Mise à jour Windows : les certificats de sécurité UEFI expirent, votre PC est-il protégé ?

Cette année marque 15 ans depuis l'introduction de l'UEFI, le successeur du BIOS, le micrologiciel intégré à la carte mère des ordinateurs. Parmi les différentes fonctionnalités, celui-ci a apporté le Secure Boot. Cette fonctionnalité de sécurité aide, entre autres, à lutter contre certains malwares comme les bootkits en n'autorisant que les programmes certifiés à se lancer au démarrage, assurant ainsi que votre installation de Windows ou Linux n'a pas été modifiée à ce niveau. Le Secure Boot était optionnel pour Windows 10, mais il est devenu obligatoire avec Windows 11.

Cependant, les premiers certificats de sécurité de l'UEFI arrivent à expiration au mois de juin 2026. Le Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR) a émis un bulletin en avril pour alerter sur ce problème.

La bonne nouvelle est que les ordinateurs sous Windows devraient recevoir automatiquement de nouveaux certificats émis en 2023. Ce n'est pas une certitude car certains utilisateurs bloquent les mises à jour, tandis que certains bugs peuvent empêcher le bon fonctionnement de Windows Update.

Mettre à jour son ordinateur

Heureusement, cela ne va pas empêcher les ordinateurs de démarrer. Toutefois, ils ne recevront plus de mises à jour de la séquence de démarrage, ce qui peut empêcher l'installation de nouveaux systèmes d'exploitation ou permettre l'installation de malwares par des failles nouvellement découvertes. Il est donc urgent de s'assurer d'avoir toutes les mises à jour.

Les utilisateurs Windows peuvent s'assurer d'avoir installé toutes les mises à jour en allant dans l'application « Paramètres », puis « Windows Update », et en lançant une recherche. La mise à jour des certificats nécessitera un redémarrage de l'ordinateur, car ils doivent être installés au niveau du système d'exploitation mais aussi directement dans le micrologiciel UEFI lui-même.

Des problèmes potentiels à l’avenir

La dernière mise à jour de Windows 11 a ajouté un nouveau dossier Secure Boot dans le dossier Windows, qui devrait faciliter la vie des administrateurs en fournissant des scripts d'installation. Curieusement, ce dossier est aussi présent sur l'édition Famille de Windows 11, mais étant donné sa petite taille, les utilisateurs peuvent simplement l'ignorer et passer par Windows Update.

Des problèmes pourraient toutefois survenir après la mise à jour des certificats. L'installation de Linux nécessitera un média d'installation comportant les nouveaux certificats. De plus, sur certaines machines anciennes, la réinitialisation des paramètres de l'UEFI, que ce soit manuellement ou si la pile est morte, pourrait remettre en place les anciens certificats Secure Boot dans le micrologiciel, alors que le système d'exploitation utilise les nouveaux, créant un conflit.

Windows 11 affiche désormais si les certificats de sécurité Secure Boot sont à jour. © Capture FS

Comment vérifier si vos certificats sont valides

Pour ceux qui voudraient savoir s'ils utilisent les nouveaux certificats, il suffit de se rendre dans « Paramètres », puis « Confidentialité et sécurité », et d'ouvrir « Sécurité Windows ». Dans la rubrique « Sécurité des appareils », l'icône « Démarrage sécurisé » indique l'état de la mise à jour. Une coche verte signifie que tout est bon. Une croix rouge signifie que votre appareil ne peut pas être mis à jour. Un triangle jaune signifie que la mise à jour est bloquée, et il faudra sans doute une mise à jour manuelle du micrologiciel.

Enfin, si vous n'avez pas cette icône, vous pouvez copier-coller deux commandes dans une session administrateur de PowerShell ou Terminal (accessible via un clic droit sur le bouton Démarrer) :

La première commande vérifie la présence du certificat dans Windows 11, et la seconde au niveau du micrologiciel UEFI. Les deux doivent indiquer True pour confirmer que votre système est bien à jour. Dans le cas contraire, installez toutes les mises à jour disponibles dans Windows Update, et surtout pensez à redémarrer votre ordinateur pour terminer leur installation.