Il 19 ottobre 2026 scade l’ultimo dei certificati Secure Boot che Microsoft usa dal 2011 per proteggere l’avvio di Windows. È una di quelle notizie tecniche che passano inosservate, ma che riguardano ogni PC dell’ufficio: se un computer non riceve i certificati nuovi, continua ad accendersi, ma perde gradualmente una protezione importante contro i malware più subdoli. In questo articolo ti spiego in parole semplici cosa sta succedendo, come controllare in due minuti se i tuoi computer sono a posto e cosa fare se non lo sono.
Cos’è Secure Boot e perché ha dei certificati
Secure Boot (“avvio protetto”) è una funzione del firmware del computer, cioè del software di base che parte prima di Windows (quello che una volta si chiamava BIOS, oggi UEFI). Il suo compito è controllare che i programmi caricati all’accensione siano autentici e non siano stati manomessi.
Per farlo usa dei certificati digitali: una sorta di “firme di garanzia” rilasciate da Microsoft. Se il programma di avvio porta una firma valida, Secure Boot lo lascia partire; se la firma manca o è falsa, lo blocca. È la difesa principale contro i bootkit, malware che si nascondono nella fase di avvio e possono disattivare l’antivirus prima ancora che Windows sia caricato.
Come tutti i certificati, anche questi hanno una data di scadenza. Quelli in uso su quasi tutti i PC sono stati emessi nel 2011 e stanno scadendo proprio quest’anno.
Le scadenze dei certificati Secure Boot nel 2026
I certificati interessati sono tre. Come riepilogato da Malwarebytes e dalla documentazione dell’Università del Wisconsin:
- Microsoft Corporation KEK CA 2011: scaduto il 24 giugno 2026;
- Microsoft UEFI CA 2011: scaduto il 27 giugno 2026;
- Microsoft Windows Production PCA 2011: scade il 19 ottobre 2026. È quello legato al programma di avvio di Windows.
Microsoft li sta sostituendo con nuovi certificati datati 2023, distribuiti tramite i normali aggiornamenti di Windows. Le due scadenze di giugno sono già passate: quella di ottobre chiude la transizione, ed è il momento giusto per verificare che tutti i computer abbiano completato il passaggio.
Cosa succede a un PC che non viene aggiornato
Partiamo dalla notizia rassicurante: il computer non smette di funzionare. Secondo la pagina ufficiale di Microsoft, un dispositivo con i vecchi certificati continua ad avviarsi e a installare i normali aggiornamenti di Windows.
Il problema è più sottile. Quel PC non può più ricevere le nuove protezioni della fase di avvio: aggiornamenti del programma di avvio, liste dei componenti revocati perché vulnerabili, correzioni per falle scoperte in futuro. Microsoft scrive che il dispositivo diventa “progressivamente meno protetto” man mano che emergono nuove minacce. In pratica è come un antifurto che funziona ancora, ma che nessuno può più aggiornare quando i ladri imparano un trucco nuovo.
Non è un rischio teorico: il bootkit BlackLotus, scoperto nel 2023, riusciva proprio ad aggirare Secure Boot su sistemi Windows aggiornati, ed è uno dei motivi per cui Microsoft ha avviato questo rinnovo.
Come controllare se i PC dell’ufficio sono a posto
Da aprile 2026 Microsoft ha aggiunto un controllo direttamente nell’app Sicurezza di Windows. Su ogni computer:
- apri Sicurezza di Windows dal menu Start;
- vai su Sicurezza dispositivi;
- apri la sezione Avvio protetto (Secure Boot) e leggi il messaggio.
Attenzione a un dettaglio che Microsoft stessa sottolinea nella guida allo stato dei certificati: la spunta verde da sola non basta. Leggi il testo e cerca la conferma che gli aggiornamenti dei certificati sono completati.
