Por Canuto  

El certificado de Microsoft que firma el gestor de arranque de Windows vence el 19 de octubre de 2026. La caducidad no debería impedir que los equipos afectados inicien, pero los dispositivos necesitan los certificados de reemplazo para seguir recibiendo actualizaciones después de la fecha de expiración aplicable.
***

  • El certificado Windows Production PCA 2011 vence el 19 de octubre, último plazo importante del reemplazo de certificados Secure Boot de 2026.
  • Los equipos sin los certificados de 2023 podrían seguir arrancando, pero necesitan los reemplazos para continuar recibiendo actualizaciones después de la expiración aplicable.
  • Microsoft recomienda revisar el estado en Seguridad de Windows, instalar las actualizaciones pendientes y no desactivar Secure Boot.

El certificado Microsoft Windows Production PCA 2011, utilizado para firmar el gestor de arranque de Windows, vence el 19 de octubre de 2026. La fecha marca el último gran plazo de la transición de Secure Boot que Microsoft realiza este año. La expiración no significa por sí sola que los equipos afectados dejarán de encender, pero los dispositivos necesitan los certificados de reemplazo para seguir recibiendo actualizaciones después de la fecha aplicable.

El riesgo está en otro nivel: los dispositivos que no incorporen los certificados de reemplazo podrían quedar sin nuevas protecciones para la cadena de arranque, el conjunto de componentes que se ejecutan antes de que cargue el sistema operativo. Windows Latest reportó la fecha y recogió las indicaciones de Microsoft, que aconseja verificar el estado de Secure Boot en Windows y evitar cambios improvisados en la configuración del firmware.

Qué vence y por qué importa para el arranque

Secure Boot es una función del firmware UEFI que comprueba las firmas de los componentes que participan en el inicio de una computadora, desde controladores UEFI hasta el sistema operativo. Su propósito es impedir que software no autorizado se cargue durante una etapa temprana del arranque, antes de que las herramientas de seguridad de Windows puedan intervenir con normalidad.

Durante años, los equipos compatibles confiaron en certificados de Microsoft emitidos en 2011, pero la compañía los está sustituyendo por otros de 2023. Dos vencimientos ya ocurrieron el 24 y el 27 de junio: Microsoft Corporation KEK CA 2011 fue reemplazado por Microsoft Corporation KEK 2K CA 2023, mientras Microsoft UEFI CA 2011 dio paso a Microsoft UEFI CA 2023 y Microsoft Option ROM UEFI CA 2023.

El certificado que vence el 19 de octubre es Microsoft Windows Production PCA 2011, encargado de firmar Windows Boot Manager. Su reemplazo es Windows UEFI CA 2023, que se incorpora a la base de datos de firmas permitidas, conocida como DB, dentro de la configuración Secure Boot del equipo.

Los certificados cumplen funciones distintas dentro de esa estructura. La clave KEK autoriza actualizaciones de las bases de datos de firmas permitidas y revocadas, mientras Microsoft UEFI CA 2011 firmaba gestores de arranque de terceros, aplicaciones EFI y option ROMs; por su parte, Windows Production PCA 2011 firmaba el gestor de arranque de Windows.

El efecto para equipos que no reciban los certificados

La expiración del certificado no implica necesariamente que una computadora deje de iniciar. Sin embargo, Microsoft indica que los dispositivos deben contar con los certificados de reemplazo para seguir recibiendo actualizaciones después de la fecha de expiración aplicable. Por ello, no se debe dar por sentado que los equipos sin esos certificados continuarán recibiendo todas las actualizaciones habituales.

La diferencia también se concentra en las protecciones específicas del arranque: el dispositivo podría dejar de recibir actualizaciones del Windows Boot Manager, cambios en las bases de datos y listas de revocación de Secure Boot, además de correcciones para vulnerabilidades nuevas en esa cadena.

La compañía puede seguir firmando gestores de arranque con la clave antigua hasta octubre, según explicaron sus ingenieros durante un encuentro de preguntas y respuestas sobre Secure Boot celebrado en junio. Después, los nuevos gestores de arranque de Windows necesitarán el certificado de 2023; aun así, el firmware seguirá confiando en los que ya fueron firmados antes del vencimiento, salvo que el certificado correspondiente se agregue a la lista de revocación DBX.

La lista de revocación tiene un papel importante frente a amenazas que intentan evadir las comprobaciones de seguridad. BlackLotus, un bootkit identificado en 2023, podía sortear Secure Boot incluso en equipos con Windows 11 totalmente actualizados; las revocaciones buscan bloquear componentes vulnerables o maliciosos que podrían facilitar ataques de ese tipo.

