如果你正在使用Windows 10或Windows 11，有一个重要的安全消息需要你关注——微软用于安全启动校验的UEFI CA_2011证书即将在2026年6月开始陆续过期。这意味着，如果你不采取行动，你的电脑可能会在未来失去重要的启动安全保护。
截至2026年6月30日，微软UEFI CA_2011证书已经过期（2026年6月27日过期），微软Windows生产PCA_2011证书也将于2026年10月19日过期。留给未更新设备的时间，已经不多了。
丨什么是UEFI证书？
UEFI 证书，简单来说是一种安全标记。UEFI （统一可扩展固件接口）中会允许拥有特定证书的系统启动，否决不具备证书的启动程序，以保证启动安全。
简单来说，UEFI CA证书是Windows安全启动（Secure Boot）的“底层信任通行证”。而安全启动是通过四层密钥数据库来构建完整信任链，只允许合法签名的引导程序、系统文件开机运行，拦截恶意固件、木马程序：
PK（平台密钥） ：信任链的根密钥
KEK（密钥交换密钥） ：用于批准对DB和DBX的更新
DB（允许签名数据库） ：允许在启动时运行的白名单
DBX（禁止签名数据库） ：已吊销证书的黑名单
目前常见的Windows UEFI证书有CA_2011和CA_2023两种。CA_2011是自2012年以来几乎所有Windows设备内置的旧版证书，而CA_2023是微软在2023年签发的新版证书，用于逐步取代旧证书。
UEFI CA_2011（旧证书） | UEFI CA_2023（新证书） | |
|---|---|---|
启用时间 | 2012年 | 2023年 |
过期时间 | 2026年6月已过期 | 长期有效 |
适用设备 | 2024年之前出厂的老旧Windows设备 | 2024年及以后新设备、系统更新后的旧设备 |
安全能力 | 老旧安全机制，无法防御新型固件攻击 | 全新安全架构，修复底层漏洞，防护能力全面升级 |
兼容场景 | 仅支持旧版PE、旧系统镜像 | 适配新版系统镜像、新版PE工具、主流安全软件 |
丨简单总结：CA_2011是即将退役的旧门禁，CA_2023是新一代安全门禁，是未来Windows设备底层安全的唯一保障。
丨UEFI证书到期会有哪些影响？
很多用户最担心的问题就是证书过期后会不会导致Windows系统无法启动。答案是不会的。
微软将此次截止日期设计为一次后台基础设施的更新，而非立即生效的“终止开关”。所有依赖CA_2011旧证书的电脑，原有系统、已安装软件、日常开机、正常更新都不会瘫痪。已经通过旧证书校验的系统文件、引导程序，过期后依然可以正常运行，不会出现蓝屏、无法进入系统、软件闪退等基础故障。
丨但隐性的风险还是存在的，具体影响如下：
失去启动层安全补丁：无法接收Windows启动管理器、安全启动数据库、漏洞吊销列表（DBX）的最新更新，开机层漏洞永久无法修复
新型固件攻击无法防御：面对当下新型开机劫持、固件木马、恶意引导程序，系统无法拦截
功能兼容性异常：部分反作弊软件、企业安全加密工具、BitLocker磁盘加密可能弹出异常恢复提示、兼容报错
新装/重装系统受限：新版系统镜像、新版PE引导程序仅支持CA_2023证书，旧证书设备会出现重装失败、引导失效、U盘启动报错等问题
长期处于高危裸奔状态：设备无底层安全校验，极易被植入顽固开机病毒，常规杀毒软件无法查杀
丨如何查看电脑当前搭载的UEFI证书版本？
丨方法一：通过PowerShell查看具体证书
丨以管理员身份运行Powershell，输入以下命令：
"2023版证书: $(([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'))"; "2011版证书: $(([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011'))"
如果返回“True”即代表设备内置对应版本证书，返回“False”则无。
丨方法二：通过注册表查看更新状态
按下“Win+R”键打开运行窗口，输入“regedit”命令打开注册表界面。
接着，在打开的注册表界面中依次点击展开：
