Les points cl\u00e9s en bref<\/p>\n
- \n
- Microsoft a annonc\u00e9 le remplacement des certificats Secure Boot utilis\u00e9s depuis 2011 pour juin 2026. La validit\u00e9 de la Microsoft Corporation KEK CA 2011, de la Microsoft Windows Production PCA 2011 et de la Microsoft Corporation UEFI CA 2011 expirera progressivement entre juin et octobre 2026.<\/li>\n
- Les appareils sans certificats 2023 mis \u00e0 jour ne pourront plus installer de nouvelles mises \u00e0 jour Secure Boot apr\u00e8s l’expiration et ne feront plus confiance aux logiciels tiers sign\u00e9s apr\u00e8s la date limite.<\/li>\n
- Les PC Windows livr\u00e9s depuis d\u00e9but 2024 contiennent d\u00e9j\u00e0 les certificats 2023 d’origine. Tous les appareils du stock ant\u00e9rieur doivent \u00eatre mis \u00e0 jour activement.<\/li>\n
- La v\u00e9rification du statut s’effectue via une entr\u00e9e de registre : UEFICA2023Status doit avoir la valeur \u00ab\u00a0updated\u00a0\u00bb. Microsoft fournit des commandes PowerShell pour l’inventaire (aka.ms\/GetSecureBoot).<\/li>\n
- Les mat\u00e9riels plus anciens sans prise en charge du firmware OEM ne recevront peut-\u00eatre jamais la mise \u00e0 jour. Pour ces appareils, il ne reste que l’\u00e9valuation des risques ou le remplacement.<\/li>\n<\/ul>\n<\/div>\n
Ce qui expire concr\u00e8tement en juin 2026<\/h2>\n
Secure Boot est un m\u00e9canisme UEFI qui v\u00e9rifie au d\u00e9marrage d’un ordinateur si le firmware charg\u00e9, le chargeur de d\u00e9marrage et le syst\u00e8me d’exploitation proviennent d’une source de confiance. La cha\u00eene de confiance repose sur des signatures cryptographiques \u00e9mises par des autorit\u00e9s de certification. Microsoft a \u00e9tabli en 2011 trois autorit\u00e9s de certification centrales : la Microsoft Corporation KEK CA 2011 pour la base de donn\u00e9es des cl\u00e9s d’\u00e9change, la Microsoft Windows Production PCA 2011 pour les composants Windows sign\u00e9s et la Microsoft Corporation UEFI CA 2011 pour les logiciels tiers.<\/p>\n
Ces trois certificats perdront leur validit\u00e9 \u00e0 partir de juin 2026. Le remplacement n’est pas une panne soudaine, mais un processus \u00e9chelonn\u00e9 qui s’\u00e9tendra jusqu’en octobre 2026. Microsoft a d\u00e9j\u00e0 mis en place les successeurs en 2023 et les distribue progressivement via des mises \u00e0 jour Windows sur les appareils existants. Les PC livr\u00e9s depuis d\u00e9but 2024 contiennent les autorit\u00e9s de certification 2023 directement \u00e0 l’usine – un avantage strat\u00e9gique pour les entreprises avec un parc de mat\u00e9riel r\u00e9cent, mais un risque pour tous les autres.<\/p>\n
Le contexte est motiv\u00e9 par des raisons techniques et r\u00e9glementaires. Les certificats de 2011 datent d’une \u00e9poque o\u00f9 SHA-1 \u00e9tait encore r\u00e9pandu et o\u00f9 l’architecture Secure Boot concernait nettement moins de fabricants qu’aujourd’hui. Avec le passage aux autorit\u00e9s de certification 2023, Microsoft adapte les proc\u00e9dures de cryptage aux normes actuelles et r\u00e9duit simultan\u00e9ment la dur\u00e9e de vie des certificats \u00e0 une valeur plus g\u00e9rable pour les syst\u00e8mes productifs.<\/p>\n
\nD\u00e9finition<\/p>\n
