微软紧急叫停！Win11安全启动证书更新大面积翻车，你的电脑中招了吗？

麻薯滑芝士

各位盯着Windows安全中心那个“安全启动已开启”的绿色对勾看了半天、却死活找不到证书到底有没有更新的普通用户，各位每天早上开机第一件事就是祈祷BitLocker别抽风、生怕被那个蓝色恢复界面锁在桌面外面的办公族，各位当年为了装Win11硬生生绕过了TPM检测、现在每天都在担心固件兼容性什么时候暴雷的DIY折腾党，各位在公司管着几十上百台个人电脑、一看到“安全启动证书过期”就头皮发麻、恨不得把每台机器的固件版本都背下来的IT运维老哥，各位刚兴冲冲买了惠普新款笔记本、结果刷了个BIOS更新就直接卡死在BitLocker恢复屏幕、连系统桌面都摸不到的倒霉孩子——你们最近有没有留意到，Windows安全中心突然多了一行以前从来没见过的警告文字？没错，就在昨天，也就是2026年7月10日，微软终于在官方的支持文档里亲口承认了一件让不少Win11用户心里咯噔一下的事情：安全启动的数字证书更新，在某些Windows 11个人电脑上要么安装失败了，要么干脆被系统直接拦截了下来，根本不让装。而且，因为一些已经被发现的、会引发连锁反应的已知问题，微软自己都暂时按下了这部分设备的证书更新推送暂停键。

这事儿最早是被Windows Latest那帮专门盯着Windows各种风吹草动的老哥给扒出来的。他们在一份微软刚刚更新过的支持文档里发现，微软悄悄写下了一段话，大意是说：由于一些潜在的已知问题，我们已经暂停了部分个人电脑的安全启动更新推送。如果你的设备正好属于被波及的那一批，那么你现在打开Windows安全中心，看到的就不再是以前那句干巴巴的“请联系设备制造商”了——取而代之的是一段详细的错误提示信息，直接告诉你：“你的设备被发现有已知问题。为了降低风险，安全启动证书更新被暂时停掉了，微软和我们的合作伙伴正在一起想办法搞定一个靠谱的解决方案。” 这段原话，微软白纸黑字写在了那份支持文档里，Windows Latest第一时间就把截图给放了出来。

咱们先捋一捋安全启动这东西到底是干什么的。说得直白点，它就是嵌在你个人电脑UEFI固件里头的一道安全门禁系统。Windows 11官方是强制要求开启安全启动的（除非你当初装系统的时候走了特殊通道绕过了检测）。它的职责就是在个人电脑按下电源键、操作系统还没完全加载起来的那段启动阶段，把所有未经授权、没有合法签名的乱七八糟软件和潜在的恶意程序统统拦在门外。要让这套门禁系统正常运转，就得靠数字证书来做身份验证——那些早在2011年或者更早签发的旧证书现在已经过期了，所以微软从去年，也就是2025年开始，就一直张罗着要把它们替换成2023年签发的新证书。按照微软的说法，所有“符合条件的”个人电脑都应该通过Windows 更新自动获取并安装这些新证书。但是，理想很丰满，现实嘛，往往比想象中要骨感得多。

Windows Latest那位资历很深的老记者Ed，之前就已经嗅到不对劲的味道了。他调查发现，很多Windows个人电脑，特别是那些年头比较久的老机型，本身的固件就存在这样那样的问题，根本没有为证书换代这个“大限之日”做好充分的准备——而这个所谓的D-day，其实早就已经过去了。现在微软自己也站出来承认了：确实有一部分个人电脑被挡在了新证书的大门外面。这里面其实分好几种不同的情况。有一种是微软和OEM个人电脑厂商联合排查之后发现，某些特定型号或者特定固件版本的机器，一旦装上2023年的新证书就会捅出篓子来——惠普那边就是一个活生生的反面教材。

惠普是最早站出来公开承认这个问题的主流OEM厂商之一。他们在自家官网的支持文档里说，为了赶在今年6月份那个安全启动证书更换的截止日期之前做好准备，惠普已经开始给大量机型推送更新版的BIOS。结果呢？不少用户在刷完BIOS之后，个人电脑直接卡死在了BitLocker恢复屏幕——就是那个让你输入长达48位恢复密钥才能解锁硬盘的蓝色界面，系统根本进不去。更要命的是，一旦这个BitLocker的兼容性问题冒出来了，微软2023年的新证书就没法正常安装到这台个人电脑上。惠普在文档里的原话是这么说的：“当这个BitLocker问题出现的时候，微软2023年的证书可能无法正确地应用到这台计算机上。” 也就是说，你越想通过升级来提升安全性，系统反而越把你锁在门外头，这找谁说理去？

