Secure Boot: Ablauf wichtiger Microsoft-Zertifikate zwingt dieses Jahr zum Update

[HWL News Bot]

Der Secure-Boot-Mechanismus moderner Windows-Systeme steht vor einem wichtigen Stichtag. Ab Juni 2026 laufen zentrale kryptografische Zertifikate aus, die als Fundament für den Startvorgang dienen. Microsoft beruhigt bereits jetzt, dass Windows-PCs auch nach Ablauf dieser Zertifikate wohl weiterhin booten und grundsätzlich funktionsfähig bleiben sollen. Einschränkungen drohen allerdings bei zukünftigen Sicherheitsaktualisierungen für den frühen Boot-Prozess.
... weiterlesen

 

[Erklärbär]

Microsoft empfiehlt in solchen Fällen bei Bedarf eine manuelle Aktivierung über die Registry. Unter dem Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot lässt sich über den Wert AvailableUpdates die Installation verfügbarer Secure-Boot-Aktualisierungen anstoßen.

..schön und gut. Anleitung was da WIE über welchen WERT in Form von WAS angestoßen werden soll? Sehr schwammige Erklärung. Außerdem sind die aktuellen KEKse schon lang ausgerollt.

 

[KnSNaru]

Für die Aktivieurng ist der Wert 1 zu setzen. Für den noemalen Endanwender ist dieser Punkt ohnehin obsolet, wie aus dem Artikel zu entnehmen ist.

 

[Erklärbär]

Nicht so ganz. Da stößt man nichts an, sondern da steht der aktuelle Wert/Status der DB drin:



..spätestens seit W11 Build .7705 dürften die KEKse eh komplett ausgerollt worden sein, denn da wurde seitens MS die 2011 signierte bootmgfw.efi durch die 2023 signierte bootmgfw.efi mit Version 7.0 ersetzt:


(Kopie der EFI auf H: dupliziert und mit LW-Buchst. auslesbar gemacht)

Also, wer sein Windows einigermaßen aktuell hält und auch ab und an mit Updates versorgt, der braucht sich da keinen Kopf drum machen.
Wer meint, er müsse das nicht tun - ok, kann man ja machen aber der wird dann u.U. in der nächsten Zeit merken was das bedeuten kann.
Ist halt wie mit der IMEI, gejammert wird erst immer wenn es zu spät ist und Schuld daran sind eh immer die anderen.


ps: Für jeden der mal den aktuellen Status auf die Schnelle prüfen möchte, dieser Pfad wäre dann der richtige dafür:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing

pps: Letzter Eintrag bei mir in der SecureState DBX (Liste verbotener Signaturen) ist zumindest:

ReLoader64_.efi, 64-bit, Howyar Technologies, CVE-2024-7344

vom 14.01.2026

 

[Aragonion]

lang lebe csm/legay boot

 

[xrated]

Man kann UEFI auch ohne Secure Boot nutzen

 

[Schmufix]

Seit BF6 intressier ich mich auch für secure boot.