UEFI CA 2011 vs UEFI CA 2023<\/strong> d\u00e9signe deux g\u00e9n\u00e9rations de certificats Secure Boot. Les autorit\u00e9s de certification 2011 ont assur\u00e9 la cha\u00eene de confiance pour les firmware Windows et tiers pendant une d\u00e9cennie. Les autorit\u00e9s de certification 2023 les remplacent \u00e0 partir de juin 2026 avec des algorithmes de signature mis \u00e0 jour et une structure de dur\u00e9e de vie plus claire. Les deux autorit\u00e9s de certification peuvent \u00eatre actives en parall\u00e8le – mais seuls les appareils avec le jeu 2023 install\u00e9 pourront faire confiance aux nouvelles mises \u00e0 jour apr\u00e8s l’expiration des certificats 2011.<\/p>\n<\/div>\n
Quels appareils sont concern\u00e9s<\/h2>\n
La r\u00e8gle simple est la suivante : tout ce qui a \u00e9t\u00e9 produit avant 2024 n\u00e9cessite une mise \u00e0 jour active. Dans la pratique, cela concerne la majorit\u00e9 de tous les appareils d’une entreprise typique, car la dur\u00e9e de vie moyenne d’un ordinateur portable se situe entre quatre et six ans et les ordinateurs de bureau restent souvent en service encore plus longtemps. Les serveurs sont \u00e9galement concern\u00e9s, bien que les h\u00f4tes de virtualisation et les machines virtuelles soient trait\u00e9s diff\u00e9remment.<\/p>\n
Les appareils Windows physiques sont fournis avec les certificats de 2023 via les canaux de mise \u00e0 jour Windows habituels. Cependant, la livraison n’est pas automatique au sens o\u00f9 \u00ab\u00a0chaque ordinateur l’obtient de mani\u00e8re garantie\u00a0\u00bb. Microsoft contr\u00f4le la distribution de mani\u00e8re \u00e9chelonn\u00e9e. Certaines classes d’appareils attendent encore les approbations des OEM. Dell, HP, Lenovo et Fujitsu ont des calendriers diff\u00e9rents pour les mises \u00e0 jour de firmware qui ancrent les modifications de l’autorit\u00e9 de certification dans le mat\u00e9riel. Les \u00e9quipes informatiques doivent v\u00e9rifier l’\u00e9tat par mod\u00e8le d’appareil et ne pas supposer que la mise \u00e0 jour Windows r\u00e9soudra seule le probl\u00e8me.<\/p>\n
Les machines virtuelles constituent un cas particulier. Hyper-V, VMware et KVM prennent en charge le d\u00e9marrage s\u00e9curis\u00e9, mais les mises \u00e0 jour de certificats s’effectuent ici via le firmware virtualis\u00e9, et non via le syst\u00e8me d’exploitation invit\u00e9. Pour les environnements vSphere, VMware a publi\u00e9 des instructions pour la migration, Microsoft fournit des mises \u00e0 jour Hyper-V via les correctifs de l’h\u00f4te. Pour les environnements KVM sur base Linux, le processus est plus complexe et n\u00e9cessite souvent une intervention manuelle sur chaque h\u00f4te de machine virtuelle.<\/p>\n
Les appareils plus anciens qui ont atteint la fin de leur service du point de vue de l’OEM sont particuli\u00e8rement d\u00e9licats. Pour ce mat\u00e9riel, il se peut qu’il n’y ait plus de firmware appropri\u00e9 qui ancre les autorit\u00e9s de certification de 2023. Microsoft et les fabricants ne prendront probablement pas en charge tous les anciens appareils. La r\u00e9daction de XDA-Developers a soulign\u00e9 dans une analyse fin mars 2026 qu’une partie des PC Windows pr\u00e9-2020 ne devraient jamais obtenir le correctif. Pour les \u00e9quipes informatiques, cela signifie que ces appareils doivent \u00eatre inventori\u00e9s, prioris\u00e9s et soit remplac\u00e9s rapidement, soit exploit\u00e9s dans des segments de r\u00e9seau isol\u00e9s avec des droits r\u00e9duits.<\/p>\n
L’inventaire : PowerShell et Registre<\/h2>\n