“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing”路径，找到“UEFICA2023Status”值，检查该值是否显示为“Updated”。
丨解决方案
对于UEFI CA_2011证书过期问题，微软官方给出了的解决方案则是通过Windows Update自动更新，系统会自动替换老旧2011系列证书，部署全新的Microsoft Corporation KEK 2K CA_2023安全证书，但存在严格限制，适配性较差。
丨不同系统用户操作要求：
Windows 11用户：无需额外操作，系统将通过常规的累积更新自动接收并部署新的安全凭证。
Windows 10用户：需要确保已安装2026年1月及之后的累积更新（KB5073724等），并且已加入扩展安全更新计划（ESU）。
丨重要前提：安全启动必须处于启用状态，否则无法更新证书。2024年及以后出厂的全新电脑，已在出厂固件中预装2023新证书，无需手动更新。
丨特别说明：
目前暂时没有合适的办法让CA_2011和CA_2023证书共存，微软也没有提供这两个证书的双签名引导文件。本次更新为一次性信任体系迁移，更新后旧证书自动失效。
丨U盘魔术师适配方案
证书过期后，多数用户会遇到U盘启动、PE维护、系统重装、引导修复报错问题。针对该场景，U盘魔术师工具已更新处理适配了UEFI安全启动的”CA_2011”以及“CA_2023”两个证书的问题。
丨具体操作步骤：
此处在U盘魔术师制作程序上添加了一个“CA_2023”的选项（默认勾选），这样“U盘模式”和“ISO模式”都默认使用“Windows UEFI CA_2023”证书签名的“bootx64.efi”引导文件。
反之，若不勾选此选项，则使用旧版“Microsoft Windows Production PCA_2011”证书签名的“bootx64.efi”引导文件。
因此建议制作两个U盘，一个默认勾选”CA_2023”选项，一个则取消勾选。这样在遇到不同证书环境的电脑时，可以灵活切换。
设计师：后期可以考虑U盘多分出一个区，只放 bootx64.efi 引导文件，让一个U盘有两个FAT分区，方便一个U盘同时存放两种签名的 bootx64.efi引导文件，满足不同使用场景，但该方案代码改动量较大，相关开发优化后续跟进完善。
丨而在PE系统中，桌面右上角处也新增两个关键证书的显示：
Microsoft Windows Production PCA 2011
Windows UEFI CA 2023
丨对于这两个证书的现实逻辑如下：
Microsoft Windows Production PCA 2011：存在于固件的 db 中，并且不存在于 dbx 中则显示
Windows UEFI CA 2023：存在于固件的 db 中就显示
丨另外对于SGI_v5PECMD也进行了适配更新：
修复引导时也会自动识别“CA_2011”和“CA_2023”证书信息，当“CA_2011”证书已被固件吊销存于“dbx”中时则自动转“CA_2023”证书引导程序（需目标系统支持，一般2024后半年后更新的系统补丁已支持）
丨注：目前U盘魔术师 更新后已实现此类问题的智能化，修复系统引导也是智能化。
丨U盘魔术师工具 下载地址 ????
丨U盘魔术师补丁夸克网盘 下载地址????
丨注意：本次更新适用于U盘魔术师“U盘模式”、“ISO模式”，解压替换U盘魔术师制作程序同目录文件即可升级引导文件为CA_2023证书版。暂未处理“ISO模式”的光盘引导，但适用于“ISO模式”的“一键制作U盘”。Ventoy引导模式不在本补丁处理范围内。
丨总结
本次UEFI证书迭代是微软底层安全体系的常规升级，并非系统故障危机，但对设备长期安全运行至关重要。普通用户只需开启系统自动更新、保持安全启动启用，即可静默完成证书迁移；对于电脑运维人员，提前规划旧设备的启动环境兼容性测试，并借助已适配新证书的工具，将是保障业务连续性的关键。请务必在2026年10月19日最终截止前完成过渡，让您的设备从底层固件开始，筑牢设备底层安全防线。
以上就是微软UEFI CA_2011旧证书过期！U盘魔术师已更新适配，一键解决启动重装报错的文章，关注我们官方抖音号【系统总裁网】，可以学习更多电脑知识！
相关推荐