Cosa significano i messaggi
Il testo esatto può variare, ma in sostanza i casi sono questi:
- Aggiornato: non devi fare nulla;
- Aggiornamento in attesa: installa gli ultimi aggiornamenti di Windows e riavvia quando richiesto;
- Aggiornamenti temporaneamente sospesi per un problema noto: non serve intervenire, ripartono da soli;
- Hardware o firmware non supporta l’aggiornamento automatico: serve un aggiornamento del firmware dal produttore del computer;
- Icona rossa: il PC è rimasto ai vecchi certificati e richiede un intervento.
Se gestisci più computer, chi si occupa della tua assistenza può verificare lo stato anche in modo centralizzato, tramite il registro di sistema o gli strumenti di gestione come Intune, seguendo la documentazione tecnica Microsoft.
Cosa fare in pratica: 5 passi per studi e PMI
1. Tieni Windows aggiornato
Per la maggior parte dei computer il passaggio è automatico tramite Windows Update. I PC che restano spenti per settimane, o su cui gli aggiornamenti vengono rimandati all’infinito, sono quelli che vedo più spesso indietro. Accendili, lasciali aggiornare e riavviali.
2. Controlla gli aggiornamenti del firmware
Sui computer meno recenti il firmware potrebbe non accettare i nuovi certificati. Cerca il modello sul sito del produttore (Dell, HP, Lenovo, ecc.) e installa l’aggiornamento BIOS/UEFI più recente. Microsoft avverte che questi aggiornamenti potrebbero essere disponibili solo finché il dispositivo è nel periodo di supporto del produttore: un motivo in più per non rimandare.
3. Recupera le chiavi di ripristino BitLocker
Se i dischi sono cifrati con BitLocker, in alcuni casi l’aggiornamento del firmware o dei certificati può far comparire la richiesta della chiave di ripristino all’avvio. Prima di intervenire, assicurati di averla: di solito è salvata nell’account Microsoft o nel portale aziendale. Un PC bloccato su quella schermata senza chiave significa una mattinata persa, o peggio.
4. Non disattivare Secure Boot
Capita che qualcuno lo disattivi per “risolvere” un problema di avvio o di compatibilità. È una scorciatoia da evitare: Microsoft spiega che così si riduce in modo significativo la protezione del dispositivo. Se un programma o una periferica richiedono di spegnerlo, è il momento di farsi qualche domanda su quel programma.
5. Occhio ai computer senza più supporto
I certificati nuovi arrivano con gli aggiornamenti: un PC che non li riceve più non può ricevere nemmeno questi. Vale per i computer con Windows 10 non iscritti al programma ESU, di cui ho parlato nell’articolo su Windows 10 ESU e cosa cambia per le aziende, e per i sistemi più vecchi.
Perché vale la pena occuparsene adesso
Il rischio di un bootkit su un PC di uno studio professionale non è il primo pensiero della giornata, lo so. Ma la verifica costa pochi minuti per computer, mentre un malware annidato nella fase di avvio è tra i più difficili da individuare e rimuovere. E per chi rientra negli obblighi della direttiva NIS2, tenere aggiornati i sistemi è parte delle misure di sicurezza richieste.
Se preferisci non fare il giro dei computer da solo, posso occuparmene io: controllo dello stato, aggiornamenti del firmware e messa al sicuro delle chiavi BitLocker. Trovi come lavoro nella pagina dei servizi.
Domande frequenti
Dopo il 19 ottobre il mio PC non si accenderà più?
No. Il computer continua ad avviarsi e a ricevere i normali aggiornamenti. Perde però la possibilità di ricevere le nuove protezioni della fase di avvio, e diventa più esposto nel tempo.
Devo comprare qualcosa o installare un programma?
No. I nuovi certificati arrivano gratuitamente con Windows Update. Al massimo serve un aggiornamento del firmware, anch’esso gratuito, dal sito del produttore del PC.
Riguarda anche i Mac?
No, questi certificati riguardano i computer con Windows e firmware UEFI. Anche i server Windows sono interessati e vanno verificati.
Come capisco se il mio PC ha già i certificati nuovi?
Apri Sicurezza di Windows, poi Sicurezza dispositivi e Avvio protetto, e leggi il messaggio: deve indicare che l’aggiornamento è completato, non basta la spunta verde.