La bonne nouvelle pour les \u00e9quipes informatiques : l’\u00e9tat d’un appareil peut \u00eatre v\u00e9rifi\u00e9 avec un minimum d’effort. Microsoft propose deux m\u00e9thodes. La premi\u00e8re consiste en une entr\u00e9e de registre dans le chemin HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot\\UEFICA2023Status. La valeur de cette entr\u00e9e devrait finalement \u00eatre \u00ab\u00a0updated\u00a0\u00bb. D’autres valeurs comme \u00ab\u00a0NotStarted\u00a0\u00bb ou \u00ab\u00a0InProgress\u00a0\u00bb indiquent que la distribution n’est pas encore termin\u00e9e.<\/p>\n
La seconde m\u00e9thode est une requ\u00eate PowerShell que Microsoft a publi\u00e9e dans son blog de la communaut\u00e9 technique. Elle liste les entr\u00e9es de la base de donn\u00e9es de d\u00e9marrage s\u00e9curis\u00e9 actuellement install\u00e9es et permet une comparaison automatique avec l’\u00e9tat souhait\u00e9. Pour un inventaire \u00e0 l’\u00e9chelle de la flotte, il est recommand\u00e9 de combiner cela avec Microsoft Intune, Configuration Manager ou un outil de gestion des points de terminaison comparable qui peut interroger la valeur de registre \u00e0 l’\u00e9chelle du syst\u00e8me. Une v\u00e9rification manuelle sur des centaines d’appareils n’est pas r\u00e9alisable.<\/p>\n
Il est important de faire la distinction entre \u00ab\u00a0certificat install\u00e9\u00a0\u00bb et \u00ab\u00a0certificat actif\u00a0\u00bb. Un appareil peut avoir le certificat de 2023 dans la base de donn\u00e9es UEFI sans qu’il soit utilis\u00e9 de mani\u00e8re productive. Ce n’est que lorsque l’\u00e9tat est \u00ab\u00a0updated\u00a0\u00bb et que le firmware utilise les autorit\u00e9s de certification de 2023 pour la v\u00e9rification du chargeur de d\u00e9marrage que l’appareil est pr\u00eat. La transition compl\u00e8te n\u00e9cessite plusieurs red\u00e9marrages et, dans certains cas, des param\u00e8tres UEFI manuels. Les \u00e9quipes informatiques doivent donc tester le processus sur une poign\u00e9e d’appareils pilotes par mod\u00e8le avant de lancer le d\u00e9ploiement \u00e0 l’\u00e9chelle de la flotte.<\/p>\n
Le processus de mise \u00e0 jour en quatre \u00e9tapes<\/h2>\n
Microsoft recommande une approche structur\u00e9e que les \u00e9quipes informatiques peuvent mettre en \u0153uvre sur les six \u00e0 huit prochaines semaines. Le processus se divise en quatre \u00e9tapes qui s’appuient logiquement les unes sur les autres et ne peuvent pas \u00eatre parall\u00e9lis\u00e9es :<\/p>\n
\n\n1<\/div>\n\nInventaire et regroupement<\/p>\n
Enregistrer l’\u00e9tat de tous les appareils Windows via une v\u00e9rification du registre ou une requ\u00eate PowerShell. Regroupement par mod\u00e8le de fabricant, \u00e2ge et version du firmware. Le r\u00e9sultat est une liste d’appareils dans les cat\u00e9gories \u00ab\u00a0d\u00e9j\u00e0 mis \u00e0 jour\u00a0\u00bb, \u00ab\u00a0mise \u00e0 jour disponible\u00a0\u00bb et \u00ab\u00a0aucun support OEM\u00a0\u00bb.<\/p>\n<\/div>\n<\/div>\n
\n2<\/div>\n\nD\u00e9ploiement pilote sur un groupe de test<\/p>\n
S\u00e9lectionner au moins cinq \u00e0 dix appareils par classe d’appareil comme pilotes. Appliquer la mise \u00e0 jour, red\u00e9marrer, v\u00e9rifier l’\u00e9tat du registre. Documenter les cas limites – en particulier les appareils avec une configuration de double d\u00e9marrage ou des param\u00e8tres de firmware personnalis\u00e9s.<\/p>\n<\/div>\n<\/div>\n
\n3<\/div>\n\nD\u00e9ploiement progressif de la flotte<\/p>\n
