微软在 2011 年为 Windows 设备签发的初代安全启动（Secure Boot）证书已于上周陆续到期。目前各大 PC 整机厂商正在分批推送新版 BIOS 固件更新，以此保障 Windows 设备能够抵御启动层级的底层恶意攻击。为方便用户平稳完成证书过渡，华硕、戴尔、惠普、联想等主流电脑品牌均已发布官方操作指南，详细说明 BIOS 与固件升级方式。

Windows 安全启动证书过期

什么是安全启动？

安全启动（Secure Boot）是 UEFI BIOS 固件内置的底层安全防护机制，微软联合各大主板、电脑厂商推出，从电脑开机那一刻就建立安全校验，专门拦截底层病毒、木马、黑客恶意程序。

传统老旧 Legacy BIOS 没有这个功能，Windows 10/Windows 11 安装硬性要求开启安全启动。

它的工作逻辑

电脑开机有一套固定加载顺序，安全启动会给每一层程序做数字证书签名校验，只要文件签名不对、被篡改就直接阻止启动：

第一步：固件自检
主板 UEFI 先校验自身固件是否被篡改；

第二步：校验系统引导程序
只允许搭载微软合法签名证书的 Windows 引导文件启动；

第三步：校验内核、驱动
进入系统前检查系统内核、底层驱动是否带有官方可信证书；

拦截黑名单程序
一旦检测到无签名、恶意篡改的引导工具、底层病毒，直接拒绝启动或弹窗警告。

简单理解：普通杀毒软件是进系统后杀毒；安全启动是电脑开机前就把关，从源头挡住底层恶意软件。

主流电脑品牌 Windows 安全启动证书过期解决方案

华硕（ASUS）
华硕官方证实，旗下全部消费级台式机、笔记本均可通过 Windows 更新自动部署新版安全启动证书。用户也能借助 PowerShell 手动查询设备是否已完成证书安装；若系统未自动下发更新，可按照官方教程运行名为 Secure-Boot-Update 的计划任务，手动完成最新安全证书部署。

联想（Lenovo）
联想为全系列兼容机型提供了 BIOS 固件直链下载通道，覆盖 ThinkPad 商务本、ThinkCentre 台式机、IdeaPad 家用本、拯救者 Legion 游戏本、Yoga 翻转本等产品线。同时官方明确标注，部分已停止技术支持的老旧设备将不会推送包含全新安全启动证书的 BIOS 升级包。

戴尔（Dell）
戴尔划定更新门槛：2026 年 1 月 1 日前停止服务生命周期的设备，无法获取新版 Secure Boot 证书。仅新一代外星人 Alienware、灵越 Inspiron、XPS 高端创作本、Latitude 商务本、OptiPlex 商用台式机、Precision 移动工作站、Vostro 成就系列、Wyse 瘦客户机等机型会收到专属固件更新。

惠普（HP）
惠普消费类电脑可直接通过 Windows 更新自动安装新版证书；但企业商用设备存在版本限制，BIOS 版本字符串的 SMBIOS Type 1 字段必须包含 SBKPFV3 字段，才能正常接收升级推送。和戴尔策略相近，惠普仅面向近年新款设备开放更新，2018 年及更早出厂的电脑无法刷入带新证书的 BIOS 固件。

微星（MSI）
微星设备分两代更新方案：搭载英特尔 7 代至 11 代酷睿、AMD 锐龙 3000H~5000U 处理器的机型，依靠 Windows 更新自动完成证书升级；配备英特尔 12 代酷睿、AMD 锐龙 5000H 及更新平台的新款主机、笔记本，则需要手动刷新 BIOS。微星官网已上架全部兼容设备的新版 BIOS 安装包，提供直接下载渠道。

宏碁（Acer）
宏碁通过 Windows 更新分批推送新版 BIOS，适配机型涵盖 Aspire 家用系列、Nitro 暗影骑士、Predator 掠夺者、Swift 蜂鸟轻薄本、Extensa 商用本、TravelMate 旅行商务本、Spin 翻转触控本。大量设备已于 6 月 12 日至 6 月 26 日完成推送，剩余兼容机型将在近期陆续下发更新包。

微软 Surface 全系
微软针对 Surface 设备发布的安全启动证书专项指南说明：所有仍在官方支持周期内的 Surface Pro 平板、Surface Laptop 笔记本、Surface Book 二合一设备、Surface Studio 一体机，均可通过 Windows 更新获取 2023 版全新 Secure Boot 证书。超出支持周期的旧款设备，依据微软标准软件维护政策，不再提供相关固件更新。

证书过期影响说明

微软此前已作出官方说明：安全启动证书过期不会导致电脑功能失效。尚未升级新证书的设备能够正常开机运行，也可持续接收系统安全补丁。

但存在明显安全短板：未更新证书的设备将失去新一代启动阶段防护能力，更容易遭受启动套件（Bootkit）、固件级 Rootkit、引导扇区病毒等底层恶意程序入侵，设备启动环节的安全防线会出现明显漏洞。