Certifikáty oficiálně vyprší už v říjnu 2026. Kdo neaktualizuje Windows 11, zve si hackery při každém startu PC

Dne 19. října 2026 vyprší certifikát, kterým Microsoft podepisuje bootloader Windows. Bez aktualizace zůstane PC otevřený útokům ještě před načtením systému.

Zdroj fotografie: Bolly Holly Baba / Creative Commons / CC BY-SA

Nejde o konec licence ani o běžnou servisní aktualizaci. Certifikát s názvem Microsoft Windows Production PCA 2011 je součástí technologie Secure Boot, která při každém zapnutí počítače ověřuje, zda se nespouští podvržený kód. Právě tuto kontrolu využívají takzvané bootkity, škodlivý software, který se aktivuje dřív než samotný Windows, dřív než antivirus, dřív než BitLocker. Kdo do říjnového termínu nedostane nové certifikáty z roku 2023, přijde o schopnost přijímat budoucí ochrany pro tuto nejranější fázi startu. Počítač sice dál nabootuje a poběží, ale postupně se stává slepým vůči novým hrozbám přesně v místě, kde jsou nejnebezpečnější.

Tři data, ne jedno

Říjen 2026 je nejcitovanější termín, ale ve skutečnosti jde o celou sérii expirací. Už 24. června 2026 vypršel certifikát Microsoft Corporation KEK CA 2011 a o tři dny později, 27. června, následoval Microsoft UEFI CA 2011. Červnové termíny proběhly bez masového výpadku, zařízení bez nových certifikátů dál startovala a přijímala běžné aktualizace. Jenže právě to může ukolébat. Microsoft v červnových release notes výslovně psal, že rollout nových certifikátů pokračuje v dalších měsících, tedy nebyl dokončen.

Říjnová expirace je klíčová proto, že se týká přímo podpisu Windows boot loaderu. Bez platného certifikátu v databázi Secure Boot nemůže systém ověřit, že bootloader nebyl pozměněn. A právě sem míří bootkity.

Proč antivirus nestačí a co dokáže bootkit

Microsoft na svém bezpečnostním blogu podrobně popsal kampaň BlackLotus, UEFI bootkit, který se usadí v EFI systémové partition a spouští se ještě před operačním systémem. Tradiční antimalware nastupuje až po načtení boot driverů, takže bootkit má náskok. BlackLotus dokáže podle Microsoftu vypnout HVCI, BitLocker i Microsoft Defender Antivirus.

Důležitý korektiv: BlackLotus obvykle není první vstupní bod útoku. Útočník k jeho nasazení typicky už potřebuje administrátorská práva nebo fyzický přístup k počítači. Riziko tedy není v tom, že by se bootkit sám stáhl z internetu jako běžný virus. Spočívá v tom, že jakmile se jednou dostane do bootovacího řetězce, je extrémně těžké ho odhalit a odstranit, a neaktualizované certifikáty mu cestu usnadňují.

Kdo je skutečně v ohrožení

Microsoft uvádí, že u většiny podporovaných osobních počítačů s Windows 10 a 11 se nové certifikáty z roku 2023 doručují automaticky přes Windows Update. Jenže „většina“ neznamená „všichni“. Podle oficiální dokumentace existuje několik kategorií zařízení, u kterých automatika selhává:

• Temporarily Paused – aktualizace je pozastavena kvůli zjištěné nekompatibilitě.
• Not Supported / Known Limitation – firmware nebo hardware neumožňuje zápis nových certifikátů do UEFI.
• Žlutý nebo červený stav ve Windows Security – signalizuje, že certifikátová aktualizace nebyla dokončena.

Rollout závisí na konkrétní kombinaci výrobce, modelu a verze firmwaru. Microsoft nasazuje změny řízeně přes takzvaný high-confidence bucket model a u části zařízení je nutná aktualizace BIOS/UEFI přímo od výrobce. Kolik počítačů globálně nebo v Česku nové certifikáty ještě nemá, Microsoft nezveřejnil. Podle zářijové aktualizace KB5124008 z 8. září 2026 ale rollout stále pokračoval; aktualizace přidávala další „high confidence device targeting data“, tedy rozšiřovala okruh počítačů, která mohou certifikáty dostat automaticky.

Pikantní detail: Windows 11 verze 24H2 v edicích Home a Pro končí podporu 13. října 2026, šest dní před expirací certifikátu bootloaderu. Kdo na této verzi zůstane a neupgraduje na 25H2, ocitne se v situaci, kdy nemá ani podporovaný systém, ani platný boot certifikát. Paradoxně Windows 10 Enterprise LTSC 2021 zůstává podporovaný až do 12. ledna 2027.

Jak si ověřit stav a co udělat

Kontrola zabere minutu. Ve Windows Security otevřete sekci Zabezpečení zařízení > Secure Boot. Plně aktualizovaný stav zobrazí hlášku, že Secure Boot je zapnutý a všechny potřebné certifikátové aktualizace byly použity. Pokud vidíte žlutý nebo červený stav, je třeba jednat.

Pro technicky zdatnější uživatele Microsoft nabízí další cesty:

• msinfo32 – položka Secure Boot State musí ukazovat On.
• Registr – klíč UEFICA2023Status s hodnotou Updated.
• PowerShell – kontrola databáze DB na přítomnost řetězce Windows UEFI CA 2023.
• Event Log – Event ID 1808 signalizuje úspěšnou aktualizaci, Event ID 1801 problém.

Pokud stav není zelený, první krok je instalace nejnovějších kumulativních aktualizací. Druhý, a často opomíjený, je návštěva webu výrobce počítače a kontrola, zda existuje novější verze BIOS/UEFI firmwaru. Secure Boot nevypínejte, i když se to může zdát jako rychlé řešení problému s kompatibilitou. Vypnutím odstraníte celou vrstvu ochrany.

Datum 19. října 2026 platí bez ohledu na zemi, jazyk systému nebo regionální nastavení, protože je zakódované přímo v certifikátu. Lišit se může jen rychlost, s jakou konkrétní model počítače nový certifikát dostane. A na to má každý uživatel ještě pár týdnů, aby se podíval, jestli jeho počítač patří mezi ty, kde všechno proběhlo tiše a správně, nebo mezi ty, kde ne.