D\u00e9ployer par d\u00e9partement ou par site. Coordonner les fen\u00eatres de red\u00e9marrage avec les op\u00e9rations. Surveillance continue via Configuration Manager ou Intune, documenter et faire remonter les exceptions.<\/p>\n<\/div>\n<\/div>\n
\n4<\/div>\n\nV\u00e9rification et post-traitement<\/p>\n
Apr\u00e8s le d\u00e9ploiement, v\u00e9rifier l’\u00e9tat \u00ab\u00a0mis \u00e0 jour\u00a0\u00bb de chaque appareil. Identifier les appareils sans mise \u00e0 jour r\u00e9ussie, analyser la cause premi\u00e8re (firmware manquant, Secure Boot d\u00e9sactiv\u00e9, verrouillage UEFI). Pour les anciens appareils sans option de correction, effectuer une \u00e9valuation des risques et planifier des alternatives.<\/p>\n<\/div>\n<\/div>\n<\/div>\n
\nJuin 2026<\/div>\nD\u00e9but de la r\u00e9vocation des certificats – compl\u00e8tement expir\u00e9s d’ici octobre 2026<\/div>\nSource : Microsoft Tech Community Blog, Windows IT Pro, 2026<\/div>\n<\/div>\nQue se passe-t-il si la mise \u00e0 jour n’est pas effectu\u00e9e \u00e0 temps<\/h2>\n
Les cons\u00e9quences d’une mise \u00e0 jour manqu\u00e9e ne sont pas dramatiques au sens d’une panne compl\u00e8te du syst\u00e8me, mais elles sont techniquement d\u00e9sagr\u00e9ables et organisationnellement contraignantes. Les appareils Windows sans CA 2023 restent fonctionnels. Ils continuent \u00e0 d\u00e9marrer, sont utilisables et traitent les applications. Cependant, deux choses changent substantiellement.<\/p>\n
Premi\u00e8rement : les nouvelles r\u00e9visions de Secure Boot publi\u00e9es par Microsoft apr\u00e8s la date limite ne seront plus install\u00e9es de mani\u00e8re fiable. Cela concerne principalement les mises \u00e0 jour contre les nouvelles classes de logiciels malveillants au niveau de l’amor\u00e7age comme BlackLotus ou les attaques bas\u00e9es sur CoSign. Les appareils sans mise \u00e0 jour perdent donc progressivement la protection contre les attaques ciblant la cha\u00eene Secure Boot. Ce n’est pas une menace aigu\u00eb, mais un risque qui augmente lentement.<\/p>\n
Deuxi\u00e8mement : les logiciels tiers sign\u00e9s avec les nouvelles CA 2023 apr\u00e8s la date limite ne seront plus reconnus comme fiables par les anciens appareils. Cela concerne par exemple les chargeurs de d\u00e9marrage Linux comme Shim et GRUB, qui sont souvent sign\u00e9s \u00e0 nouveau. S’y ajoutent des outils de s\u00e9curit\u00e9 sp\u00e9cialis\u00e9s avec leurs propres composants de noyau. Les \u00e9quipes informatiques avec des environnements mixtes ou des applications sp\u00e9cialis\u00e9es verront tr\u00e8s rapidement des probl\u00e8mes.<\/p>\n
Pour les perspectives de conformit\u00e9, cela est pertinent car NIS2 et ISO 27001 exigent des correctifs de s\u00e9curit\u00e9 actuels et une gestion des vuln\u00e9rabilit\u00e9s. Un auditeur ne manquera pas de poser la question sur l’\u00e9tat du certificat Secure Boot lorsqu’il examine l’architecture de s\u00e9curit\u00e9 des points de terminaison. Celui qui ne peut pas pr\u00e9senter un \u00e9tat document\u00e9 ici se heurte non seulement \u00e0 des probl\u00e8mes techniques, mais aussi \u00e0 des probl\u00e8mes r\u00e9glementaires.<\/p>\n
Cas particulier des environnements Linux Dual-Boot et RHEL<\/h2>\n
