Secure Boot : l'échéance d'octobre 2026 que beaucoup de PC et de serveurs vont manquer

Il existe une échéance informatique de 2026 dont presque personne ne parle, et qui concerne pourtant la quasi-totalité des ordinateurs et des serveurs vendus depuis une douzaine d'années. Elle porte sur Secure Boot, ce mécanisme discret qui vérifie, à chaque allumage de la machine, que le logiciel de démarrage n'a pas été trafiqué. Pour faire ce contrôle, la carte mère s'appuie sur des certificats numériques signés par Microsoft en 2011. Or ces certificats ont une date de péremption. Selon la documentation publiée par Microsoft, deux d'entre eux ont expiré fin juin 2026, et le dernier, celui qui signe le gestionnaire de démarrage de Windows, arrive à échéance le 19 octobre 2026.

La bonne nouvelle d'abord, parce qu'elle évite les paniques inutiles : aucune machine ne va cesser de démarrer à cette date. Un ordinateur qui fonctionne aujourd'hui fonctionnera toujours le lendemain. Le constat vaut aussi pour les serveurs Linux, comme l'a confirmé Red Hat dans ses propres communications à destination de ses clients.

Une protection qui se fige, sans le moindre message d'erreur

Le vrai problème est ailleurs, et il est typiquement le genre de chose qui passe sous le radar pendant des années. Une machine restée sur les anciens certificats perd la capacité de recevoir les futures mises à jour de la liste noire de démarrage, celle qui bloque les programmes d'amorçage connus comme vulnérables ou compromis. Autrement dit, la serrure reste en place, mais on ne peut plus y ajouter les clés volées à refuser. La société de sécurité Eclypsium, spécialisée dans la sécurité des micrologiciels, insiste sur ce point dans son analyse : le risque n'est pas immédiat, il s'accumule silencieusement à mesure que de nouvelles failles de bas niveau sont découvertes.

Microsoft déploie automatiquement les nouveaux certificats de 2023 via Windows Update sur une grande partie du parc, mais pas sur la totalité. L'éditeur a d'ailleurs reconnu cet été que la mise à jour échouait sur certains PC et l'avait temporairement bloquée sur les configurations concernées. Restent aussi les cas les plus fragiles : les machines virtuelles, les serveurs dont les redémarrages sont espacés, les postes anciens qui exigent une mise à jour de firmware du constructeur, et le PC de secours resté éteint dans un placard pendant six mois.

Le conseil pratique : deux minutes de vérification

Voici un contrôle que vous pouvez faire vous-même. Ouvrez PowerShell en tant qu'administrateur, puis saisissez la ligne suivante : [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DB).Bytes) -match 'Windows UEFI CA 2023'. Si la réponse est True, votre machine a bien reçu le nouveau certificat et vous n'avez rien à faire. Si elle est False, la transition n'a pas eu lieu. Ce contrôle est celui que recommandent Microsoft ainsi que plusieurs constructeurs, dont Dell dans sa fiche d'assistance sur le sujet.

En cas de réponse négative, la marche à suivre reste simple dans la majorité des situations : installez toutes les mises à jour Windows en attente, redémarrez, et laissez la machine allumée un jour ou deux, car le processus se déroule en plusieurs étapes et nécessite parfois plusieurs redémarrages. Si rien ne bouge, il faut aller voir du côté du BIOS ou de l'UEFI de la carte mère : une mise à jour de firmware du constructeur est alors nécessaire.

Pour un particulier avec un ou deux ordinateurs, l'affaire se règle en une soirée. Pour une PME qui aligne quinze postes, deux serveurs et une poignée de machines virtuelles, cela mérite un inventaire propre plutôt qu'une vérification au hasard, d'autant que les postes acquis avant 2020 sont les plus susceptibles de coincer. C'est exactement le type de contrôle que nous intégrons dans les audits de parc et les contrats de maintenance chez Must Computer, à Bastogne comme à Wiltz. Si vous ne savez pas par où commencer, ou si le résultat du test vous laisse perplexe, passez nous voir : mieux vaut traiter le sujet en septembre, tranquillement, que découvrir le problème le jour où une faille de démarrage fera la une.