Certificado do Secure Boot venceu: seus PCs e servidores estão em dia?

No dia 19 de outubro de 2026 venceu o Microsoft Windows Production PCA 2011, o certificado que há anos assina o carregador de inicialização do Windows. Foi o último de um grupo de certificados do Secure Boot emitidos em 2011, e os outros já tinham expirado em junho. Se nenhum computador da sua empresa parou de ligar naquela segunda-feira, isso não significa que está tudo certo.

A expiração não derruba máquina nenhuma. O problema é silencioso: quem não recebeu os certificados novos segue funcionando normalmente, mas deixa de receber uma parte das proteções de segurança. Neste artigo explicamos o que mudou, quem precisa agir e como conferir.

O que é o Secure Boot e o que venceu

O Secure Boot é um recurso do firmware (a antiga BIOS, hoje UEFI) que confere se o que está sendo carregado na hora de ligar o computador é confiável. Ele funciona antes do Windows e, portanto, antes do antivírus. É o que dificulta a vida dos bootkits, programas maliciosos que se instalam na inicialização justamente para rodar antes de qualquer defesa.

Para decidir em quem confiar, o firmware guarda uma lista de certificados. Os que a Microsoft usa desde 2011 chegaram ao fim da validade neste ano:

O que acontece com quem não atualizou

Segundo a Microsoft, o equipamento sem os certificados novos continua ligando e funcionando normalmente, e as atualizações comuns do Windows seguem sendo instaladas. Programas, rede e navegação não mudam. O que para é a chegada de novas proteções para a fase de inicialização.

A Microsoft descreve o resultado como uma proteção que diminui aos poucos, conforme novas ameaças surgem. Hoje a diferença pode parecer pequena. O risco aparece no dia em que for descoberta uma falha grave na inicialização e a correção não puder ser aplicada naquele equipamento, sem que nenhum alerta chame a atenção.

Quem recebe sozinho e quem precisa agir

Aqui está o ponto mais importante para as empresas: computadores e servidores não seguem o mesmo caminho.

• PCs com Windows 10 e 11: a maioria deve receber os certificados automaticamente pelo Windows Update, com o Secure Boot ligado e as atualizações em dia.
• Servidores Windows: a Microsoft avisa que eles não recebem os certificados pela distribuição automática usada nos PCs. Quem administra o servidor precisa instalar as atualizações cumulativas mais recentes e iniciar a troca.
• Servidores novos: muitos equipamentos fabricados a partir de 2024, e quase todos os de 2025, já saem de fábrica com os certificados de 2023. Mesmo assim, vale confirmar.
• Máquinas mais antigas: podem precisar de atualização de firmware do fabricante, e essa atualização pode existir apenas para modelos ainda dentro do período de suporte.
• Máquinas virtuais: confira cada uma. Cada VM guarda as próprias configurações de Secure Boot, então não presuma que atualizar o host resolve tudo.

Como conferir nos computadores

Em um PC com Windows atualizado, abra Segurança do Windows > Segurança do dispositivo > Secure Boot. Leia o texto, e não apenas o ícone: a própria Microsoft avisa que o sinal verde sozinho não prova que os certificados foram atualizados.

• Totalmente atualizado (verde): certificados e gerenciador de inicialização novos instalados. Nada a fazer.
• Ainda não atualizado: conecte à internet, instale as atualizações do Windows e reinicie se for solicitado.
• Amarelo: alguma limitação de hardware ou firmware impede a atualização automática. Procure o fabricante do equipamento.
• Vermelho: há uma correção de inicialização que não pode ser aplicada na configuração atual. A Microsoft orienta seguir o guia em aka.ms/getsecureboot.

Um detalhe que engana muita empresa: em equipamentos gerenciados, os alertas coloridos e as notificações do Secure Boot vêm desativados por padrão. Ou seja, a falta de aviso na tela não quer dizer que a máquina esteja em dia. O texto de status continua disponível, e a equipe de TI pode ativar os alertas.

Como conferir nos servidores

No Windows Server, a verificação é mais técnica e costuma ficar com a equipe de TI. Pela documentação da Microsoft:

• No registro, o valor UEFICA2023Status deve estar como Updated. Qualquer outro resultado pede ação.
• No Visualizador de Eventos, em Logs do Windows > Sistema, o evento 1808 indica sucesso.
• Os eventos 1801 (atualização incompleta), 1800 (reinício necessário), 1803 (falta KEK) e 1795 (erro de firmware) mostram que o processo não terminou. No caso do 1803 e do 1795, o caminho passa pelo firmware do fabricante.

Checklist para a sua empresa

1. Liste o parque: computadores, notebooks, servidores físicos, máquinas virtuais e terminais com Windows, com modelo e idade de cada um.
2. Comece pelos servidores, que dependem de ação manual e costumam concentrar os dados mais importantes.
3. Instale as atualizações do Windows antes de qualquer outra medida e reinicie as máquinas. Equipamento que nunca reinicia pode ficar com a troca pela metade.
4. Verifique o firmware no site do fabricante, principalmente nos modelos mais antigos.
5. Tenha as chaves do BitLocker à mão: atualizar o firmware ou mexer no Secure Boot pode fazer o computador pedir a chave de recuperação na inicialização. Sem ela, o acesso aos dados fica comprometido.
6. Teste antes de espalhar: em servidores, faça primeiro em uma máquina de cada modelo e tenha backup recente.
7. Não restaure o firmware para o padrão de fábrica sem necessidade: a Asus alerta que, em uma máquina já atualizada, voltar a um padrão sem o certificado novo pode bloquear a inicialização.
8. Nunca desligue o Secure Boot para resolver o assunto. A Microsoft é clara: isso reduz bastante a proteção e não é solução.

Resumo

O vencimento do certificado do Secure Boot não tirou nenhum sistema do ar, e é por isso que ele pode passar despercebido. A maioria dos computadores tende a se resolver pelo Windows Update, desde que esteja em dia, mas servidores Windows dependem de ação da equipe de TI, e máquinas antigas podem depender do fabricante. Vale conferir agora, com calma, em vez de descobrir o problema quando surgir uma falha grave de inicialização.

A Nexum faz esse levantamento nos computadores e servidores da sua empresa, aplica as atualizações com planejamento e backup, e acompanha o ambiente com o Nexum Defense.