Les entreprises avec des environnements Linux ou des appareils Dual-Boot doivent envisager une \u00e9tape suppl\u00e9mentaire. Red Hat a d\u00e9j\u00e0 publi\u00e9 d\u00e9but 2026 une guidance officielle pour les environnements RHEL, qui d\u00e9crit la transition vers les CA 2023. Le point cl\u00e9 : le chargeur de d\u00e9marrage Shim de Red Hat est sign\u00e9 par Microsoft avec la CA UEFI 2011. D\u00e8s que cette CA expire, les syst\u00e8mes RHEL et Fedora sur des appareils non mis \u00e0 jour ne pourront plus d\u00e9marrer de mani\u00e8re s\u00e9curis\u00e9e. Red Hat fournit de nouvelles versions de Shim sign\u00e9es avec la CA UEFI 2023, mais celles-ci n\u00e9cessitent la CA correspondante sur l’appareil cible.<\/p>\n
Pour les appareils Dual-Boot avec Windows et Linux, il en r\u00e9sulte une s\u00e9quence claire. Tout d’abord, Windows doit installer les CA 2023 via la proc\u00e9dure de mise \u00e0 jour, puis le firmware UEFI doit ancrer les nouvelles CA dans la cha\u00eene de confiance, et ce n’est qu’alors que le Shim RHEL ou Fedora avec la signature 2023 pourra d\u00e9marrer avec succ\u00e8s. L’ordre inverse ne fonctionne pas – une mise \u00e0 jour \u00e9chou\u00e9e peut entra\u00eener une partition Linux non amor\u00e7able. Les \u00e9quipes concern\u00e9es devraient retenir les mises \u00e0 jour RHEL jusqu’\u00e0 la fin de la transition Windows.<\/p>\n
Liste de contr\u00f4le en six points pour les \u00e9quipes informatiques<\/h2>\n
Pour les semaines restantes jusqu’en juin 2026, six \u00e9tapes concr\u00e8tes peuvent \u00eatre prioris\u00e9es :<\/p>\n
- \n
- Lancer l’inventaire.<\/strong> Interroger tous les appareils Windows via une gestion centralis\u00e9e des points de terminaison sur l’\u00e9tat de l’UEFI CA 2023. Documenter le r\u00e9sultat sous forme de liste Excel ou de tableau de bord, structur\u00e9 par classe d’appareils et emplacement.<\/li>\n
- V\u00e9rifier les mises \u00e0 jour du firmware.<\/strong> Demander aux fabricants par classe d’appareils si les versions actuelles du BIOS prennent en charge les CA 2023. Dell, HP, Lenovo et Fujitsu ont publi\u00e9 des articles de support avec des versions de firmware compatibles.<\/li>\n
- Mettre en place un pilote.<\/strong> Mettre \u00e0 jour cinq \u00e0 dix appareils par mod\u00e8le dans un groupe pilote, v\u00e9rifier l’\u00e9tat, documenter les probl\u00e8mes. R\u00e9server un cr\u00e9neau jusqu’\u00e0 fin avril.<\/li>\n
- Cr\u00e9er un plan de d\u00e9ploiement.<\/strong> Diviser le d\u00e9ploiement de la flotte en deux \u00e0 trois vagues, coordonner avec les op\u00e9rations et les d\u00e9partements m\u00e9tier. D\u00e9finir des objectifs hebdomadaires au lieu d’objectifs quotidiens, planifier des r\u00e9serves pour les probl\u00e8mes inattendus.<\/li>\n
- Coordonner les environnements Linux et de virtualisation.<\/strong> Clarifier avec les administrateurs Linux et les \u00e9quipes de virtualisation si les syst\u00e8mes d\u00e9pendants sont affect\u00e9s. D\u00e9finir l’ordre des mises \u00e0 jour, cr\u00e9er des instantan\u00e9s r\u00e9trocompatibles.<\/li>\n
- Liste des risques pour les anciens appareils.<\/strong> Documenter s\u00e9par\u00e9ment tous les appareils sans correctif disponible. Les options sont le remplacement, l’isolation du r\u00e9seau ou la r\u00e9duction de la surface d’attaque via des listes blanches de logiciels restrictives. Faire valider la d\u00e9cision au niveau CISO.<\/li>\n<\/ol>\n
Conclusion<\/h2>\n
