Il 27 giugno scade uno dei certificati che stanno alla base del Secure Boot, l’avvio sicuro che impedisce a software malevolo di partire prima di Windows. Detta cosi suona da sistemisti, ma la ricaduta e concreta anche per chi in azienda ha solo qualche PC e un server: dopo quella data, le macchine non aggiornate smettono di ricevere gli aggiornamenti di sicurezza pre-avvio. Vale la pena capire cosa succede davvero, perche la versione allarmistica («i computer non si accendono piu») e sbagliata, ma il problema vero esiste.
Cosa scade e cosa no
A scadere il 27 giugno e il certificato Microsoft Corporation UEFI CA 2011; un secondo certificato, che firma il bootloader di Windows, scadra il 19 ottobre. Il punto da fissare, per non farsi prendere dal panico: i dispositivi che hanno gia i certificati registrati continuano ad avviarsi anche dopo la scadenza. Quello che si ferma non e l’accensione, ma la possibilita di firmare nuovi componenti di avvio.
In pratica, senza i nuovi certificati 2023 registrati nel firmware, la macchina non potra piu ricevere e avviare gli aggiornamenti di sicurezza legati al Secure Boot. Resta accesa, ma scoperta proprio sullo strato che dovrebbe proteggerla all’avvio. I certificati nuovi, una volta installati, sono validi fino al 2038: e una sostituzione che si fa una volta e dura oltre dieci anni.
Dopo questa data le macchine senza i nuovi certificati 2023 nel firmware non ricevono piu gli aggiornamenti di sicurezza pre-avvio del Secure Boot. I PC gia configurati continuano comunque ad avviarsi.
Fonte: Microsoft Support — giugno 2026
PC e server non sono lo stesso caso
Qui sta la distinzione che molti titoli saltano e che invece decide se devi fare qualcosa o no.
Sui PC Windows, Microsoft gestisce l’aggiornamento dei nuovi certificati su una parte significativa dei dispositivi tramite Windows Update, con un rollout graduale. Per la maggior parte delle postazioni aziendali, quindi, basta che gli aggiornamenti siano attivi e applicati. Attenzione pero ai PC su cui il rollout dei certificati e stato disattivato o che restano spesso spenti e non si aggiornano: quelli vanno guardati uno per uno.
Sui Windows Server la musica cambia: l’aggiornamento non e automatico e richiede di seguire la procedura manuale del playbook pubblicato da Microsoft. Se in azienda c’e un server, e li che serve un intervento esplicito di chi lo gestisce, non un semplice «lascia fare a Windows Update».
Perche muoversi adesso
Non e un’emergenza da spegnimento, ma e una di quelle scadenze che, se ignorata, lascia un buco silenzioso: tutto sembra funzionare, mentre lo strato di protezione all’avvio resta fermo al 2011. Con la data a pochi giorni, la mossa sensata e una verifica rapida ora — soprattutto sui server e sulle macchine che si aggiornano di rado — invece di accorgersene tra mesi, quando un aggiornamento di sicurezza non andra a buon fine. Le procedure e gli elenchi dei certificati sono sulle pagine ufficiali Microsoft: e li che conviene appoggiarsi, o farlo fare al proprio fornitore IT.
Contenuto informativo a scopo divulgativo. Per le procedure puntuali fanno fede le pagine ufficiali Microsoft e le indicazioni del produttore del firmware o del proprio fornitore IT.