Nous avons détaillé dans un précédent article l'expiration en juin 2026 des certificats Microsoft qui protègent le démarrage sécurisé (Secure Boot) des machines Windows. Pour les postes de travail, Microsoft déploie automatiquement les nouveaux certificats via Windows Update. Pour vos serveurs, en revanche, ce n'est pas le cas : une intervention manuelle, serveur par serveur, est nécessaire.
Pourquoi les serveurs sont traités différemment
Contrairement aux PC qui reçoivent les mises à jour de firmware et de certificats de façon largement automatisée, les environnements serveur nécessitent une validation explicite de l'administrateur avant toute modification touchant au démarrage sécurisé, une prudence légitime vu la criticité de ces systèmes, mais qui signifie concrètement qu'aucune action ne se fera sans vous.
Systèmes concernés
- Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025
- Les machines virtuelles Hyper-V de génération 2
- Seuls les serveurs construits après 2024-2025, sur des plateformes certifiées récentes, disposent déjà nativement des certificats 2023
Passé juin 2026, aucun nouveau correctif contre les bootkits et rootkits ne pourra plus être appliqué sur les systèmes non migrés, seules les variantes déjà connues resteront détectables. La dégradation ne génère aucune alerte visible : le serveur continue de démarrer normalement.
La procédure en 4 étapes
- Mettre à jour le firmware du serveur auprès du fabricant (Dell, HP, Lenovo, HPE...)
- Déployer manuellement les certificats d'autorité 2023 via stratégie de groupe ou script de déploiement
- Vérifier l'état de la transition via la clé de registre
UEFICA2023Status - Auditer les VM Hyper-V de génération 2 selon la même procédure de vérification
Comptez en moyenne 1 à 2 heures par serveur, tests de validation post-déploiement inclus. Pour les environnements hébergés chez un fournisseur cloud (Azure, AWS...), vérifiez auprès de votre prestataire : les mises à jour de firmware y sont généralement automatisées, mais cela mérite une confirmation explicite plutôt qu'une hypothèse.
Bonne nouvelle pour les environnements legacy : Windows Server 2012 et 2012 R2 restent éligibles à la procédure dès lors que vous êtes abonné aux mises à jour de sécurité étendues (ESU).
Notre recommandation
Établissez dès maintenant un inventaire de vos serveurs par version et par âge, et planifiez la migration avant l'échéance de juin 2026 plutôt que dans l'urgence. C'est exactement le type de contrôle que nous intégrons à nos audits de conformité et de configuration.