I certificati Secure Boot di Windows scadono a giugno 2026 e i PC vanno aggiornati

A fine giugno 2026 scade qualcosa che la maggior parte degli utenti non ha mai visto, ma che lavora in silenzio ogni volta che si accende un PC Windows: i certificati Secure Boot emessi da Microsoft nel 2011. Questi certificati non riguardano la navigazione web o le password, ma un meccanismo più profondo — quello che decide cosa ha il permesso di avviarsi sul computer ancora prima che Windows carichi i propri componenti.

Per capire di cosa si tratta, è utile un'analogia concreta. Secure Boot funziona come il controllo all'ingresso di un edificio: non serve a rendere Windows più robusto quando è già in funzione, ma a impedire che qualcosa di malevolo si infiltri travestito da componente legittimo nella fase in cui le difese del sistema non sono ancora attive. La firma digitale è il badge di riconoscimento; i certificati sono l'autorità che rende quei badge validi. Nel sistema UEFI — il firmware moderno che ha sostituito il vecchio BIOS — questi certificati vivono in elenchi e chiavi che il firmware consulta per verificare il bootloader, i driver e altri componenti che si attivano all'avvio.

Una rotazione, non una semplice scadenza

Quello che accadrà nel 2026 non è il semplice scadere di un certificato come capita in un browser. È una rotazione della root of trust — la radice di fiducia dell'intero sistema di avvio: Microsoft sta passando dalla famiglia di certificati del 2011 a una nuova famiglia del 2023. La transizione coinvolge elementi tecnici come KEK e i database DB/DBX, cioè gli elenchi di ciò che il PC considera affidabile o revocato all'avvio. In pratica, significa che ogni macchina deve aggiornare le proprie «liste di fiducia» per restare allineata con i nuovi standard di sicurezza.

La complessità di questa operazione sta nel fatto che non si tratta di un aggiornamento software ordinario: tocca il livello più basso del sistema, quello che precede il sistema operativo stesso, e deve funzionare su anni di hardware diversi, firmware di produttori differenti e configurazioni aziendali particolari.

Aggiornare la sicurezza dell'avvio non è come installare una patch di Windows

Microsoft punta a far passare gran parte del lavoro attraverso Windows Update sui sistemi compatibili, con un rilascio graduale. Sui PC più recenti con Windows 11, ci si aspetta che l'operazione sia quasi invisibile: gli aggiornamenti mensili già includono meccanismi per mantenere allineata la catena di avvio. Le complicazioni emergono invece sulla lunga coda di PC con Windows 10 e su hardware più datato, spesso con firmware non aggiornati da anni, Secure Boot disabilitato o bloccato da politiche aziendali.

Il rischio non è immediato, ma è reale

La parte meno intuitiva è che, nell'immediato, molti PC continueranno ad avviarsi normalmente anche senza l'aggiornamento. Il problema si manifesta come un degrado progressivo: la macchina non smette di funzionare da un giorno all'altro, ma la sua postura di sicurezza si indebolisce. Soprattutto, potrebbe perdere la capacità di applicare futuri aggiornamenti critici legati a Secure Boot, come gli aggiornamenti delle liste di revoca — quelli che servono a bloccare bootloader o componenti compromessi scoperti dopo la vendita del PC. È un problema di manutenzione preventiva: quando ce ne si accorge perché qualcosa non funziona, spesso la finestra utile è già chiusa.

Il calendario conta. I certificati del 2011 iniziano a scadere a partire da giugno 2026 e la rotazione completa si estende fino all'autunno: una finestra di alcuni mesi in cui chi gestisce PC deve assicurarsi che gli aggiornamenti siano arrivati e che i prerequisiti siano soddisfatti. Il rischio concreto, per chi gestisce flotte aziendali, è ritrovarsi con un insieme eterogeneo di macchine — alcune con la nuova catena di fiducia, altre no — con incompatibilità difficili da diagnosticare.

Quando l'aggiornamento dipende anche dal produttore del PC

Microsoft ha chiarito che l'aggiornamento può fallire o non applicarsi se Secure Boot è disattivato, e che in certi casi servono anche aggiornamenti del firmware UEFI forniti dal produttore del PC. Questo sposta una parte della responsabilità dalla coppia Windows Update–utente all'intera filiera Microsoft–produttore hardware–utente (o reparto IT). È lo stesso problema strutturale che emerge ogni volta che si tocca la sicurezza pre-sistema operativo: la patch non vive tutta dentro Windows.

