Secure Boot su Windows 11: come verificare e aggiornare i certificati

di Davide Ferraresi redattore IA 20 ottobre 2026, 11:31 · Microsoft

Illustrazione 3D di persone che effettuano un controllo di sicurezza su un computer in ufficio. — Immagine generata con IA

Tre certificati Microsoft del 2011 hanno tre date di scadenza: 24 giugno, 27 giugno e 19 ottobre 2026. Al 20 ottobre 2026 sono scaduti tutti. Microsoft li sostituisce con i certificati del 2023, che devono finire nel firmware di ogni PC con Secure Boot. La guida è per chi usa Windows 11 su un PC con firmware UEFI. Alla fine saprai se Secure Boot è attivo, se il certificato Windows UEFI CA 2023 è nel firmware e a che punto è l’aggiornamento. Saprai anche quando bastano gli aggiornamenti di Windows e quando serve un firmware nuovo. I comandi sono quelli della documentazione ufficiale Microsoft, elencata in fondo.

Cosa serve

Un PC con firmware UEFI e una versione supportata di Windows 11. La pagina Microsoft sugli eventi elenca le versioni 22H2, 23H2, 24H2 e 25H2. La guida alla risoluzione dei problemi aggiunge la 26H1.
Un account amministratore: i controlli si fanno in PowerShell come amministratore.
Gli ultimi aggiornamenti di sicurezza di Windows.
Se il disco è cifrato con BitLocker, una copia della chiave di ripristino conservata fuori dal PC. La pagina KB5025885 spiega come leggerla: apri il prompt dei comandi come amministratore, esegui manage-bde -protectors -get %systemdrive% e annota la password numerica di 48 cifre.

PK, KEK, db e dbx: quali certificati sono scaduti

Secure Boot avvia solo software firmato con certificati ritenuti attendibili, conservati nel firmware. Le chiavi formano una gerarchia. La chiave della piattaforma (PK) è di norma del produttore del PC. La KEK autorizza le modifiche ai due database: il db contiene le firme consentite, il dbx quelle revocate. La guida Microsoft per i produttori aggiunge che nel dbx finiscono anche gli hash dei componenti dannosi o vulnerabili.

Le date di scadenza sono quelle della pagina KB5062710:

Certificato in scadenza	Scadenza	Sostituto	Dove sta	A cosa serve
Microsoft Corporation KEK CA 2011	24 giugno 2026	Microsoft Corporation KEK 2K CA 2023	KEK	Firma gli aggiornamenti di db e dbx
Microsoft UEFI CA 2011	27 giugno 2026	Microsoft UEFI CA 2023	db	Firma boot loader di terze parti e applicazioni EFI
Microsoft UEFI CA 2011	27 giugno 2026	Microsoft Option ROM UEFI CA 2023	db	Firma le ROM opzionali di terze parti
Microsoft Windows Production PCA 2011	19 ottobre 2026	Windows UEFI CA 2023	db	Firma il caricatore di avvio di Windows

Il certificato UEFI CA del 2011 viene sostituito da due certificati del 2023, uno per i boot loader e uno per le ROM opzionali. Un PC senza i certificati 2023 continua ad avviarsi e a installare i normali aggiornamenti di Windows. Però non riceve più le nuove protezioni dell’avvio: gli aggiornamenti di Windows Boot Manager e del database di avvio protetto, gli elenchi di revoca e le mitigazioni per le nuove vulnerabilità dell’avvio.

Verificare che Secure Boot sia attivo

Se Secure Boot non è attivo, l’aggiornamento non parte. È il primo controllo indicato dalla guida alla risoluzione dei problemi (KB5085046). Apri PowerShell come amministratore ed esegui il cmdlet descritto su Microsoft Learn:

Schermata di Sicurezza dei dispositivi in Windows 11 con l'opzione Avvio protetto attivata. — Stato dell’Avvio protetto nella sezione Sicurezza dei dispositivi di Windows 11. — Immagine: Microsoft News Center / Source (Used with permission from Microsoft.)

Confirm-SecureBootUEFI

Con Secure Boot attivo la risposta è:

True

Le risposte possibili sono quattro:

True: il PC supporta Secure Boot e Secure Boot è attivo.
False: il PC lo supporta, ma è disattivato.
«Cmdlet not supported on this platform.»: il PC non supporta Secure Boot oppure ha un BIOS non UEFI.
«Unable to set proper privileges. Access was denied.»: PowerShell non è stato aperto come amministratore.

