// TOM'S HARDWARE ITALIA — CRONACA
Secure Boot: la scadenza finale si avvicina, cosa fare?
Con l'aggiornamento di settembre 2026 rilasciato il Patch Tuesday, Microsoft ha nuovamente ampliato la platea di dispositivi coinvolti negli aggiornamenti dei certificati Secure Boot, confermando che il processo è tutt'altro che concluso, nonostante le prime scadenze siano già passate. La prossima data cruciale è fissata per ottobre 2026, ma la storia di questo aggiornamento è molto più complessa di una semplice scadenza da rispettare.
Nelle note di rilascio di Windows 11 KB5124008 (Build 26200.9445), l'azienda di Redmond ha spiegato di aver ulteriormente esteso la distribuzione dei certificati Secure Boot, includendo un numero maggiore di PC classificati come "alta affidabilità". Nella documentazione ufficiale, Microsoft ha precisato che l'aggiornamento include dati aggiuntivi per il targeting dei dispositivi ad alta affidabilità, aumentando così la copertura delle macchine eleggibili a ricevere automaticamente i nuovi certificati.
Chi ha già scaricato tutti gli aggiornamenti necessari potrebbe notare una richiesta di riavvio supplementare, un'operazione che solitamente accompagna gli aggiornamenti di sicurezza mensili. Alcuni aggiornamenti dei certificati Secure Boot richiedono infatti un riavvio per completare l'installazione. In certi casi, Microsoft segnala che alcuni computer necessitano anche di aggiornamenti firmware prima che i nuovi certificati possano essere applicati correttamente, il che comporta un ulteriore riavvio.
Ma se la scadenza principale era prevista per giugno 2026, perché si continua a parlare di Secure Boot a settembre?
Secure Boot è un requisito obbligatorio per Windows 11 e funziona attraverso certificati memorizzati nel firmware UEFI del computer, che verificano l'attendibilità del software coinvolto nel processo di avvio prima ancora che Windows si avvii. In pratica, se un componente software di avvio non è considerato affidabile, come potrebbe essere un bootloader compromesso o malevolo, questo sistema lo blocca prima che il sistema operativo parta. Si tratta di un'idea eccellente sulla carta, ma il settore non dispone ancora di un metodo migliore per gestire certificati che, di fatto, decidono le sorti del software a livello di avvio.
Il problema di fondo è che i certificati originali risalgono al 2011, all'epoca di Windows 8, e stanno progressivamente scadendo nel corso del 2026. Non esiste però un'unica data di scadenza: il processo si sviluppa su più fasi distinte, ciascuna con la propria tempistica.
Il certificato Microsoft Corporation KEK CA 2011, che firma gli aggiornamenti dei database di elementi consentiti e revocati di Secure Boot (DB e DBX), è scaduto il 24 giugno 2026. Tre giorni dopo, il 27 giugno, è arrivato il turno del Microsoft UEFI CA 2011, responsabile della firma di bootloader di terze parti, applicazioni EFI e alcune ROM opzionali.
Entrambe queste scadenze sono ormai alle spalle, ma questo non significa che la transizione sia completata. La prossima tappa, quella davvero rilevante per gli utenti, riguarda il Microsoft Windows Production PCA 2011, che scadrà il 19 ottobre 2026. Questo certificato viene utilizzato per firmare il bootloader di Windows stesso, il che lo rende particolarmente importante nell'economia complessiva del sistema.
Per la maggior parte degli utenti Windows 11 non c'è molto da fare manualmente: Microsoft distribuisce i nuovi certificati attraverso Windows Update, quindi è sufficiente assicurarsi di avere installato gli aggiornamenti più recenti, incluso quello di settembre 2026. Per verificare lo stato del proprio dispositivo, basta accedere al percorso Sicurezza di Windows > Sicurezza dispositivo > Secure Boot. Il sistema dovrebbe confermare che Secure Boot è attivo e che tutti gli aggiornamenti dei certificati richiesti sono stati applicati, senza necessità di ulteriori modifiche.
Se invece il sistema segnala ancora una configurazione di avvio non aggiornata, la soluzione consiste nel mantenere attivo Windows Update e verificare la presenza di