Trois certificats émis par Microsoft en 2011, le KEK CA 2011, le UEFI CA 2011 et le Windows Production PCA 2011, arrivent en fin de vie en juin 2026. Ces certificats forment un maillon central du Secure Boot, le mécanisme qui garantit qu'une machine Windows démarre exclusivement avec des composants logiciels signés et de confiance.

Le piège : aucune alerte visible

C'est le point le plus important à retenir : une machine dont les certificats expirent continue de démarrer parfaitement normalement. Aucune notification n'apparaît à l'écran, aucun message d'erreur ne prévient l'utilisateur. La protection se dégrade silencieusement en arrière-plan : les mises à jour de sécurité au niveau du démarrage ne peuvent plus s'appliquer, ce qui augmente progressivement l'exposition aux rootkits et bootkits, des menaces qui s'installent précisément à ce niveau, sous le système d'exploitation lui-même.

Qui est le plus exposé

Les machines les plus à risque sont celles âgées de 5 ans ou plus, dont le firmware n'a pas été activement maintenu par le fabricant. Sur ces parcs, la mise à jour automatique ne suffit pas toujours : le firmware lui-même doit être compatible pour accueillir les nouveaux certificats.

Une protection qui se dégrade sans le moindre signal visible est, du point de vue de la gestion du risque, plus dangereuse qu'une panne franche : personne ne la remarque avant qu'elle ne soit exploitée.

La réponse de Microsoft

Microsoft a publié le 26 mars 2026 la mise à jour KB5081494, qui se déploie automatiquement sur les machines recevant normalement les mises à jour Windows, à condition que le firmware du fabricant soit compatible.

Ce que nous recommandons

  • Réaliser un inventaire de votre parc, en priorisant les machines de plus de 5 ans
  • Vérifier auprès des sites des fabricants la disponibilité de mises à jour de firmware compatibles
  • Confirmer le déploiement effectif de KB5081494 sur l'ensemble de votre infrastructure
  • Planifier dès maintenant le remplacement du matériel incompatible, avant l'échéance de juin 2026
  • Profiter de cette échéance pour mener un audit de sécurité identifiant l'ensemble des systèmes à risque

Si vos serveurs sont concernés en plus de vos postes de travail, la procédure diffère sensiblement : consultez notre article dédié sur la migration manuelle des certificats Secure Boot côté serveurs.