انتهت شهادة Secure Boot لعام 2011 في 19 أكتوبر: ما الذي يجب فحصه على خوادم Windows

في 19 أكتوبر 2026 بلغت شهادة Microsoft Windows Production PCA 2011 نهاية عمرها البالغ 15 عامًا. وبعد ثلاثة أيام نشرت Microsoft المقال KB5132953، ونقطته الأولى مطمئنة: انتهاء صلاحية الشهادة لا يمنع الأجهزة من التشغيل ولا يمنع Windows من الإقلاع. أما النقطة الثانية فتستحق القراءة مرتين. آخر إصدارات Windows Boot Manager الموقّعة بشهادة 2011 أصبحت الآن "مجمّدة في صيغة ثنائية ثابتة" ولن تتلقى تصحيحات أمنية بعد اليوم.

إذن لم يتعطل شيء في 20 أكتوبر. التغيير أهدأ من ذلك. أي خادم ما زالت البرامج الثابتة فيه تثق بسلسلة 2011 وحدها توقّف عن تلقي إصلاحات مستوى الإقلاع، وأول تصحيح تصدره Microsoft لثغرة في Boot Manager لن يصل إليه. بالنسبة لشركة صغيرة لديها بضعة خوادم فعلية وعشرات من الأجهزة الافتراضية، يحتاج الأمر إلى فترة بعد الظهر إن بدأت الآن. وإن انتظرت حتى تتصدر ثغرة إقلاع الأخبار، فسيأخذ عطلة نهاية أسبوع كاملة.

كانت دورة تحديثات أكتوبر مزدحمة أصلًا لكل من يشغّل خوادم Microsoft على أجهزته الخاصة (كتبنا عن جانب Exchange هنا). هذا الجانب أقل ضجيجًا، لكنه يخص كل جهاز Windows مفعّل عليه Secure Boot.

تواريخ الانتهاء الثلاثة في مكان واحد

تسرد صفحة Microsoft الخاصة بانتهاء شهادات Secure Boot شهادات 2011 وبدائلها:

مرّت تواريخ يونيو دون ضجة تُذكر. أكتوبر أهم، لأن Production PCA يوقّع محمّل إقلاع Windows نفسه، وكانت Microsoft تستخدمه أيضًا لملفات Windows العادية. ووفق KB5132953، لم تعد Microsoft منذ 19 أكتوبر توقّع أي ملف ثنائي أو كتالوج أمني بشهادة PCA 2011.

ما الذي تغيّر فعلًا بعد 19 أكتوبر

إذا قرأت KB5132953 بعين مسؤول غرفة خوادم، تبرز أربعة تغييرات:

• كل تصحيح أمني قادم لمحمّل إقلاع Windows سيُوقَّع بسلسلة Windows UEFI CA 2023 فقط. الخادم الذي لا تحتوي قاعدة توقيعات البرامج الثابتة فيه (DB) على هذه الشهادة لا يستطيع الاستفادة من تلك التصحيحات.
• وسائط التثبيت القادمة لإصدارات Windows الحالية ستُقلع افتراضيًا بـ Boot Manager الموقّع بشهادة 2023. على الأجهزة التي تفتقر برامجها الثابتة إلى شهادة 2023 ستفشل هذه الوسائط بخطأ Secure Boot violation، إلا إذا شغّلت سكربت الإرجاع الذي تقول Microsoft إنها ستوفره.
• الإصدارات الرئيسية القادمة من Windows، للعملاء والخوادم، ستحتاج إلى Windows UEFI CA 2023 في DB لمجرد إقلاع وسائط تثبيتها.
• سياسات App Control for Business (WDAC) وفحوص التوقيع في خطوط CI/CD والأدوات الأمنية التي تربط ثقتها بـ PCA 2011 قد تحظر ملفات Windows المحدّثة. تذكر Microsoft من الأعراض فشل التحديثات التراكمية، وتعطل الخدمات عند بدء التشغيل، والحدث Code Integrity 3077.

أي الأجهزة تحتاج إلى متابعة

يشمل KB5132953 كلًّا من Windows 11 وWindows 10 ESU وWindows Server 2019 و2022 و2025 وAzure. وتقول Microsoft إن المستخدمين المنزليين الذين يعتمدون على Windows Update لا يحتاجون إلى أي إجراء. المقال موجّه للفرق التي تدير تحديثاتها بنفسها، وهذه الحالات هي الأكثر شيوعًا في البيئات الصغيرة والمتوسطة التي نعمل معها:

• الخوادم الفعلية المفعّل عليها Secure Boot، خصوصًا الطرازات الأقدم التي توقّف مصنّعها عن إصدار تحديثات BIOS.
• الأجهزة الافتراضية من الجيل الثاني في Hyper-V. تقول Microsoft إنها تتلقى الشهادات الجديدة عبر التحديثات التراكمية المعتادة، فمهمتك هنا التأكد من أن ذلك حدث فعلًا.
• الأجهزة الافتراضية على VMware. توصي Microsoft بتحديث مضيفات ESXi وإصدارات عتاد الأجهزة الافتراضية إلى إصدارات تتضمن قوالب UEFI للضيف فيها شهادات 2023.
• كل من يطبّق سياسات App Control، أو يستخدم برامج حماية تفحص توقيعات Authenticode مباشرة.
• الفرق التي ما زالت تثبّت الخوادم من وحدات USB قديمة أو صور PXE.

