19 października 2026 roku wygasa Microsoft Windows Production PCA 2011, certyfikat używany przez Windows do podpisywania programu rozruchowego systemu. Microsoft zastępuje go nowszym Windows UEFI CA 2023 i od miesięcy przygotowuje komputery do tej zmiany.
Nie oznacza to, że dziś wieczorem miliony komputerów przestaną się uruchamiać. Windows może nadal działać normalnie i pobierać standardowe aktualizacje. Kłopot zaczyna się wtedy, gdy urządzenie pozostanie przy starych certyfikatach i nie będzie mogło korzystać z przyszłych zabezpieczeń chroniących proces uruchamiania systemu.
Większość aktualizowanych komputerów powinna przejść na nowe certyfikaty bez udziału użytkownika. Warto jednak sprawdzić Secure Boot, zainstalować zaległe aktualizacje Windows i upewnić się, że producent komputera nie udostępnił nowego BIOS-u lub UEFI.
Najważniejsze informacje w skrócie:
- Microsoft Windows Production PCA 2011 wygasa 19 października 2026 roku,
- certyfikat jest wykorzystywany przy bezpiecznym uruchamianiu Windows,
- zastępuje go Windows UEFI CA 2023,
- komputer nie przestanie działać tylko dlatego, że stary certyfikat wygasł,
- standardowe aktualizacje Windows mogą być nadal instalowane,
- brak migracji może zablokować przyszłe zabezpieczenia dotyczące procesu rozruchu,
- większość komputerów otrzyma nowe certyfikaty automatycznie,
- starsze urządzenia mogą wymagać aktualizacji BIOS-u lub UEFI,
- stan Secure Boot i wdrożenia nowych certyfikatów można sprawdzić samodzielnie.
Certyfikat Windows wygasa właśnie dziś
Microsoft Windows Production PCA 2011 został przygotowany kilkanaście lat temu i jest częścią infrastruktury związanej z Secure Boot. Certyfikat służy do podpisywania programu odpowiedzialnego za rozpoczęcie uruchamiania Windows. Firmware komputera może dzięki temu zweryfikować, czy uruchamiany kod pochodzi z zaufanego źródła.
Jego ważność kończy się dokładnie 19 października 2026 roku. Microsoft przygotował następcę – Windows UEFI CA 2023 – i rozpoczął jego wdrażanie wcześniej, żeby nie zostawiać milionów urządzeń z przestarzałą konfiguracją Secure Boot.
Zmiana nie polega więc na tym, że 20 października Windows nagle odmówi współpracy. Starszy certyfikat może nadal znajdować się w firmware komputera, a system może się normalnie uruchomić. Problem dotyczy dalszego zabezpieczania tego mechanizmu.
Komputer pozostawiony bez nowych certyfikatów może z czasem nie otrzymywać kolejnych zmian przeznaczonych dla elementów działających jeszcze przed uruchomieniem samego systemu. Właśnie dlatego Microsoft od miesięcy prowadzi migrację na nową infrastrukturę.
Komputer nie przestanie się uruchamiać
Data wygaśnięcia certyfikatu może brzmieć alarmująco, ale Microsoft wyraźnie zaznacza, że brak aktualizacji nie oznacza natychmiastowego unieruchomienia urządzenia. Windows może nadal się uruchamiać i instalować zwykłe aktualizacje dostarczane przez Windows Update.
Różnica dotyczy ochrony na wcześniejszym etapie startu komputera. Secure Boot sprawdza podpisy elementów ładowanych przed Windows i ma blokować kod, któremu system nie powinien ufać. Zabezpieczenie utrudnia między innymi wykorzystanie złośliwego oprogramowania próbującego przejąć kontrolę nad komputerem jeszcze przed uruchomieniem systemu operacyjnego.
Jeżeli urządzenie nie przejdzie na nowe certyfikaty, może w przyszłości nie otrzymać zabezpieczeń dla Windows Boot Managera i innych komponentów uruchamianych przed systemem. Microsoft ostrzega również, że problemy z migracją częściej mogą pojawiać się na komputerach korzystających ze starego firmware’u.
Windows powinien zrobić większość pracy sam
Na zwykłym komputerze domowym użytkownik nie powinien ręcznie wymieniać kluczy Secure Boot. Microsoft prowadzi wdrożenie nowych certyfikatów za pomocą mechanizmów aktualizacyjnych Windows, a cały proces może wymagać kilku etapów i ponownych uruchomień.
Warto zacząć od Ustawienia → Windows Update → Sprawdź aktualizacje i zainstalować wszystkie dostępne poprawki. Jeżeli korzystasz już z najnowszej wersji systemu, możesz również sprawdzić nasz tekst o Windows 11 26H2, w którym opisujemy aktualne wydanie Windows 11 i sposób jego instalacji.
Microsoft zwraca szczególną uwagę na starsze komputery. Jeśli firmware urządzenia nie obsługuje prawidłowo nowych certyfikatów, potrzebna może być aktualizacja BIOS-u lub UEFI przygotowana przez producenta laptopa, gotowego komputera albo płyty głównej.
Jak sprawdzić, czy Secure Boot jest włączony?
Najłatwiejszy test nie wymaga instalowania żadnego programu. Naciśnij kombinację Windows + R, wpisz:
msinfo32
i zatwierdź Enterem. Otworzy się okno „Informacje o systemie”. Znajdź pozycję Stan bezpiecznego rozruchu. Jeżeli widzisz wartość „Włączone”, Secure Boot działa.
Warto sprawdzić również pozycję Tryb systemu BIOS. Na współczesnym komputerze z Windows 11 powinien być tam widoczny tryb UEFI. Jeśli potrzebujesz dokładniejszej instrukcji dotyczącej UEFI, TPM 2.0 i Secure Boot, opisaliśmy cały proces w poradniku jak zainstalować Windows 11.