La transition Secure Boot n’est pas un sujet de r\u00e9glementation avec une \u00e9ch\u00e9ance vague, mais une d\u00e9sactivation technique ferme avec une date fixe. Les entreprises qui terminent la mise \u00e0 jour avant juin 2026 ne devraient pas s’attendre \u00e0 une rupture brutale. Ceux qui manquent la deadline se retrouveront avec des appareils qui ne feront plus confiance aux nouvelles mises \u00e0 jour Secure Boot et aux logiciels nouvellement sign\u00e9s – et ce, \u00e0 une p\u00e9riode o\u00f9 les attaques au niveau du d\u00e9marrage, telles que celles men\u00e9es par des groupes comme BlackLotus, ont augment\u00e9.<\/p>\n
Le travail est r\u00e9alisable, mais il n\u00e9cessite une priorit\u00e9. L’inventaire est la premi\u00e8re \u00e9tape la plus importante, car il fournit la base pour chaque d\u00e9cision ult\u00e9rieure. Ensuite, suit un d\u00e9ploiement structur\u00e9 qui s\u00e9pare proprement les phases de pilote, de tests et de production. Pour les \u00e9quipes informatiques, cela signifie concr\u00e8tement : commencer l’inventaire cette semaine, d\u00e9ployer les appareils pilotes la semaine prochaine, mettre \u00e0 jour tous les appareils standard d’ici fin avril, et traiter les cas probl\u00e9matiques en mai. Ceux qui suivent ce calendrier auront un juin calme.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nPouvons-nous d\u00e9ployer la mise \u00e0 jour de mani\u00e8re centralis\u00e9e via Intune ou Configuration Manager ?<\/strong><\/summary>\n
Oui, les deux outils prennent en charge le d\u00e9ploiement. Microsoft fournit des anneaux de d\u00e9ploiement sp\u00e9cifiques qui sont distribu\u00e9s via Windows Update for Business ou WSUS. Intune propose \u00e9galement des politiques de conformit\u00e9 qui surveillent l’\u00e9tat UEFICA2023 et d\u00e9clenchent des alarmes en cas d’\u00e9cart. Pour Configuration Manager, Microsoft recommande une combinaison de s\u00e9quence de t\u00e2ches d’inventaire et de d\u00e9ploiements automatis\u00e9s par groupe d’appareils. Des interventions manuelles ne sont n\u00e9cessaires que pour les appareils avec des param\u00e8tres UEFI personnalis\u00e9s ou un firmware verrouill\u00e9.<\/p>\n<\/details>\n
\nQu’arrive-t-il aux appareils qui ont d\u00e9j\u00e0 d\u00e9sactiv\u00e9 Secure Boot ?<\/strong><\/summary>\n
Pour les appareils sur lesquels Secure Boot a \u00e9t\u00e9 d\u00e9sactiv\u00e9 pour des raisons de compatibilit\u00e9, rien ne change \u00e0 court terme. Les certificats expir\u00e9s ne concernent que la fonctionnalit\u00e9 Secure Boot active. Cependant, les \u00e9quipes informatiques ne devraient pas consid\u00e9rer ces appareils comme trait\u00e9s. La d\u00e9sactivation de Secure Boot est un risque de s\u00e9curit\u00e9 qui ne sera plus acceptable en 2026. La transition des certificats est donc une bonne occasion pour auditer les d\u00e9sactivations de Secure Boot et les r\u00e9tablir si possible.<\/p>\n<\/details>\n
\nComment savoir si mon fabricant de mat\u00e9riel fournit encore la mise \u00e0 jour ?<\/strong><\/summary>\n
La source la plus simple est la page de support du fabricant concern\u00e9. Dell, HP, Lenovo et Fujitsu ont publi\u00e9 des listes de leurs appareils pris en charge. Pour les appareils qui n’apparaissent pas sur ces listes, il convient d’adresser une demande directement au support du fabricant. Si cette demande ne re\u00e7oit pas de r\u00e9ponse positive, l’appareil est consid\u00e9r\u00e9 comme en fin de service par le fabricant et ne recevra plus la correction. Microsoft lui-m\u00eame exploite une page d’atterrissage sous aka.ms\/GetSecureBoot avec une collection d’outils et de liens vers les fabricants.<\/p>\n<\/details>\n
