¿Qué sucede con los certificados Secure Boot de Windows?
Microsoft ha alcanzado un punto crítico en la actualización de sus certificados Secure Boot, que son esenciales para validar la integridad del proceso de arranque en sistemas con firmware UEFI. El certificado Microsoft Corporation KEK CA 2011 expiró el 24 de junio de 2026, seguido por el Microsoft UEFI CA 2011, que vence el 27 de junio de 2026, y el Microsoft Windows Production PCA 2011, cuya expiración está prevista para el 19 de octubre de 2026.
¿Por qué importa esta renovación?
Secure Boot es un mecanismo que valida, antes de cargar el sistema operativo, que los componentes de arranque sean legítimos y no hayan sido modificados maliciosamente. Esto se logra mediante una jerarquía de confianza basada en certificados digitales. Cuando estos certificados expiran, la confianza en esta cadena puede verse comprometida, lo que no es solo un tema de actualización de software, sino un asunto crítico de seguridad a nivel firmware.
¿Qué riesgos enfrentan las empresas?
Los dispositivos que no actualicen a los nuevos certificados 2023 seguirán funcionando, pero perderán acceso a futuras protecciones del Windows Boot Manager y a actualizaciones esenciales de las bases de datos de firmas permitidas y revocadas (DB y DBX). Esto debilita la defensa contra bootkits y malware que actúan en las primeras etapas del arranque, justo donde Secure Boot debe proteger.
Además, la falta de actualización afecta funcionalidades dependientes de Secure Boot, como el endurecimiento de BitLocker y el soporte para componentes de arranque de terceros.
¿Quiénes están afectados?
Esta transición impacta a una gran base instalada de sistemas con UEFI, incluyendo Windows 10, Windows 11 y varias versiones de Windows Server desde 2012 hasta 2025. Aunque muchos dispositivos fabricados desde 2012 tienen Secure Boot activado y los más recientes ya cuentan con los certificados 2023, aún hay un amplio parque que requiere atención urgente.
El problema también afecta a entornos Linux, ya que utilizan la cadena de firmas UEFI de Microsoft para bootloaders de terceros. Distribuciones como Fedora y Red Hat ya han alertado sobre posibles problemas de compatibilidad y recomiendan revisar cuidadosamente las actualizaciones de firmware y las claves enroladas.
¿Qué hacer para mitigar esta situación?
Microsoft y sus socios de hardware proponen una solución en dos etapas: primero, aplicar las actualizaciones de firmware OEM para que los dispositivos antiguos acepten los nuevos certificados; segundo, desplegar las actualizaciones de certificados mediante los canales oficiales de Windows, como Intune, políticas de grupo o Windows Autopatch, y verificar el estado a través de herramientas del sistema.
Retrasar esta migración puede dejar los sistemas en un estado de confianza congelada antes del arranque, una situación que podría ser aprovechada por actores maliciosos.
¿Tu infraestructura está lista para este cambio?
El vencimiento de estos certificados no es solo un trámite técnico: es un llamado a revisar la estrategia de seguridad en el arranque de tus sistemas. Ignorar esta transición puede dejar puertas abiertas en un nivel crítico y poco visible del sistema.
