Se il tuo PC Windows 11 continua ad avviarsi normalmente, la scadenza dei vecchi certificati Secure Boot del 2026 non significa che il computer smetterà improvvisamente di funzionare. Microsoft sta distribuendo i nuovi certificati 2023 tramite Windows Update, ma sui PC gestiti o con firmware meno recente conviene verificare che la migrazione sia realmente avvenuta.
Il controllo più utile è cercare lo stato UEFICA2023Status e gli eventi indicati da Microsoft, soprattutto Event ID 1801 o 1795. Se il dispositivo non è ancora aggiornato, la priorità è installare firmware OEM e aggiornamenti Windows supportati, non disattivare Secure Boot.
Perché i certificati Secure Boot stanno cambiando
Molti PC usano ancora certificati Secure Boot emessi nel 2011. Microsoft spiega nella guida ufficiale sull’aggiornamento dei certificati Secure Boot che questi certificati hanno iniziato a scadere nel giugno 2026. Il passaggio ai certificati 2023 serve a mantenere la protezione dei componenti che vengono verificati prima dell’avvio di Windows.
Un punto importante è che un dispositivo non aggiornato può comunque continuare ad avviarsi e ricevere i normali aggiornamenti Windows. Il rischio è diverso: potrebbe non ricevere in futuro alcune nuove protezioni Secure Boot per boot manager e altri componenti pre-OS.
1. Controlla che Secure Boot sia attivo
Premi Windows + R, digita msinfo32 e apri Informazioni di sistema. Cerca la voce relativa allo stato di Avvio protetto. Su un PC compatibile e configurato correttamente dovrebbe risultare attivo.
Se Secure Boot è già disattivato per scelta o per una configurazione particolare, non abilitarlo alla cieca su una macchina di lavoro. Verifica prima modalità UEFI, partizionamento del disco, BitLocker ed eventuali sistemi operativi dual boot. Un cambiamento del firmware può impedire l’avvio di configurazioni non preparate.
2. Verifica UEFICA2023Status
Microsoft usa anche il valore UEFICA2023Status come indicatore della distribuzione dei nuovi certificati. Se lo stato atteso non risulta Updated, il dispositivo potrebbe non aver completato la migrazione.
Su flotte aziendali è preferibile raccogliere questo dato con gli strumenti di inventario già in uso. Non modificare manualmente valori di registro soltanto per far apparire lo stato come aggiornato: il dato deve riflettere ciò che il firmware e Windows hanno realmente applicato.
3. Controlla Event ID 1801 e 1795
La documentazione Microsoft indica due segnali utili nei log di sistema. Event ID 1801 può indicare che lo stato dei certificati Secure Boot non è ancora aggiornato; Event ID 1795 è un altro evento da controllare quando il processo di aggiornamento non raggiunge lo stato previsto.
Un singolo evento non giustifica un reset del firmware o una reinstallazione di Windows. Annotane data, testo completo, modello del PC e versione BIOS/UEFI, quindi confronta il caso con la documentazione del produttore.
4. Aggiorna prima il firmware del produttore
Microsoft raccomanda di controllare gli aggiornamenti firmware OEM, soprattutto sui modelli più vecchi. Un firmware aggiornato può migliorare la compatibilità con i nuovi certificati e ridurre il rischio di errori durante il passaggio.
Usa esclusivamente il canale ufficiale del produttore del notebook o della scheda madre. Se il PC è aziendale, applica le procedure previste dall’IT e testa prima su un gruppo limitato di dispositivi rappresentativi.
5. Installa gli ultimi aggiornamenti Windows
Microsoft sta distribuendo i certificati aggiornati tramite Windows Update. Apri Impostazioni > Windows Update, installa gli aggiornamenti applicabili e riavvia quando richiesto. La Preview KB5124010 di settembre ricorda esplicitamente che la distribuzione dei nuovi certificati proseguirà nei prossimi mesi.
Il tema è collegato anche alla sicurezza del sistema: gli aggiornamenti di settembre correggono vulnerabilità importanti, quindi non è prudente bloccare le patch per timore della migrazione Secure Boot. Nel nostro approfondimento sulle zero-day Windows corrette a settembre 2026 trovi il contesto sulle correzioni da non rimandare.
Per chi usa ancora Windows 11 24H2 Home o Pro c’è anche un’altra scadenza ravvicinata: il supporto termina il 13 ottobre 2026. Il passaggio a una release supportata va quindi considerato separatamente dalla migrazione dei certificati. La nostra guida su KB5124008 e gli aggiornamenti di settembre aiuta a controllare build e stato del sistema.
Quali problemi possono comparire sui dispositivi non aggiornati
Microsoft segnala che gli scenari a rischio maggiore includono firmware obsoleti o sistemi sui quali la migrazione dei certificati non viene applicata correttamente. In questi casi possono comparire errori di validazione Secure Boot, richieste di recupero BitLocker, blocchi durante l’avvio o, nei casi più problematici, mancato avvio.
Questo non significa che tali sintomi siano inevitabili. Proprio per evitare problemi su flotte eterogenee, Microsoft raccomanda di testare l’aggiornamento su un gruppo pilota con produttori, versioni firmware e configurazioni BitLocker differenti.
Se compare una richiesta BitLocker
Prima di aggiornare firmware o modificare Secure Boot verifica di avere accesso alla chiave di ripristino BitLocker prevista dalla tua organizzazione o dal tuo account. Non sospendere protezioni o cancellare il TPM come tentativo generico.
Se il PC chiede già la chiave a ogni avvio, risolvi quel problema prima di introdurre altre modifiche. Secure Boot, TPM e BitLocker sono componenti collegati ma non intercambiabili: cambiare impostazioni senza una diagnosi precisa può peggiorare la situazione.
Cosa evitare
- non disattivare Secure Boot per evitare l’aggiornamento dei certificati;
- non modificare il registro per simulare uno stato “Updated”;
- non aggiornare BIOS o UEFI da siti non ufficiali;
- non cancellare il TPM come primo tentativo;
- non distribuire una modifica a tutta la flotta senza un gruppo pilota;
- non confondere la scadenza dei certificati con l’impossibilità immediata di avviare Windows.
Verifica finale
Dopo firmware e aggiornamenti Windows, ricontrolla lo stato Secure Boot, UEFICA2023Status e gli eventi di sistema. Su un ambiente gestito, il risultato migliore è una flotta in cui i dispositivi mostrano lo stato previsto senza nuovi eventi di errore, richieste anomale BitLocker o problemi di boot.
Se il dispositivo continua a non aggiornarsi, raccogli modello, firmware, build Windows e log prima di intervenire manualmente. È più utile avere questi dati pronti per il supporto del produttore o Microsoft che applicare reset indiscriminati.
