Microsoft advierte a los administradores de TI del reemplazo de los certificados de arranque seguro

El Arranque Seguro es una función de seguridad que impide la ejecución de software malicioso durante el inicio del sistema, garantizando que solo los gestores de arranque de confianza puedan cargarse en equipos con firmware UEFI. Esto se logra comparando la firma digital del software con un conjunto de certificados digitales de confianza almacenados en el firmware del dispositivo.

Microsoft ha comenzado esta semana a reemplazar automáticamente los certificados de arranque seguro que vencen en los sistemas operativos Windows 11 24H2 y 25H2 elegibles y ha alertado a los administradores de TI de los cambios. El anuncio se produce después de que Microsoft advirtiera a los administradores de TI en noviembre que actualizaran los certificados de seguridad utilizados para validar el firmware UEFI antes de que caduquen.

«Los certificados de arranque seguro utilizados por la mayoría de los dispositivos Windows expirarán a partir de junio de 2026. Esto podría afectar la capacidad de ciertos dispositivos personales y comerciales para arrancar de forma segura si no se actualizan a tiempo», explica Microsoft.

A partir de esta actualización, las actualizaciones de calidad de Windows incluyen un subconjunto de datos de alta confiabilidad sobre dispositivos que identifican a los dispositivos elegibles para recibir automáticamente los nuevos certificados de Arranque Seguro. Los dispositivos recibirán los nuevos certificados solo después de demostrar suficientes señales de actualización exitosa, lo que garantiza una implementación segura y gradual .

Mantener la funcionalidad de Arranque seguro

Los administradores de TI que quieran mantener la funcionalidad de Arranque seguro y garantizar la seguridad de sus puntos finales deben instalar los nuevos certificados antes de que los antiguos expiren este verano. Si no lo hacen, podría perder las protecciones del Administrador de arranque de Windows y del Arranque seguro, ya que ya no se proporcionarán actualizaciones de seguridad para los componentes previos al arranque a los dispositivos habilitados para Arranque seguro.

«Sin actualizaciones, los dispositivos Windows habilitados para Arranque seguro corren el riesgo de no recibir actualizaciones de seguridad o de confiar en nuevos cargadores de arranque, lo que comprometerá tanto la capacidad de servicio como la seguridad», explicó Microsoft.

Si bien Microsoft actualizará automáticamente los dispositivos de alta confianza a través de Windows Update, las organizaciones también pueden implementar certificados de arranque seguro utilizando claves de registro, el sistema de configuración de Windows (WinCS) y la configuración de las políticas de grupo.

Según el manual de Arranque seguro de Microsoft, los administradores primero deben inventariar sus flotas de dispositivos, verificar el estado de Arranque seguro mediante comandos de PowerShell o claves de registro y luego aplicar las actualizaciones de firmware del fabricante antes de instalar las actualizaciones de certificados de Microsoft.