Samo włączenie Secure Boot nie daje jednak odpowiedzi na pytanie, czy komputer dostał już komplet nowych certyfikatów. Funkcja może działać prawidłowo, a proces przechodzenia na Windows UEFI CA 2023 nadal może być w toku.
Stan migracji można sprawdzić dokładniej za pomocą PowerShell lub rejestru Windows.
Jak sprawdzić, czy komputer dostał nowe certyfikaty?
Microsoft zapisuje stan aktualizacji w rejestrze Windows. Najwygodniej odczytać go za pomocą PowerShell uruchomionego jako administrator.
Można użyć polecenia:
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name UEFICA2023Status
Interesuje nas wartość UEFICA2023Status. Microsoft wykorzystuje trzy podstawowe stany:
NotStarted– aktualizacja jeszcze się nie rozpoczęła,InProgress– proces trwa,Updated– nowe certyfikaty i odpowiedni Boot Manager zostały wdrożone.
Można również sprawdzić bezpośrednio, czy Windows UEFI CA 2023 znajduje się w bazie Secure Boot. W PowerShell uruchomionym jako administrator służy do tego polecenie:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes) -match 'Windows UEFI CA 2023'
Wynik True oznacza, że nowy certyfikat znajduje się w bazie Secure Boot. Jeżeli komputer pokazuje inny stan, nie trzeba od razu ręcznie modyfikować rejestru. Najpierw warto zainstalować wszystkie aktualizacje i sprawdzić firmware producenta.
Starszy BIOS może być największym problemem
Microsoft wskazuje przestarzały firmware jako jeden z powodów, dla których aktualizacja Secure Boot może nie przebiec prawidłowo. Dotyczy to szczególnie komputerów, których producenci od dawna nie aktualizowali BIOS-u albo w których przez lata nie instalowano nowych wersji firmware’u.
Objawy nieudanej migracji mogą być poważniejsze niż sam brak nowego certyfikatu. Microsoft wymienia między innymi błędy walidacji Secure Boot, pojawienie się ekranu odzyskiwania BitLocker, zawieszanie komputera podczas uruchamiania, a w skrajnych przypadkach problemy z rozpoczęciem pracy systemu.
Nie oznacza to jednak, że takie zachowanie pojawi się dzisiaj na wszystkich starszych komputerach. Są to możliwe problemy związane z nieprawidłowo przeprowadzoną aktualizacją albo ograniczeniami firmware’u.
Jeśli producent udostępnił nowszy BIOS lub UEFI dla danego modelu, warto przeczytać opis aktualizacji. Przy zmianach dotyczących bezpieczeństwa i firmware’u dobrze również upewnić się, że mamy zapisany klucz odzyskiwania BitLocker.
Nie zmieniaj ręcznie kluczy Secure Boot bez potrzeby
Microsoft udostępnia administratorom narzędzia pozwalające ręcznie uruchomić aktualizację certyfikatów Secure Boot. Obejmują one między innymi specjalne wartości rejestru oraz zadanie systemowe odpowiedzialne za wdrażanie nowych kluczy.
Na prywatnym komputerze nie ma jednak sensu zaczynać właśnie od nich. Nieprawidłowa ingerencja w Secure Boot może skończyć się problemami z rozruchem albo żądaniem klucza odzyskiwania BitLocker. Jeżeli Windows Update i aktualizacja firmware’u działają prawidłowo, najlepiej pozwolić systemowi zakończyć migrację standardową drogą.
Ręczne wdrażanie ma większe znaczenie w firmach, gdzie administrator zarządza setkami lub tysiącami urządzeń i musi kontrolować stan każdego komputera. Microsoft przygotował dla takich środowisk osobne mechanizmy, zasady grupowe i narzędzia diagnostyczne.
Dla użytkownika domowego najważniejsze są trzy rzeczy: aktualny Windows, aktualny firmware i aktywny Secure Boot. Jeśli stan UEFICA2023Status pokazuje Updated, migracja została zakończona.
Co zrobić dzisiaj?
Najpierw sprawdź Windows Update i zainstaluj wszystkie oczekujące poprawki. Następnie uruchom msinfo32 i upewnij się, że Secure Boot jest aktywny. Jeżeli komputer ma już kilka lat, warto dodatkowo wejść na stronę producenta i sprawdzić dostępność nowszego BIOS-u lub UEFI.
Nie ma potrzeby wyłączania Secure Boot, resetowania kluczy ani zmieniania ustawień firmware’u tylko dlatego, że Microsoft Windows Production PCA 2011 właśnie wygasa. Takie działania bez konkretnego powodu mogą przynieść więcej problemów niż korzyści.
19 października 2026 roku nie jest więc datą, po której Windows nagle przestanie działać. Kończy się za to okres ważności jednego z kluczowych certyfikatów wykorzystywanych przez dotychczasową infrastrukturę Secure Boot.
Jeśli komputer jest regularnie aktualizowany, przejście na Windows UEFI CA 2023 powinno odbyć się bez większego zamieszania. Najwięcej uwagi wymagają starsze urządzenia i maszyny, które od dawna nie otrzymywały aktualizacji systemu lub firmware’u.
Źródła: Microsoft Support.
Dziękujemy za przeczytanie artykułu na Techoteka.pl.
Codziennie publikujemy najważniejsze informacje z Polski i ze świata dotyczące technologii, sztucznej inteligencji, nowych rozwiązań cyfrowych oraz trendów technologicznych, które kształtują przyszłość.
Obserwuj nas na Facebooku, aby być na bieżąco z najważniejszymi wydarzeniami ze świata technologii.