\nQu’est-ce que cela signifie pour notre environnement de virtualisation ?<\/strong><\/summary>\n
Les machines virtuelles Hyper-V sur Windows Server re\u00e7oivent la mise \u00e0 jour via les correctifs de l’h\u00f4te. VMware vSphere n\u00e9cessite les mises \u00e0 jour du firmware ESXi fournies par VMware lui-m\u00eame. Les environnements bas\u00e9s sur KVM sur des h\u00f4tes Linux sont plus complexes, car le firmware OVMF doit \u00eatre mis \u00e0 jour s\u00e9par\u00e9ment. Pour les plateformes de virtualisation productives, il est recommand\u00e9 de proc\u00e9der \u00e0 une vague de d\u00e9ploiement avant la date limite, s\u00e9par\u00e9ment de la mise \u00e0 jour des clients. Ceux qui utilisent des machines virtuelles de test comme pilotes peuvent identifier les cas limites t\u00f4t.<\/p>\n<\/details>\n
\nExiste-t-il un moyen de forcer la mise \u00e0 jour si Windows Update ne la propose pas ?<\/strong><\/summary>\n
Microsoft distribue les autorit\u00e9s de certification 2023 de mani\u00e8re \u00e9chelonn\u00e9e pour ne pas surcharger les syst\u00e8mes de production. Un remplacement manuel est possible via l’entr\u00e9e de registre MicrosoftUpdateManagedOptIn, qui acc\u00e9l\u00e8re le d\u00e9ploiement pour l’appareil sp\u00e9cifique. La valeur doit \u00eatre d\u00e9finie sur 0x5944 pour les appareils pilotes individuels. Cette m\u00e9thode est surtout utile pour les appareils de test d\u00e9di\u00e9s et les audits de conformit\u00e9, et non pour un d\u00e9ploiement \u00e0 grande \u00e9chelle.<\/p>\n<\/details>\n
\nY aura-t-il une prolongation de la deadline ?<\/strong><\/summary>\n
Microsoft n’a pas annonc\u00e9 de prolongation jusqu’\u00e0 pr\u00e9sent et signale au contraire, avec la publication du playbook, que la deadline est prise au s\u00e9rieux. La planification doit donc \u00eatre r\u00e9solument ax\u00e9e sur la date butoir de juin. M\u00eame si Microsoft devait introduire une mesure de cl\u00e9mence au dernier moment, l’avantage d’un d\u00e9ploiement effectu\u00e9 \u00e0 temps est suffisamment important pour ne pas compter sur des d\u00e9lais de gr\u00e2ce. Les \u00e9quipes informatiques devraient traiter la deadline comme fixe.<\/p>\n<\/details>\n
\nLes conseils de lecture de la r\u00e9daction<\/h2>\n
- \n
- Cyber Resilience Act : l’obligation de d\u00e9claration sous 24 heures d\u00e8s septembre 2026<\/a><\/li>\n
- Gestion des acc\u00e8s privil\u00e9gi\u00e9s : les comptes administrateurs restent la principale porte d’entr\u00e9e<\/a><\/li>\n
- Cisco FMC Zero-Day CVE-2026-20131 : Interlock Ransomware CVSS 10<\/a><\/li>\n<\/ul>\n<\/div>\n
\n<\/p>\nLes choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/cra-security-pexels-5380595-250x131.jpg\")
<\/span>\u00c0 lire<\/span>R\u00e8glement de r\u00e9silience cybern\u00e9tique \u00e0 compter du 11 septembre 2026 : l\u2019obligation de d\u00e9claration dans les 24 heures, sur laquelle les \u00e9quipes de s\u00e9curit\u00e9 informatique doivent d\u00e9sormais mettre en place des processus<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/pexels-279810-privileged-access-management-250x167.jpg\")
<\/span>\u00c0 lire<\/span>Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la principale porte d\u2019entr\u00e9e pour les attaquants<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/pexels-30965500-cisco-fmc-zero-day-250x167.jpg\")
