Certificats Secure Boot expirés fin juin : ce que vos PC Windows doivent recevoir

Fin juin, une partie des certificats qui protègent le démarrage de la quasi-totalité des PC sous Windows sont arrivés à expiration. Rien ne s'est éteint, aucun écran bleu : les machines démarrent normalement. C'est précisément ce qui rend le sujet facile à oublier. Pourtant, une machine qui n'a pas reçu les nouveaux certificats ne peut plus recevoir certaines protections de sécurité, et un troisième certificat expire le 19 octobre. Voici ce qu'il faut comprendre et vérifier avec la personne qui gère votre informatique.

De quoi parle-t-on ?

Secure Boot est un mécanisme intégré aux ordinateurs depuis une quinzaine d'années. Au démarrage, avant même Windows, il vérifie que les programmes qui se lancent sont signés par une autorité de confiance. C'est une protection contre les logiciels malveillants qui s'installent au plus profond de la machine, là où un antivirus ne les voit plus.

Ces signatures reposent sur des certificats émis par Microsoft en 2011, qui avaient une durée de vie limitée. Selon la page de support de Microsoft, mise à jour le 18 mai :

• le certificat KEK CA 2011, qui signe les mises à jour des listes de confiance, expirait le 24 juin 2026 ;
• les certificats UEFI CA 2011, qui signent les chargeurs de démarrage tiers et certains composants matériels, expiraient le 27 juin 2026 ;
• le certificat Windows Production PCA 2011, qui signe le chargeur de démarrage de Windows, expire le 19 octobre 2026.

Chacun est remplacé par un certificat de 2023, qui doit être installé dans le micrologiciel de la machine.

Ce qui se passe si une machine n'est pas mise à jour

Microsoft est clair sur ce point : les appareils continuent de démarrer et de fonctionner, et les mises à jour Windows habituelles continuent de s'installer. En revanche, une machine restée sur les anciens certificats ne peut plus recevoir les nouvelles protections du démarrage : mises à jour du gestionnaire de démarrage de Windows, listes de révocation de Secure Boot, correctifs contre les failles de bas niveau.

Avec le temps, la protection s'affaiblit face aux nouvelles menaces. Microsoft cite aussi des scénarios qui dépendent de cette chaîne de confiance et pourraient être affectés, comme le durcissement de BitLocker, le chiffrement de disque de Windows, ou les chargeurs de démarrage tiers. L'échéance d'octobre, qui concerne le chargeur de Windows lui-même, est la plus importante des trois.

Qui fait la mise à jour ?

Pour une grande partie des appareils, Microsoft indique gérer la mise à jour lui-même, via Windows Update, et de nombreux fabricants publient les mises à jour de micrologiciel nécessaires. C'est la voie la plus simple. Mais elle suppose plusieurs conditions :

• que Secure Boot soit activé : Windows ne peut pas mettre à jour les certificats d'une machine où il est désactivé ;
• que le micrologiciel (BIOS ou UEFI) de la machine soit à jour, car c'est souvent la mise à jour du fabricant qui permet l'installation des nouveaux certificats ;
• pour les parcs gérés par l'entreprise elle-même, que la mise à jour soit autorisée et suivie : Microsoft publie pour ces cas une procédure dédiée, par stratégie de groupe, par Intune ou par clé de registre.

Les machines isolées du réseau, les vieux postes qui ne reçoivent plus de mise à jour de leur fabricant, les serveurs installés il y a longtemps et jamais touchés depuis, sont les plus susceptibles de rester sur le bord du chemin.

Les vérifications à demander cette semaine

1. Inventaire : combien de PC et de serveurs sous Windows, de quelle génération, gérés comment ? Si cette liste n'existe pas, c'est le premier chantier.
2. Micrologiciel : les mises à jour de BIOS ou d'UEFI du fabricant sont-elles appliquées ? Elles sont rarement automatiques.
3. Secure Boot activé : sur combien de machines ? Il arrive qu'il ait été désactivé un jour pour installer un logiciel, puis oublié.
4. Serveurs et machines particulières : postes de production, serveurs Linux, machines qui démarrent sur des systèmes tiers. Leur cas doit être vérifié un par un.
5. Calendrier d'octobre : qui s'assure que tout est en place avant le 19 octobre ?

Ce que l'épisode dit de votre parc

Ce sujet ressemble à ceux dont nous parlions en juin, l'attaque contre des paquets npm et la faille des VPN Check Point : une échéance de sécurité ne fait pas de bruit, et elle ne se règle pas toute seule si personne n'a la liste des machines et le temps de suivre. Les PME les plus exposées ne sont pas celles qui ont le moins de moyens, mais celles où personne n'a explicitement la charge du parc.

Quand nous installons un serveur chez un client, pour une IA locale par exemple, le micrologiciel, Secure Boot et les mises à jour font partie de la mise en service, et du suivi ensuite. Si vous voulez faire le point sur vos machines avant l'échéance d'octobre, un rendez-vous de 30 minutes, gratuit, permet de lister ce qui doit être vérifié.

Sources

• Windows Secure Boot certificate expiration and CA updates (KB5062710), Microsoft Support, mis à jour le 18 mai 2026
• Windows Secure Boot certificate expiration and CA updates, Microsoft Support
• MC1230373 : Secure Boot certificate updates, actions required ahead of June 2026 expiration, centre de messages Microsoft 365