Con False, Microsoft rimanda alla pagina «Windows 11 e avvio protetto» per attivare Secure Boot nel firmware. Le voci dei menu cambiano a seconda del produttore.

Controllare se Windows UEFI CA 2023 è già nel db

Per avviare Windows conta il certificato Windows UEFI CA 2023. Il comando di KB5025885 legge il db dal firmware e cerca quel nome. Va eseguito in PowerShell come amministratore:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

True vuol dire che il certificato è nel db. False vuol dire che non c’è ancora: installa gli aggiornamenti e fai i controlli delle sezioni successive. Microsoft avverte che può servire un riavvio sui PC con la Modalità protetta virtuale attiva (Credential Guard, Device Guard, Windows Hello).

La stessa pagina spiega anche come revocare il PCA 2011 aggiungendolo al dbx. Quei passaggi sono pensati per le organizzazioni e non si possono annullare se Secure Boot resta attivo. Questa guida non li tratta.

Leggere UEFICA2023Status nel registro

Avere il certificato nel db non basta. Anche Windows Boot Manager deve passare alla versione firmata con Windows UEFI CA 2023. Il valore UEFICA2023Status della chiave Servicing dice se è successo:

(Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status

Il risultato atteso è Updated, tradotto nella pagina italiana come «Aggiornato». NotStarted significa che l’aggiornamento non è ancora iniziato; InProgress indica che non è completato, e se c’è un errore lo stato resta così. In quel caso controlla UEFICA2023Error e gli eventi correlati. Se il valore manca, l’aggiornamento non è mai partito. KB5085046 indica tre cause: Secure Boot disattivato, aggiornamenti di Windows mancanti, oppure l’attività pianificata Secure-Boot-Update disattivata o assente.

Controllare l’attività Secure-Boot-Update

Le prime due cause si escludono con il controllo precedente e con Windows Update. Per la terza, KB5085046 indica un’interrogazione in sola lettura dell’attività. In PowerShell come amministratore esegui schtasks.exe /query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V. Nell’elenco che compare guarda il campo Stato:

Pronto: l’attività esiste ed è abilitata. Controlla anche che venga eseguita come Sistema locale e che sia stata eseguita almeno una volta dall’installazione dell’ultimo aggiornamento di sicurezza.
Disabilitato, Errore o Non trovato: l’attività va abilitata o ricreata.

Per abilitarla o ricrearla, KB5085046 rimanda a uno script di esempio, Enable-SecureBootUpdateTask.ps1. Microsoft lo dichiara non supportato e chiede agli amministratori di esaminarlo e adattarlo prima di usarlo. Le istruzioni sono nella sezione «Attività pianificata di avvio protetto disabilitata o eliminata» della guida KB5085046. Dopo aver ripristinato l’attività, riavvia il PC oppure eseguila a mano, così l’aggiornamento riparte.

KB5085046 presenta un’altra informazione come riferimento avanzato. Nella chiave SecureBoot c’è anche AvailableUpdates, una maschera di bit con i passaggi ancora da fare. Di norma parte da 0x5944 e scende a 0x4000 quando tutte le azioni applicabili sono state completate. Se resta fermo su 0x4004, l’aggiornamento è bloccato al passaggio della KEK.

Controllare gli eventi TPM-WMI nel Visualizzatore eventi

Windows registra un evento a ogni passaggio, che riesca o che fallisca. Apri il Visualizzatore eventi, vai al registro Sistema e filtra per origine TPM-WMI. Nella pagina KB5016061, però, le schede degli eventi 1800, 1802 e 1803 non indicano l’origine. Questi tre ID vanno cercati nel registro Sistema senza filtro per origine.

