示 Windows 設定安全啟動更新。

reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

2. 執行執行更新的排程任務。

Start-ScheduledTask -TaskName "MicrosoftWindowsPISecure-Boot-Update"

3. 重新啟動電腦；電腦可能會自動重新啟動幾次才穩定下來。然後，再次執行上面提到的 PowerShell 掃描。結果顯示… True 截至 2023 年證書生效為止。

注意：如果更新仍然失敗，設備可能需要從製造商取得韌體更新。某些較舊的主機板如果沒有更新的 UEFI 版本，則無法接受新的憑證架構。

---

伺服器、Hyper-V 和企業級集群

託管環境比消費級PC需要更多關注。 Windows Server不遵循為消費級使用者設計的自動更新流程，因此管理員必須手動套用新證書，並遵循微軟關於為伺服器準備安全啟動證書更新的指南。 Hyper-V部署可能還需要在主機和客戶虛擬機器上進行更新，才能正確實施變更。

請勿在所有裝置上啟用「啟用安全啟動憑證更新」政策。不同型號的韌體差異可能導致故障，並且在未驗證平台相容性的情況下強制大量重新啟動可能會使加密裝置陷入 BitLocker 恢復循環。因此，請先測試每種設備型號的代表性子集。

基於網路的啟動（PXE 啟動）存在一些限制。該協定每個用戶端只能提供一個啟動管理器，這意味著 2011 和 2023 版本的啟動管理器不能共存於同一個 boot.wim 檔案中。整個設備群遷移完成後，管理員可以使用 DISM 手動上傳和更新 boot.wim 檔案。為了方便監控，Microsoft 提供了 PowerShell 腳本，當憑證可用但尚未套用時，Intune 管理的裝置可能會顯示事件 ID 1801。此外，也可以透過 TPM WMI 來源中的事件檢視器日誌來確認狀態。

---

關鍵在於，2026 年 6 月只是一個截止日期，而非災難。 Windows 11 和 Windows 10 裝置在 2011 年憑證過期後仍可繼續運行，全新安裝 Windows 11 或升級到 26H2 版本目前仍然有效。您應該關注的是那些長期未更新的設備，例如閒置的備份設備、服務終端以及實驗室電腦，這些設備更新時間過長，無法接收新版本。對於其他用戶，請保持 Windows 更新，並在提示時允許其重啟，保留新資料夾，並在完成後檢查是否出現綠色徽章。