Microsoft, Secure Boot güncellemesini henüz almayan Windows 11 ve Windows 10 bilgisayarların normal şekilde çalışmaya devam edeceğini açıkladı. Secure Boot güncellemesi, 2011 tarihli güvenlik sertifikalarının yerini alan yeni 2023 sertifikalarını kademeli olarak dağıtmayı sürdürüyor. Şirket, uygun cihazların önümüzdeki aylarda Windows Update üzerinden yeni güven zincirine otomatik olarak geçirileceğini doğruladı.

Yeni Sertifikalar Güvenlik Zincirini Güncel Tutmayı Sürdürüyor

Microsoft, 14 Temmuz’da yayımladığı KB5101650 güncelleme notlarına önemli bir bilgilendirme ekledi. Şirket, yeni Secure Boot sertifikalarını henüz yüklememiş sistemlerin açılış sürecinde herhangi bir sorun yaşamayacağını, aylık güvenlik güncellemelerini almaya devam edeceğini bildirdi. Açıklama, özellikle haziran ayında sona eren eski sertifikalar nedeniyle bilgisayarının risk altında olduğunu düşünen kullanıcıların soru işaretlerini giderdi.

Secure Boot, UEFI bellenimi içinde çalışan güvenlik mekanizması olarak işletim sistemi yüklenmeden önce önyükleme bileşenlerinin dijital imzalarını doğruluyor. Geçerli imzaya sahip olmayan önyükleyiciler çalıştırılmadığı için rootkit ve bootkit sınıfındaki zararlı yazılımlar sistem açılmadan önce engellenebiliyor. Secure Boot güncellemesi, yalnızca yeni sertifika eklemekten ibaret değil; gelecekte yayımlanacak güvenlik iptal listelerinin kesintisiz dağıtılabilmesi için de temel oluşturuyor.

Microsoft, 2011 yılında oluşturulan güven sertifikalarını yaklaşık iki yıldır aşamalı biçimde değiştiriyor. İlk aşamada Microsoft Corporation KEK CA 2011 sertifikasının süresi 24 Haziran 2026’da doldu. Ardından Microsoft UEFI CA 2011 sertifikası kullanım ömrünü tamamladı. Microsoft Windows Production PCA 2011 sertifikasının ise 19 Ekim 2026 tarihinde sona ermesi planlanıyor. Şirket, bu geçiş sayesinde daha güncel kriptografik algoritmaların kullanılacağını belirtiyor.

BlackLotus adlı UEFI bootkit zararlısı, 2023 yılında Secure Boot mekanizmasını atlayabilmesiyle güvenlik dünyasında geniş yankı uyandırmıştı. Microsoft daha sonra ilgili önyükleyicileri DBX iptal listesine ekleyerek saldırı zincirini engelledi. Güncel Secure Boot sertifikaları bulunmayan sistemler ise ileride yayımlanacak benzer iptal listelerini eksiksiz alamayabileceği için yeni nesil önyükleme saldırılarına karşı daha kırılgan hâle gelebiliyor.

Microsoft, bu nedenle sertifika dağıtımını son kullanma tarihinden sonra da sürdürüyor. Haziran 2026 güncellemesi desteklenen bilgisayarların büyük bölümünü “yüksek güven” grubuna taşırken bazı cihazlarda üretici belleniminden kaynaklanan uyumluluk sorunları nedeniyle geçiş ertelendi. Şirket, belirli BIOS sürümlerinde yaşanan hatalar nedeniyle bazı donanımlarda dağıtımı bilinçli olarak durdurduğunu da doğruladı.

HP’nin yayımladığı bazı BIOS güncellemelerinin BitLocker kurtarma döngüsüne neden olması, üreticiler arasındaki bellenim farklılıklarının geçiş sürecini zorlaştıran en önemli örneklerden biri oldu. Dell, Lenovo, ASUS, Acer, MSI, Samsung, LG ve Surface ekipleri de Microsoft ile birlikte OEM teknik oturumlarında bu geçiş sürecine ilişkin soruları yanıtladı.

Microsoft, Nisan 2026 güncellemesiyle birlikte Windows Güvenliği uygulamasına Secure Boot durum ekranını ekledi. Kullanıcılar, Windows Güvenliği > Cihaz Güvenliği > Secure Boot yolunu izleyerek sistemlerinin yeni sertifikaları alıp almadığını doğrudan görebiliyor. Yeşil simge geçişin tamamlandığını gösterirken sarı uyarı üretici bellenimi için ek doğrulama yapıldığını ifade ediyor. Kırmızı uyarı ise BIOS güncellemesi gerektiğini bildiriyor.

Secure Boot bölümü hiç görünmüyorsa sistem büyük olasılıkla Legacy BIOS modunda çalışıyor, UEFI Secure Boot devre dışı bırakılmış bulunuyor ya da desteklenmeyen donanıma kayıt defteri yöntemiyle Windows 11 kurulmuş durumda yer alıyor. Böyle sistemler gelecekte yayımlanacak Secure Boot sertifikalarını otomatik olarak alamayabiliyor.

Windows 10 kullanıcıları da aynı güvenlik geçişinden yararlanabiliyor. Ancak Microsoft, yeni sertifikaları yalnızca Extended Security Updates (ESU) programına kayıtlı sistemlere gönderiyor. Destek süresi sona eren standart Windows 10 kurulumları ise bu güncellemeleri alamıyor.

Bilgisayar üreticileri, Secure Boot 2023 geçişi için cihaz bazlı destek listeleri yayımlamaya devam ediyor. Dell hizmet ömrü sona eren platformlar için yeni BIOS geliştirmeyeceğini açıklarken HP ile Lenovo da benzer destek politikalarını uyguluyor. Dolayısıyla bazı eski bilgisayarlar çalışmayı sürdürecek olsa da gelecekte yayımlanacak güvenlik iptal listelerini alamayacak.

Kurumsal bilgi işlem ekipleri açısından süreç yalnızca aylık Windows güncellemesi yüklemekten ibaret görünmüyor. Bellenim sürümü, BitLocker yapılandırması, TPM durumu, UEFI ayarları ve üretici BIOS desteği birlikte değerlendirildiğinde Secure Boot geçişi önümüzdeki aylarda da BT ekiplerinin öncelikli güvenlik başlıklarından biri olmayı sürdürecek.