Por eso, que una computadora siga arrancando no confirma que esté completamente protegida. El vencimiento del certificado tampoco implica que todas las máquinas queden expuestas de inmediato, pero sí vuelve relevante comprobar si Windows instaló los certificados nuevos y el gestor de arranque correspondiente antes de que surjan vulnerabilidades que requieran esas defensas.

Cómo revisar el estado y qué medidas tomar

Microsoft distribuye los certificados de 2023 mediante Windows Update y afirma que, en muchos casos, el usuario no necesita realizar acciones manuales. Para recibirlos, el equipo debe ejecutar una versión compatible de Windows, tener las actualizaciones habilitadas y contar con Secure Boot activo; la herramienta Información del sistema, que se abre con el comando msinfo32, permite consultar el estado de esa función.

En Windows 11 también se puede revisar la ruta Seguridad de Windows, Seguridad del dispositivo y Secure Boot. El mensaje «Se han aplicado todas las actualizaciones de certificados requeridas» indica que el proceso terminó; «Configuración de arranque antigua» apunta a una actualización que Windows debería completar automáticamente después de instalar los parches pendientes y reiniciar el equipo.

Otros avisos requieren más atención. «Afectado por un problema conocido» significa que Microsoft pausó temporalmente la actualización para ese dispositivo hasta contar con una corrección, mientras «Limitaciones de hardware o firmware» puede exigir asistencia del fabricante; el mensaje «Ya no puede recibir las actualizaciones requeridas» indica que el equipo continúa con un certificado vencido.

Si no aparece ninguna sección de Secure Boot, el equipo podría usar BIOS heredada, tener la función desactivada o ejecutar Windows 11 en hardware no compatible mediante un bypass. Los equipos con Windows 10 solo reciben estos certificados si están inscritos en Extended Security Updates, por lo que quienes no participen en ese programa no deben asumir que la actualización llegará por la vía habitual.

Despliegue gradual, firmware y precauciones

El calendario de expiración no detuvo el despliegue: Microsoft publicó la actualización para los equipos elegibles horas antes del primer vencimiento de junio y continuó distribuyéndola después. El parche KB5124008, del 8 de septiembre, añadió datos adicionales para identificar dispositivos de alta confianza y permitió que más equipos avanzaran; en la actualización del 13 de octubre, Microsoft señaló que seguiría entregando los certificados mediante Windows Update a los dispositivos elegibles.

La entrega gradual responde a una base de datos de alta confianza que agrupa equipos según su hardware y firmware. Microsoft habilita automáticamente la actualización para cada grupo después de observar resultados satisfactorios en dispositivos similares, y actualiza esos datos dos veces al mes; un equipo que permaneció desconectado durante meses todavía puede recibir los certificados al volver a conectarse.

El proceso ha presentado inconvenientes en algunas plataformas antiguas. Dell no publicará actualizaciones de BIOS para plataformas que llegaron al fin de vida antes del 1 de enero de 2026, y hubo problemas con actualizaciones KEK y ciclos de recuperación de BitLocker en equipos HP; algunas placas de ASUS, MSI y ASRock también tuvieron dificultades con los certificados de 2023.

Antes de instalar una actualización de BIOS, conviene guardar la clave de recuperación de BitLocker, ya que ciertas actualizaciones de HP publicadas en abril dejaron computadoras atrapadas en ciclos de recuperación. Microsoft desaconseja desactivar Secure Boot para evitar el vencimiento: si el sistema cambia al gestor de arranque firmado con el certificado de 2023, volver a activar la función podría impedir el inicio cuando el firmware solo confía en el certificado de 2011.

Restablecer la BIOS a sus valores de fábrica también puede generar un problema similar si la configuración no incluye los certificados de 2023. Además, una instalación de Windows Update no siempre completa por sí sola todo el proceso: el equipo puede reiniciarse varias veces mientras los certificados se trasladan al firmware, y la carpeta SecureBoot en C:Windows forma parte del comportamiento esperado.

Microsoft considera que el equipo está completamente actualizado cuando cuenta tanto con los certificados de 2023 como con el nuevo gestor de arranque, por lo que el indicador verde en Seguridad de Windows es la referencia más clara. En paralelo, la firma de archivos de Windows fuera del proceso de arranque también está migrando a Microsoft Windows Production PCA 2026: las compilaciones Release Preview 26100.9539 y 26200.9539, del 10 de septiembre, ya estaban firmadas con ese certificado, y la compañía recomienda a los desarrolladores no fijar certificados Secure Boot en sus aplicaciones.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados