紧急提醒！Windows安全启动证书即将过期，速手动更新

当微软在2011年第一次在Windows电脑上推出安全启动功能时，证书过期可能出的问题看着还挺遥远的。

过了15年，这个问题现在摆到眼前了，好多安全启动证书都会在2026年6月到期。

这是这些证书头一次遇到截止日期，微软和它的OEM厂商为了顺利过渡到新证书，下了很大功夫。

多数情况下，到那天你作为用户啥也不用管。不过，少数用户为了把电脑弄得最安全，还是得自己手动弄一下。下面具体说说怎么搞。

安全启动是啥？为啥我Windows电脑上会有它？

安全启动是Windows一个重要的安全功能，能保护你的电脑不被启动过程中搞破坏的漏洞攻击。

安全启动是装Windows 11的前提，但这并不代表没它你的电脑就开不了机。

如何在PC上启用安全启动以安装Windows 11

没有安全启动的话，你的电脑保护就不够到位。另外，没有安全启动还可能影响其他安全措施，比如TPM 2.0。

安全启动从2011年就有了，从那以后卖的绝大多数电脑（包括装Windows 10的）都带这个功能和相关的证书。

微软在2023年用新的UEFI CA 2023证书更新了安全启动，但这只意味着那之后卖的大多数电脑已经直接带了新版。

至于其他电脑，嗯，等到原始证书在2026年6月到期，就可能出幺蛾子了。

TL;DR: 安全启动可在启动过程中保护你的电脑抵御漏洞攻击，它需要特定的证书才能正常运行。

微软及其OEM合作伙伴如何处理即将过期的安全启动证书？

微软知道自己手上有个潜在的巨大麻烦，但正在采取积极措施，尽可能确保平稳过渡。

公司官方表示，运行Windows 11的大多数现代电脑将通过Windows更新自动接收新证书，就像你正常更新系统一样。

然而，会有一些某些特定的电脑需要OEM厂商提供固件更新。这些更新大多数情况下可以在特定的OEM支持网站上找到。

具体每个OEM厂商能为多老的系统提供支持，还得看情况。电脑品牌通常不会为十年或更久以前销售的系统提供实质性的支持；在许多情况下，支持在五年后就会终止。

TL;DR: 在某些情况下，OEM厂商可能需要提供特定的固件更新，以便系统接收新的安全启动证书。

不受支持的Windows版本不会收到新的安全启动证书

微软已明确表示，不会为不受支持的Windows版本发布更新的安全启动证书。你的电脑不会突然停止工作，但它的安全性会大打折扣。

以下是微软的官方声明：

需要说明的是，运行不受支持版本（Windows 10及更早版本，不包括已加入扩展安全更新的版本）的设备不会收到Windows更新，也不会收到新证书。我们一直建议用户始终使用受支持的Windows版本，以获得最佳性能和保护。 微软

安全性下降并非安全启动证书缺失带来的唯一风险。

由于这一功能对 Windows 系统至关重要，证书过期还可能导致相关驱动程序和软件时间长了会出问题。基本上，如果你的电脑无法运行 Windows 11，那你就没辙了。

2026年最值得买的Windows笔记本电脑

一句话总结：如果你的电脑不再受微软官方支持（包括没有ESU的Windows 10系统），就拿不到新的安全启动证书。

没加入Windows 10 ESU？那就拿不到新证书了。

微软在2024年10月把Windows 10送进坟墓时，有个前提：你可以注册ESU计划，这样就能多获得一年的支持。

这一点在安全启动证书的问题上很关键，因为加入ESU的Windows 10电脑会通过Windows更新收到新证书。

没加入ESU的Windows 10电脑估计拿不到新证书。

好消息是：你仍然可以给你的Windows 10电脑注册ESU计划，直到10月14日截止的前一天。

如何在2025年10月之后通过Windows 10 ESU继续拿更新

为了确保你注册过的电脑能收到更新后的安全启动证书，我建议你现在就注册（或者至少尽快注册）。

如何检查你的 Windows 电脑是否正在使用新版安全启动证书

有一个相当简单的方法可以检查你的电脑当前是否正在使用新的安全启动证书（这个方法要感谢 YouTube 上的 BrenTech，简单实用）。

1. 在 Windows 搜索栏中输入PowerShell
2. 以管理员身份运行

1. 完全按照所示复制并粘贴以下命令：

   ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’)

敲回车运行命令，你会在其下方看到显示True或False值。

如果显示True，说明你的电脑已经拥有新的安全启动证书。如果显示False，说明你的电脑仍在使用六月份就过期的旧安全启动证书。

如果你的 Windows 11 或 Windows 10（扩展安全更新，简称ESU）电脑没有最新的安全启动证书，我建议检查是否有待处理的 Windows 更新。如果是较旧的系统，你可能需要开始寻找 OEM 固件解决方案。

再次提醒，如果电脑没有最新的证书，它不会突然停止工作。但安全性会降低，并且可能会出现意外行为。

在 Windows 11 中强制安装新的安全启动证书（无需固件更新）

在 Microsoft 学习中心，有一个有趣的方法，看起来可以不用手动进 BIOS 就搞定固件问题。

即使现有的安全启动证书已过期或还没生效，仍可以安装包含 2023 年新安全启动证书的累积更新，并且 Windows 可以通过遵循已发布的部署指南，将更新后的证书写入固件。这适用于可以启动 Windows 并安装更新的设备。 Microsoft

这是AI生成的帮助回复，但有条回复说确实管用，跟广告说的一模一样。

想试的话，你得先有个自带安全启动更新的Windows 11版本，比如2025年7月的那个累计更新。

确认没问题后，按下面步骤来就行：

1. 右键以管理员身份打开命令提示符。

2. 复制这段代码，粘贴到命令提示符里，然后直接回车：

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

任务跑完之后你得重启电脑几次。然后再用我之前讲的PowerShell方法，检查一下新的安全启动证书装没装好。

微软之前的电子垃圾惨败仍在持续，Windows 10也一天不如一天了。

很多Windows用户到现在还在收拾Windows 10停止支持（EOL）的烂摊子，这事从2025年10月14号就开始了。

据估计，大概有四亿台升不了Windows 11的电脑就这么被撇下不管了，至于其他不知道多少台，也只能靠临时的ESU更新来续命。

现在安全启动证书也要过期了，又一刀悬在了那些老电脑的头上——很多忠实用户还在让它们超期服役。

你担心自己电脑上的安全启动证书过期吗？你的电脑用多久了，有没有考虑过换台新的？没有这个证书，你还会继续用旧电脑吗？在评论区聊聊呗！

加入我们，来Reddit上的r/WindowsCentral分享你的想法，聊聊我们的最新新闻、评测什么的。