<\/span>\u00c0 lire<\/span>Zero-day Cisco FMC : Interlock-Ransomware exploite la faille CVSS-10.0 depuis janvier<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-stadtwerke-bernau-smart-meter-rollout-bn-43171085-250x131.jpg\")
<\/span>MyBusinessFuture<\/span>Bernau d\u00e9passe 20 % sur les compteurs intelligents<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-valkey-9-redis-fork-18-monate-cloud-cach-69791755.jpg\")
<\/span>cloudmagazin<\/span>Valkey 9 : le fork Redis red\u00e9finit le cache cloud apr\u00e8s 18 mois<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-vendor-consolidation-2026-cio-roadmap-18-70161940-250x131.jpg\")
<\/span>Digital Chiefs<\/span>Consolidation des fournisseurs 2026 : pourquoi 68 % des organisations informatiques souhaitent se consolider \u2013 et pourquoi la feuille de route prend 18 mois de plus que pr\u00e9vu<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\u00c0 partir de juin 2026, les certificats Microsoft Secure Boot de 2011 n’auront plus de validit\u00e9. Les \u00e9quipes IT ont deux mois pour l’inventaire et le d\u00e9ploiement.","protected":false},"author":55,"featured_media":22610,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Secure Boot 2026","_yoast_wpseo_title":"Les certificats Secure Boot expirent en juin 2026 : ce que les \u00e9quipes IT doiven","_yoast_wpseo_metadesc":"Certificats Secure Boot : Microsoft remplace les autorit\u00e9s de 2011 \u00e0 partir de juin 2026. Ce que les \u00e9quipes IT doivent pr\u00e9parer pour les parcs Windows, UEFI et Linux en double amor\u00e7age.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/secure-boot-zertifikate-juni-2026-windows-uefi-ca-2023-rollout-cover-hero-1.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/secure-boot-zertifikate-juni-2026-windows-uefi-ca-2023-rollout-cover-hero-1.jpg","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-12142","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":18,"wpml_language":"fr","wpml_translation_of":12032,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/12142","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=12142"}],"version-history":[{"count":9,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/12142\/revisions"}],"predecessor-version":[{"id":21606,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/12142\/revisions\/21606"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22610"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=12142"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=12142"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=12142"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Gestion des acc\u00e8s privil\u00e9gi\u00e9s : les comptes administrateurs restent la principale porte d’entr\u00e9e<\/a><\/li>\n
- V\u00e9rifier les mises \u00e0 jour du firmware.<\/strong> Demander aux fabricants par classe d’appareils si les versions actuelles du BIOS prennent en charge les CA 2023. Dell, HP, Lenovo et Fujitsu ont publi\u00e9 des articles de support avec des versions de firmware compatibles.<\/li>\n
- Lancer l’inventaire.<\/strong> Interroger tous les appareils Windows via une gestion centralis\u00e9e des points de terminaison sur l’\u00e9tat de l’UEFI CA 2023. Documenter le r\u00e9sultat sous forme de liste Excel ou de tableau de bord, structur\u00e9 par classe d’appareils et emplacement.<\/li>\n