Certificados de arranque seguro de Windows: qué pasa con tus computadoras y servidores después del 19 de octubre

El 19 de octubre de 2026 vence el certificado Microsoft Windows Production PCA 2011, con el que Microsoft firma el programa que pone en marcha Windows al encender el equipo. Es el último de los tres certificados de arranque seguro (Secure Boot) que la empresa emitió en 2011; los otros dos vencieron en junio. Su reemplazo se llama Windows UEFI CA 2023, y cada computadora y cada servidor de tu organización debería tenerlo ya instalado.

Conviene empezar por lo que no va a pasar: ningún equipo dejará de encender ese día. Lo que está en juego es más silencioso. Un equipo sin los certificados nuevos sigue funcionando, pero ya no puede recibir las nuevas protecciones del arranque, y nadie lo notará hasta que haga falta una. Por eso toca revisar ahora en qué situación está cada equipo, empezando por los servidores, que son los que tienen menos probabilidades de haberse actualizado solos.

Qué es el arranque seguro y qué certificados vencen

El arranque seguro es un control del firmware del equipo (lo que antes llamábamos BIOS y hoy se llama UEFI) que solo deja iniciar programas de arranque firmados por alguien de confianza. Trabaja en los primeros segundos, antes de que cargue Windows y antes de que el antivirus esté activo, que es justo el momento que algunos programas maliciosos buscan para esconderse.

Para decidir en quién confiar, el firmware guarda una lista de certificados. Según el aviso de Microsoft sobre el vencimiento de los certificados de arranque seguro, los de 2011 vencen en estas fechas:

• Microsoft Corporation KEK CA 2011: venció el 24 de junio de 2026. Es el que autoriza los cambios en las listas de programas permitidos y bloqueados.
• Microsoft UEFI CA 2011: venció el 27 de junio de 2026. Firma los programas de arranque de otros fabricantes.
• Microsoft Windows Production PCA 2011: vence el 19 de octubre de 2026. Firma el cargador de arranque de Windows.

Cada uno tiene un reemplazo emitido en 2023, y el equipo necesita guardarlo en su firmware para seguir aceptando lo que Microsoft firme de aquí en adelante. El cambio alcanza a Windows 10 y Windows 11, y en servidores a Windows Server 2016, 2019, 2022 y 2025, además de 2012 y 2012 R2 con actualizaciones extendidas.

¿Mis equipos van a dejar de encender el 19 de octubre?

No. Microsoft lo dice expresamente: un equipo que no recibió los certificados de 2023 sigue arrancando y operando con normalidad, y sigue instalando las actualizaciones habituales de Windows. La diferencia está en lo que deja de recibir: las nuevas protecciones para el arranque, es decir, las versiones nuevas del administrador de arranque de Windows, las actualizaciones de las bases de datos del arranque seguro y las listas de programas revocados.

En términos prácticos, se parece a una cerradura que sigue funcionando, pero a la que ya no le llega la lista de llaves robadas. Microsoft advierte además que el vencimiento puede afectar funciones que dependen de esa confianza, como el refuerzo del cifrado de disco con BitLocker o los cargadores de arranque de terceros. El riesgo crece con el tiempo, a medida que aparecen amenazas nuevas contra las que ese equipo ya no puede recibir defensa.

Las computadoras lo reciben solas; los servidores, no

La mayoría de las computadoras con Windows recibe los certificados nuevos de forma automática, porque Microsoft gestiona el proceso en una parte importante de los equipos. Con los servidores es distinto. En el blog de Windows Server, Microsoft explicó en febrero que los servidores no reciben estos certificados por el despliegue gradual que usa en las computadoras. El administrador tiene que instalar primero las últimas actualizaciones acumulativas y luego iniciar a mano la actualización de los certificados en cada servidor que tenga activo el arranque seguro.

La misma publicación indica que muchos servidores y máquinas virtuales fabricados desde 2024, y casi todos los de 2025, ya vienen con los certificados de 2023. El grupo de riesgo, entonces, son los servidores más antiguos, que muchas veces sostienen los sistemas que la organización no puede detener, como el contable o el controlador de dominio.

Cómo saber si un equipo ya tiene los certificados de 2023

La forma más directa es el registro de eventos de Windows. La guía de Microsoft para áreas de TI señala dos eventos del registro del sistema que lo dicen con claridad:

• Evento 1808: el equipo ya tiene los certificados nuevos.
• Evento 1801: los certificados actualizados todavía no se aplicaron.

Microsoft calcula unas 48 horas y uno o más reinicios para que los certificados se apliquen en un equipo. Si el evento 1801 sigue apareciendo días después de haber iniciado la actualización, algo la está frenando. Una causa posible es el firmware: la guía reconoce que algunos no ejecutan bien la actualización y que en ciertos casos hace falta una versión nueva del fabricante.

Con muchos equipos, revisarlos uno por uno no es realista. La guía sugiere reunir primero fabricante, modelo, versión y fecha de la BIOS de cada equipo, agruparlos por tipo, probar en cuatro o más de cada grupo y desplegar por etapas. Esa lista es el mismo inventario de equipos que sirve después para decidir qué reemplazar y cuándo.

Servidores físicos y máquinas virtuales

En un servidor físico, el primer paso es preguntar al fabricante si existe una actualización de firmware que prepare el equipo para los certificados nuevos. La guía de Microsoft pide prestar atención a los equipos antiguos, en especial a los que el fabricante ya no soporta. Si su firmware falla al aplicar la actualización y no hay una versión corregida, lo que Microsoft sugiere es considerar el reemplazo.

En las máquinas virtuales, el firmware lo pone la plataforma de virtualización, sea Hyper-V, VMware u otra. Según la misma guía, el proveedor de la plataforma puede entregar un firmware virtual que ya incluye los certificados, lo que resuelve las máquinas nuevas. En las que ya están en uso, Windows puede aplicar la actualización siempre que el firmware virtual admita actualizaciones del arranque seguro. Eso obliga a mantener al día también los servidores que alojan las máquinas virtuales. Si los tuyos corren sobre una versión sin soporte, el tema se cruza con otro: qué hacer con VMware después de Broadcom.

Qué hacer esta semana

1. Separa tu lista en dos grupos: computadoras y servidores. En las computadoras, revisa una muestra de cada modelo; en los servidores, revísalos todos.
2. Busca los eventos 1801 y 1808 en el registro del sistema de cada servidor y anota el resultado.
3. Consulta en el sitio de soporte de cada fabricante si hay una BIOS o UEFI nueva para tus modelos, e instálala en una ventana de mantenimiento.
4. Instala las últimas actualizaciones acumulativas de Windows Server y luego inicia la actualización de los certificados, por grupos y con reinicios programados.
5. Actualiza los servidores de virtualización antes que las máquinas virtuales que alojan.
6. Marca los equipos que el fabricante ya no soporta. Si su firmware no acepta los certificados, pasan a la lista de reemplazo de 2027, y antes de cotizar uno nuevo vale la pena comparar el costo real de un servidor propio con el de la nube.

Si en tu organización todavía quedan computadoras con Windows 10, revisa también qué opciones quedan para Windows 10 en la empresa: Windows 10 dejó de tener soporte en octubre de 2025 y, salvo en sus ediciones de ciclo largo, solo recibe parches en los equipos inscritos en el programa de actualizaciones extendidas.

Las fechas y los pasos de esta nota salen de la documentación oficial de Microsoft enlazada arriba. Cuando el fabricante de un servidor publica instrucciones propias para sus modelos, esas son las que mandan en el orden de los pasos.