在惠普和其他几家OEM厂商陆续向消费者发出关于安全启动存在潜在已知问题的警告之后，微软这边也赶紧跟着采取了行动。微软表示，他们已经和个人电脑制造商联手进行了排查，并且圈定了一批特定的设备或者固件版本——在这些设备上，安全启动证书更新可能会导致麻烦。如果一台个人电脑不幸中了招，它需要一个全新的固件更新才能解决问题。但问题是，这个固件更新目前还没有准备好、还没有发布出来，所以微软干脆先把这些设备的安全启动证书更新给拦了下来，以此来降低风险。微软在文档里警告说：“这个组里的设备受到了已知问题的影响。” 至于具体是哪些型号的个人电脑被列进了这个黑名单？微软没有透露具体的例子，只是给出了一个比较笼统的描述。他们接着说：“为了降低风险，安全启动证书更新被临时暂停了，微软和合作伙伴正在一起努力寻找一个受支持的解决方案。请直接联系你的设备制造商寻求帮助。” 这条新的警告提示是最近才开始陆续推送给用户的，所以如果你之前一直看到安全中心显示“安全启动已开启”，但对已安装证书的状态没有任何明确的说明，那你最好再去Windows安全中心里看一眼，说不定那条新警告已经出现了。微软进一步解释说：“需要一个固件更新，但这个更新可能目前还不可用。等它准备好了之后，会通过你设备制造商的常规更新渠道进行发布和安装。”

那么，除了上面这种被微软主动暂停的情况之外，还有一部分个人电脑为什么迟迟收不到2023年的安全启动证书呢？微软告诉Windows Latest，其实大多数现代个人电脑已经通过Windows 更新自动收到了这些证书，并且在后台悄无声息地安装好了，你根本感觉不到有什么动静。但在某些情况下，Windows 更新检测到了潜在的兼容性问题——它觉得你这台机器要是贸然装上2023年的新证书，可能会出岔子——所以它就干脆不把这个更新往你这边推送了。还有一种更让人无奈的警告信息：Windows报告说“安全启动已开启”，但同时也会明确指出，由于硬件或者固件的限制，这台设备将不会收到安全启动证书更新。什么意思呢？就是说，如果你的设备已经用了好几年了，而且又不是当年OEM厂商卖得最好的那几个爆款型号，那你基本上就别指望能等到这个更新了。OEM厂商很少会给老旧的个人电脑机型发布固件更新，一旦你的UEFI固件不被官方继续支持了，微软也就不会给你的个人电脑推送2023年的安全启动证书更新。微软自己也在一份文档里点明了这一点：“许多OEM厂商正在通过它们的标准更新渠道积极发布这些固件更新。如果需要固件更新，请查看你设备制造商的安全启动支持页面，了解后续步骤。” 这番话跟Windows Latest之前的调查结果完全吻合。Windows Latest之前就发现，OEM厂商们已经悄悄地更新了它们关于安全启动的文档，在里面承认了安全启动存在的问题，以及因为缺少必要的固件更新而导致无法完成必要的安全变更。微软在另一份文档里甚至说得更直白：“你的个人电脑型号可能已经不再受到OEM厂商的支持了，或者OEM厂商已经无法再提供更新你设备安全启动信任配置所需要的固件更新了。”

看到这儿，可能有人要慌了：那我个人电脑上的安全启动证书过期了，是不是明天就开不了机了？别着急，Windows Latest之前就报道过，安全启动证书过期并不等于你的个人电脑会停止启动或者没法正常工作。实际上，对于绝大多数普通消费者来说，在日常使用中几乎不可能察觉到任何差别——系统照样能开机，软件照样能跑，游戏照样能玩。这对大多数人来说并不是一场迫在眉睫的灾难。但微软还是在一张表格里分享了更多关于不同状态下风险等级的详细信息。说到底，安全启动本质上是一个“基于固件的启动链验证机制”，而更新的证书是用来确保个人电脑只能运行经过验证的软件的。对于那些不太了解的人来说，安全启动2011年的旧证书和2023年的新证书，它们的作用是用来处理和验证安全启动DBX的更新——这个DBX的全称是“禁止签名数据库”，也就是一个记录了那些已经被攻破或者存在漏洞的引导加载程序的黑名单。如果没有更新过的证书，一台个人电脑就无法安全地接收到这份不断更新的黑名单，也就没办法及时把这些危险的引导加载程序挡在启动环节之外。所以微软坚持强调：如果你暂时收不到这个更新，千万不要为了省事或者赌气直接把安全启动给关掉，那样做只会让你的Windows安全性变得比现在没有更新证书的情况下更糟糕。

最后总结一下，这整件事情就像一个连环套：微软想把过期的旧证书换成新的，结果发现部分个人电脑的固件不配合，一换就出BitLocker死机之类的幺蛾子；OEM厂商比如惠普，刷了BIOS之后反而把用户锁在了系统外面；微软只好紧急踩刹车，暂停了这部分设备的推送，等固件补丁出来再说。而那些年头太久、已经被OEM厂商放弃治疗的老个人电脑，则可能永远等不到新证书了。所以，如果你发现自己的Windows安全中心出现了那条“已知问题暂停更新”的提示，别慌，也别自己去瞎折腾什么注册表或者命令行。耐心等着你的个人电脑厂商放出固件补丁，或者直接打个电话、发个邮件问问他们的技术支持进度。至于那些已经被明确告知“硬件或固件限制无法接收更新”的老古董——嗯，说实话，可能真的是时候认真琢磨一下换台新个人电脑的事儿了。毕竟Windows 11本身对硬件就有一道门槛，硬撑着一台连OEM都不愿意再维护固件的老机器，后面保不齐还会冒出别的什么坑来。

wgm468

游客请登录后查看回复内容

wangcanbie

游客请登录后查看回复内容