ID	Livello	Cosa indica	Cosa fare
1808	Informazioni	Tutti i certificati necessari sono nel firmware e il boot manager è quello firmato Windows UEFI CA 2023: il PC è completamente aggiornato.	Niente. Il BucketConfidenceLevel riportato nell’evento non indica azioni da fare.
1801	Errore	I certificati sono stati aggiornati, ma non sono ancora applicati al firmware.	Leggi il BucketConfidenceLevel riportato nell’evento (vedi sotto).
1795	Errore	Il firmware ha restituito un errore durante l’aggiornamento di DB, DBX o KEK. Windows riprova al riavvio successivo.	Chiedi al produttore se c’è un aggiornamento del firmware.
1802	Errore	L’aggiornamento è stato bloccato di proposito per un problema noto del firmware.	Chiedi al produttore un firmware che risolva il problema.
1803	Errore	Per questo PC non è stata trovata una KEK firmata con la PK.	Chiedi al produttore se ha fornito a Microsoft la KEK per il tuo modello.

Il BucketConfidenceLevel dell’evento 1801 indica in che situazione è il PC. KB5016061 spiega ogni valore:

Alta confidenza: i dati raccolti su PC equivalenti mostrano che il firmware accetta i nuovi certificati.
Temporaneamente in pausa: c’è un problema noto e gli aggiornamenti sono sospesi. Può servire un firmware nuovo. I dettagli sono in un evento 1802.
Non supportato – Limitazione nota: per limiti dell’hardware o del firmware l’aggiornamento automatico non è possibile.
Sotto osservazione – Più dati necessari: il PC non è bloccato, ma l’aggiornamento può slittare finché non ci sono abbastanza dati.
Nessun dato osservato – Azione richiesta: Microsoft non ha dati su questo PC e probabilmente serve un intervento dell’amministratore.

Ogni passaggio riuscito ha il suo evento: 1036 per Windows UEFI CA 2023 nel db, 1044 per Option ROM UEFI CA 2023, 1045 per Microsoft UEFI CA 2023, 1043 per la nuova KEK e 1799 per il boot manager 2023.

Installare gli aggiornamenti di Windows e riavviare

Sulla maggior parte dei PC il passaggio ai certificati 2023 arriva con gli aggiornamenti. Da Impostazioni > Windows Update installa gli ultimi aggiornamenti di sicurezza e riavvia. L’attività pianificata \Microsoft\Windows\PI\Secure-Boot-Update gira come Sistema locale all’avvio e poi ogni 12 ore. A ogni esecuzione applica i passaggi in sospeso e ritenta quelli falliti.

Se compare l’evento 1800, Windows chiede un riavvio prima di installare l’aggiornamento. Dopo il riavvio ripeti i controlli delle sezioni precedenti.

Evento 1032: sospendere BitLocker per due riavvii

L’evento 1032 indica che, con la configurazione BitLocker attuale, l’aggiornamento del firmware porterebbe il PC alla schermata di ripristino di BitLocker. Per questo Windows non lo applica. KB5016061 indica di sospendere BitLocker per 2 cicli di riavvio.

Schermata blu di ripristino di BitLocker con campo di inserimento del codice e ID della chiave. — La schermata di ripristino di BitLocker che richiede l’inserimento della chiave di sblocco. — Immagine: Microsoft News Center / Source (Used with permission from Microsoft.)

Attenzione: durante i due riavvii l’unità di sistema resta senza la protezione di BitLocker. Prima di procedere controlla di avere la chiave di ripristino fuori dal PC, come in «Cosa serve». %systemdrive% non va sostituito: è la variabile di Windows che indica l’unità di sistema. Nella pagina Microsoft i comandi sono scritti con il trattino lungo (–). Se il comando incollato dà errore, riscrivilo a mano con il trattino normale (-). Dal prompt dei comandi come amministratore esegui:

Manage-bde –Protectors –Disable %systemdrive% -RebootCount 2

Riavvia il PC due volte. Poi, sempre da un prompt dei comandi aperto come amministratore, esegui questo comando per assicurarti che la protezione sia di nuovo attiva:

Manage-bde –Protectors –enable %systemdrive%

Aggiornare il firmware dal sito del produttore

Con l’evento 1795 Windows riprova l’aggiornamento al riavvio successivo: verifica con il produttore se è disponibile un firmware aggiornato. Con l’evento 1802 segui le indicazioni relative al problema noto; con il 1803 chiedi al produttore la disponibilità della KEK firmata per il modello. Cerca il firmware nella pagina di supporto del produttore del PC, per il modello esatto. La procedura di installazione cambia da marca a marca e le pagine Microsoft non la descrivono.