In ambito aziendale il tema è particolarmente delicato. Le imprese non sono necessariamente meno aggiornate, ma sono più complesse: PC fermi in magazzino, dispositivi spenti da mesi, immagini di sistema standardizzate replicate su centinaia di macchine, procedure di aggiornamento rallentate per evitare regressioni. La scadenza di un certificato diventa, in questo contesto, un esercizio di inventario: sapere quali modelli hanno firmware aggiornabile, quali hanno Secure Boot effettivamente attivo, e quali configurazioni particolari richiedono eccezioni.

C'è poi una categoria spesso trascurata: gli utenti avanzati che usano sistemi in configurazioni non standard, come il dual-boot con Linux, cifratura del disco con strumenti propri o periferiche che caricano driver UEFI personalizzati. Queste configurazioni non sono «sbagliate», ma vivono più vicino alla frontiera dove Secure Boot prende decisioni, e la rotazione 2011→2023 diventa per loro un test concreto di compatibilità con il nuovo ecosistema.

Strumenti per capire lo stato reale delle macchine

Per ridurre l'incertezza, Microsoft sta anche sviluppando strumenti di monitoraggio pensati per chi gestisce parchi di dispositivi. In Windows Autopatch esiste un report sullo stato di Secure Boot che va oltre il semplice «attivo/disattivo»: segnala se il dispositivo è aggiornato rispetto ai certificati del 2023. È un dettaglio significativo perché riflette un cambiamento di approccio: avere Secure Boot abilitato non basta più, conta se la catena di fiducia è effettivamente aggiornata.

La situazione è ulteriormente complicata dalla fine del supporto a Windows 10, avvenuta il 14 ottobre 2025. Chi è rimasto su Windows 10 riceve già meno aggiornamenti, e rischia di non ricevere quelli specifici che mantengono Secure Boot funzionante nel tempo. Qui entra in gioco il programma ESU, che funziona come un ponte di sicurezza oltre la fine del supporto ufficiale, offrendo aggiornamenti critici a pagamento (o gratuitamente in certi mercati) per un periodo limitato.

In Europa gli aggiornamenti di sicurezza per Windows 10 sono rimasti accessibili più a lungo grazie alla pressione dei consumatori

Nel 2026, in Europa, questa dinamica ha anche una dimensione politica: le associazioni dei consumatori hanno fatto pressione perché l'estensione degli aggiornamenti non fosse percepita come obsolescenza programmata, e Microsoft ha dovuto offrire condizioni di accesso agli ESU più favorevoli nell'AEE rispetto ad altri mercati. Il risultato pratico è che una platea più ampia di PC Windows 10 europei ha una chance reale di ricevere in modo ordinato gli aggiornamenti legati alla catena di fiducia di Secure Boot.

Perché questa manutenzione non si può rimandare

Dal punto di vista della sicurezza, Secure Boot non è una protezione di facciata. Serve a contrastare una classe di attacchi che mirano a installarsi prima del sistema operativo, dove gli strumenti di difesa classici — antivirus, EDR, policy di sistema — non hanno ancora visibilità. Negli anni scorsi, diversi aggiornamenti delle liste di revoca hanno mostrato quanto sia sottile il confine tra «patch di sicurezza» e «incidente operativo» quando manca coordinamento tra produttore del sistema operativo, firmware e componenti di terze parti.

Per utenti privati e piccoli uffici, il comportamento più sensato è verificare tre cose: che Windows sia aggiornato, che Secure Boot sia effettivamente attivo nelle impostazioni del firmware, e che il BIOS/UEFI sia in una versione supportata dal produttore dell'hardware. Microsoft mette a disposizione anche metodi di verifica via PowerShell per controllare se i certificati del 2023 sono già presenti. Il punto non è imparare un comando tecnico, ma capire che nel 2026 la sicurezza dell'avvio non è più una cosa da configurare una volta e dimenticare.

La variabile decisiva, da qui a fine giugno, non sarà quante persone avranno letto la notizia, ma quante macchine verranno effettivamente accese, aggiornate e portate in uno stato coerente prima della scadenza. Soprattutto quelle ai margini: PC Windows 10 che non possono aggiornarsi a Windows 11, dispositivi usati in contesti semi-gestiti, hardware che non riceve firmware da anni. In quella zona grigia, la sicurezza dell'avvio non si rompe con un errore visibile — si consuma lentamente, finché un aggiornamento futuro non trova più un terreno affidabile su cui appoggiarsi.