يستحق Windows Server 2016 سطرًا مستقلًا. فهو مذكور في إرشادات Boot Manager الأقدم، KB5025885، لكنه غير مذكور في KB5132953، كما أن صفحة دورة حياة Windows Server 2016 تحدد نهاية الدعم الممتد في يناير 2027. إن كانت لديك خوادم 2016، فخطّط لترحيل نظام التشغيل ولعمل الشهادات معًا. المنطق نفسه كان وراء خطتنا للخروج من Exchange 2016/2019: مشروع صيانة واحد أفضل من مشروعين متعجّلين.

فحص الحالة باستخدام PowerShell

شغّل هذه الأوامر من نافذة PowerShell بصلاحيات المسؤول. ابدأ بالتأكد من أن Secure Boot مفعّل أصلًا. يعيد Confirm-SecureBootUEFI القيمة True أو False، ويعطي خطأ على الأجهزة التي لا تدعم UEFI Secure Boot.

Confirm-SecureBootUEFI

بعد ذلك اقرأ مفاتيح الخدمة الموثقة في صفحة مفاتيح السجل الخاصة بـ Secure Boot. تنتقل قيمة UEFICA2023Status من NotStarted إلى InProgress ثم إلى Updated. إذا لم تكن UEFICA2023Error صفرًا فهذا يعني فشل إحدى الخطوات، وتدلّك UEFICA2023ErrorEvent على رقم الحدث الذي يجب البحث عنه.

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' |
  Select-Object UEFICA2023Status, UEFICA2023Error, UEFICA2023ErrorEvent

لمعرفة ما إذا كانت DB في البرامج الثابتة تحتوي على شهادة Windows الجديدة، يقدّم KB5025885 هذا الأمر، ويجب أن يعيد True:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

ثم راجع سجل System. يشرح KB5016061 أرقام الأحداث: 1801 يعني أن الشهادات حُدّثت لكنها لم تُطبَّق بعد على البرامج الثابتة للجهاز، و1808 يعني أن شهادات Secure Boot ومفاتيحه على هذا الجهاز محدّثة، و1795 خطأ أعادته البرامج الثابتة، و1803 يعني عدم وجود KEK موقّع بمفتاح PK لهذا الجهاز، وهذا سؤال يوجَّه إلى مصنّع العتاد.

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1795,1796,1801,1803,1808} -MaxEvents 20 |
  Format-Table TimeCreated, Id, Message -Wrap

إذا احتجت إلى فتح تذكرة لدى مصنّع الخادم، تجمع إرشادات Microsoft لمتخصصي تقنية المعلومات بيانات البرامج الثابتة بهذه الأوامر:

(Get-CIMInstance Win32_BIOS).Description + ", " + (Get-CIMInstance Win32_BIOS).ReleaseDate.ToString("MM/dd/yyyy")
(Get-CIMInstance Win32_ComputerSystem).Manufacturer
(Get-CIMInstance Win32_ComputerSystem).Model
(Get-CIMInstance Win32_BaseBoard).Product

تطبيق التحديث خطوة بخطوة

اختر أولًا خادمًا غير حرج من كل طراز عتاد. يتبع الترتيب التالي إجراء الاختبار الموثق لدى Microsoft.

1. احفظ مفتاح استرداد BitLocker. يحذّر KB5132953 من أن طلبات استرداد غير متوقعة قد تظهر بعد تحديثات سلسلة الإقلاع. ويبيّن KB5025885 طريقة قراءة كلمة مرور الاسترداد المكونة من 48 رقمًا: manage-bde -protectors -get %systemdrive%
2. ثبّت أحدث برامج ثابتة BIOS/UEFI من مصنّع الخادم. تطلب إرشادات Microsoft من المسؤولين مراجعة المصنّع بشأن البرامج الثابتة المحدّثة، والحدثان 1795 و1803 يشيران عادة إلى الاتجاه نفسه.
3. فعّل النشر وشغّل المهمة المجدولة فورًا بدل انتظار دورتها كل 12 ساعة. الأمران مأخوذان من صفحة مفاتيح السجل:

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

4. راقب قيمة AvailableUpdates. عندما تصبح 0x4100 أعد تشغيل الخادم وشغّل المهمة المجدولة مرة أخرى. يجب أن تستقر القيمة على 0x4000 بعد استبدال Boot Manager.
5. تأكد من أن UEFICA2023Status تساوي Updated وأن الحدث 1808 ظهر في سجل System.
6. عمّم على بقية الخوادم. في Group Policy الإعداد هو "Enable Secure Boot Certificate Deployment" ضمن Computer Configuration ثم Administrative Templates ثم Windows Components ثم Secure Boot (راجع طريقة GPO من Microsoft). ولدى Intune سياسة مكافئة.

بدء النشر لا يفرض إعادة التشغيل. وفق صفحة مفاتيح السجل، ينتظر استبدال Boot Manager إعادة التشغيل العادية التالية، وهي لمعظم الخوادم نافذة التحديثات القادمة.

App Control ووسائط التثبيت القديمة

إن كنت تستخدم App Control for Business، يطلب منك KB5132953 البحث في ملفات XML للسياسات عن قواعد signer التي تشير إلى جهات إصدار Microsoft، بما فيها القواعد الموروثة من السياسات الأساسية النموذجية، ونشر التغييرات في وضع audit قبل فرضها. ويذكر مقال أقدم من Microsoft حول التعامل مع جهات الإصدار الجديدة أن App Control يستنتج الثقة بالجهات البديلة إذا كانت السياسة تثق أصلًا بالجهات الحالية. مع ذلك نبدأ دائمًا بوضع audit، فالمفاجآت تأتي عادة من السياسات المخصصة ووكلاء الجهات الخارجية.

أما الوسائط، فتوفر Microsoft السكربت Make2023BootableMedia.ps1 لتحويل ملفات ISO ووحدات USB الحالية إلى Boot Manager الخاص بـ 2023 (KB5053484). احتفظ بوحدة USB قديمة واحدة عليها ملصق واضح للأجهزة التي ما زالت تنتظر تحديث البرامج الثابتة.

التراجع: ما يمكن إلغاؤه وما لا يمكن

قل هذا لفريقك قبل البدء: توثّق Microsoft طريقة إيقاف النشر، لا طريقة إزالة الشهادات من البرامج الثابتة بعد إضافتها.

• قبل تشغيل المهمة: وفق صفحة مفاتيح السجل، القيمة 0 في AvailableUpdates تعني عدم إجراء أي تحديث لمفاتيح Secure Boot. إن جاءت القيمة من Group Policy فإن حذف GPO لا يزيلها، لذا أعدها بنفسك.
• النشر التلقائي: ضبط HighConfidenceOptOut على 1 يُخرج الجهاز من مجموعات "الثقة العالية" التي تطبّقها Microsoft عبر التحديث التراكمي الشهري. استخدمه على العتاد الذي تعرف أنه هش، ثم عُد إليه بعد تحديث البرامج الثابتة.
• إعادة البرامج الثابتة إلى الإعدادات الافتراضية: يحذّر KB5025885 من أن الجهاز الذي تُعاد إعدادات Secure Boot فيه إلى الوضع الافتراضي بعد تطبيق هذه التغييرات لن يُقلع، ويشرح طريقة إنشاء وحدة USB للاسترداد باستخدام securebootrecovery.efi تعيد شهادة 2023 إلى DB. أخبر كل من يملك صلاحية الدخول إلى BIOS ألا يعيد مفاتيح المصنع على خادم محدّث دون الرجوع إليك.

من السهل تجاهل انتهاء صلاحية الشهادات حتى يأتي اليوم الذي لا يعود فيه ذلك ممكنًا. نحتفظ بتقويم واحد لكل تواريخ الشهادات والدعم على الخوادم التي نديرها، من شهادات TLS العامة (راجع كيف نجدد شهادة wildcard واحدة على عدة خوادم) إلى مفاتيح البرامج الثابتة مثل هذه.

الأسئلة الشائعة

إذا كنت تفضّل تسليم فحوص البرامج الثابتة ونوافذ التحديث والمراقبة لجهة أخرى، فإن Fanpino تتولى هذا العمل للفرق الصغيرة والمتوسطة. اطّلع على خدمات البنية التحتية السحابية وDevOps لدينا.

المصادر: KB5132953: انتهاء Windows Production CA 2011 وتحديثات محمّل الإقلاع (دعم Microsoft، 22 أكتوبر 2026)، وانتهاء شهادات Secure Boot في Windows وتحديثات جهات الإصدار، وتحديثات مفاتيح السجل لـ Secure Boot، وKB5016061: أحداث تحديث متغيرات DB وDBX في Secure Boot، وKB5025885.

أعمار الشهادات تتقلص: أعمار شهادات TLS في 2027 وما يجب تدقيقه.