Messaggio di errore in Avvio protetto che invita a contattare il produttore del dispositivo. — Avviso sulle limitazioni del firmware che richiede un aggiornamento da parte del produttore. — Immagine: Microsoft News Center / Source (Used with permission from Microsoft.)

Microsoft raccomanda di avere sempre la chiave di ripristino BitLocker. Se non l’hai salvata, fallo prima di aggiornare il firmware.

Nel firmware non riportare le impostazioni di Secure Boot ai valori predefiniti, a meno che il produttore non abbia pubblicato valori predefiniti che includono i certificati 2023. Su un PC che usa già il boot manager 2023, quel ripristino cancella i nuovi certificati e Windows non si avvia più.

Se il produttore non fornisce la KEK firmata per il modello (evento 1803), il passaggio della KEK resta incompleto. Secondo KB5085046 non esiste un ripristino manuale supportato. Il boot manager 2023 viene comunque installato.

Se sul PC c’è anche Linux

I boot loader di terze parti, come quelli usati in dual boot, sono firmati con Microsoft UEFI CA. Il certificato del 2011 è scaduto il 27 giugno 2026. KB5062710 cita i bootloader di terze parti tra gli scenari interessati dalla scadenza. KB5085046 descrive il bit 0x4000 di AvailableUpdates: quando è impostato, Microsoft UEFI CA 2023 e Microsoft Option ROM UEFI CA 2023 vengono aggiunti al db solo se il db contiene già Microsoft Corporation UEFI CA 2011. Se sullo stesso PC ci sono più installazioni di Windows, aggiornale tutte: KB5025885 lo chiede prima di applicare le revoche, un passaggio che questa guida non tratta.

Se qualcosa va storto

Nessun progresso: UEFICA2023Status manca e nel registro non ci sono gli eventi 1043, 1044, 1045, 1799 o 1801. Verifica che Secure Boot sia attivo e che gli aggiornamenti siano installati. Poi controlla l’attività con schtasks.exe /query /TN "\Microsoft\Windows\PI\Secure-Boot-Update" /FO LIST /V in PowerShell aperto come amministratore. Il campo Stato deve essere Pronto. Con Disabilitato, Errore o Non trovato segui la sezione «Controllare l’attività Secure-Boot-Update»: lo script di esempio indicato da KB5085046 non è supportato da Microsoft. Dopo il ripristino riavvia il PC o esegui l’attività a mano.
Chiave BitLocker richiesta una sola volta dopo l’aggiornamento di Secure Boot: inserisci la chiave e controlla se c’è un firmware più recente.
Chiave BitLocker richiesta a ogni avvio: di solito il PC prova prima l’avvio di rete PXE. Nell’ordine di avvio metti al primo posto Windows Boot Manager su disco, oppure disattiva il PXE se non ti serve.
Il PC non si avvia dopo il ripristino dei valori predefiniti di Secure Boot: serve l’utilità di ripristino. Da un secondo PC con l’aggiornamento di luglio 2024 o successivo, copia SecureBootRecovery.efi da C:\Windows\Boot\EFI\ nella cartella \EFI\BOOT\ di una chiavetta USB formattata in FAT32. Rinomina il file in bootx64.efi, il nome indicato da Microsoft, poi avvia dalla chiavetta il PC bloccato. KB5025885 dice di non usare l’utilità sui dispositivi descritti tra i problemi noti: PC HP con Sure Start, dispositivi Arm64 con firmware Qualcomm, macchine virtuali VMware, Mac con chip T2 e sistemi con la crittografia degli endpoint di Symantec. L’utilità rimette nel db un solo certificato, Windows UEFI CA 2023. Dopo il riavvio controlla che ci siano anche gli altri e aggiorna il firmware.
Il PC non si avvia subito dopo l’aggiornamento: alcuni firmware sovrascrivono il db invece di aggiungere i nuovi certificati. Solo per questo caso Microsoft indica di ripristinare le impostazioni di Secure Boot dal menu del firmware. Se il PC riparte, installa un firmware corretto dal sito del produttore prima di riattivare Secure Boot e riapplicare l’aggiornamento. Se il ripristino non basta, servono istruzioni specifiche del produttore.

Documentazione di riferimento

Pagine consultate il 20 ottobre 2026: