Secure Boot Krizi Kapıda: Windows, Hyper-V ve Donanım Üreticileri Sertifika Değişimine Hazır mı?

Windows sistemleri için zaman hızla daralıyor. Secure Boot kullanan cihazlarda yer alan ilk sertifikalar Haziran 2026’da süresi dolacak. Microsoft bu sertifikaları 2023’ten beri güncellemeye çalışıyor. Ancak ortada ciddi sorunlar var. Son olarak Microsoft, Microsoft Intune üzerinden yayımladığı bir “Secure Boot Playbook” ile yöneticilere rehberlik etmeye çalışıyor. İşte konunun tüm ayrıntıları.

Secure Boot Nedir?

Secure Boot, bilgisayar açılırken (boot sürecinde) yalnızca güvenilir ve imzalı yazılımların çalışmasına izin veren bir güvenlik mekanizmasıdır. Temel amacı çok nettir: işletim sistemi yüklenmeden önce araya sızmaya çalışan zararlı yazılımları engellemek.

Secure Boot Sertifikalarının Süresi Doluyor: Yöneticiler Ne Yapmalı?

Secure Boot sertifikaları sona eriyor. Sistem yöneticilerinin ne yapması gerekiyor?

Süresi Dolan UEFI Secure Boot Sertifikaları

Kısa bir özetle konunun arka planı:
Yaklaşık 15 yıl önce, Windows 8 döneminde Secure Boot sertifikaları ilk kez oluşturuldu ve UEFI içine dağıtıldı. O dönemde yayımlanan ve hala birçok anakart üzerinde bulunan ilk sertifikalar Haziran 2026’da geçerliliğini yitirecek.

Microsoft, Tech Community’de yayımladığı “Act now: Secure Boot certificates expire in June 2026” başlıklı makalede, süresi dolacak sertifikaları listeleyen bir tablo paylaştı.

Windows UEFI Secure Boot Sertifikaları (tablo)

Yazara göre cihazlar son tarihten sonra da büyük ihtimalle açılmaya devam edecek. Ancak sorunlar yaşanması olası. Microsoft, Haziran 2026’dan itibaren Secure Boot sertifikalarının süresinin dolmasının, zamanında güncellenmeyen bazı bireysel ve kurumsal cihazlarda güvenli önyükleme yeteneğini etkileyebileceğini açıkça belirtiyor.

Asıl problem şu:

Microsoft’un geçmişte Windows Update üzerinden Secure Boot sertifikalarını güncelleme girişimleri “pek başarılı olmadı”. Güncelleme bazı cihazlarda çalışabiliyor, ancak her zaman garanti değil.

Bu konuyu en son “Windows January 2026 Update Replaces Secure Boot Certificates” başlıklı yazısında ele aldığını belirtiyor.

Microsoft şu anda Secure Boot sertifikalarını, destekleyen cihazlarda dalgalar (waves) halinde güncellemeye çalışıyor. Buna rağmen çok sayıda kullanıcı, güncellenmemiş sertifikalara sahip sistemlerle karşı karşıya kalacak.

Sertifika Değişimi İçin Microsoft Playbook

Kısa süre önce Microsoft tarafından yayımlanan ve Windows’ta Secure Boot konusunu ele alan bir duyuru dikkat çekti. Bu duyuru, Microsoft Intune tarafından hazırlanan bir playbook dokümanına atıfta bulunuyor.

“Secure Boot playbook for certificates expiring in 2026” başlıklı bu rehber, 2 Şubat 2026 tarihinde Tech Community’de yayımlandı.

Playbook’ta Microsoft:

• Sertifikaların neden sona erdiğini
• Sertifika değişimine nasıl hazırlanılması gerektiğini
• Sertifikaların farklı yöntemlerle nasıl güncelleneceğini
• Cihazların önyükleme durumunun nasıl izleneceğini ve doğrulanacağını

detaylı biçimde anlatıyor.

Ancak burada çizilen tablo fazlasıyla iyimser ve yalnızca belirli cihazlar için geçerli. Microsoft Update üzerinden Secure Boot sertifikalarının güncellenemediği iki farklı senaro üzerinde duruluyor.

Secure Boot Sertifika Değişimi: Değişim Sürecinde Aşılması Gereken Engeller

Hyper-V Sanal Makinelerde 2023 Secure Boot KEK Güncellemesi

Secure Boot KEK (Key Exchange Key) değişimiyle ilgili karşılaşılan ilk sorun, Frank Lesniak’ın attığı bir tweet ile gündeme geldi.

Lesniak, konuyu daha detaylı ele alan “Missing PK-signed KEK for Hyper-V VM, Microsoft Hyper-V Firmware PK, with Serial” başlıklı GitHub paylaşımına atıfta bulunuyor. Bu paylaşımda Gunnar Haslinger, yaşadığı problemi ayrıntılı biçimde aktarıyor.

Haslinger, Microsoft Hyper-V üzerinde çalışan bir sanal makinede 2023 KEK güncellemesini yüklemeye çalıştığında yalnızca EventID 1795 hatasıyla karşılaşıyor.

Yaptığı incelemede, sanal makinenin Platform Key (PK) sertifikasının aşağıdaki paket tarafından kapsanmadığını fark ediyor:

"8058e8cc51749652804bbd6f39aed713d119c64b": {
  "KEKUpdate": "Microsoft\\KEKUpdate_Microsoft_PK1.bin",
  "Certificate": {
    "serial_number": 171049019130091589582073331848314912,
    "issued_to": "CN=Microsoft Hyper-V Firmware PK,O=Microsoft Corporation,L=Redmond,ST=Washington,C=US",
    "issued_by": "CN=Microsoft Corporation Third Party Marketplace PCA,O=Microsoft Corporation,L=Redmond,ST=Washington,C=US"
  }
}

Sanal makineler farklı bir seri numarasına sahip sertifika kullanıyor. Bu nedenle Haslinger, Hyper-V sanal makinelerine Microsoft KEK sertifikalarını içeren güncellemeleri yükleyemiyor.

Microsoft’tan Doug Flick, bu duruma verdiği yanıtta şu bilgiyi paylaşıyor:
Hyper-V şu an için KEK güncellemelerini desteklemiyor. Ancak bu durumun Mart 2026 civarında değişmesi planlanıyor. Bu gerçekleştiğinde KEK güncelleme dosyasının da güncellenmesi gerekecek.

Ek Bilgi

• VMware, 8.2 sürümünden itibaren yeni sertifikaları içeriyor
• Proxmox, 9.1.4 sürümünden itibaren (özellikle pve-edk2-firmware paketinin 4.2025.05-1 sürümüyle) yeni sertifikaları destekliyor
• Eski Hyper-V sürümlerinin henüz Microsoft KEK 2023 sertifikasını desteklemediğini belirtiyor. Microsoft’a göre bu destek Mart 2026 civarında eklenecek. Sertifika güncellemesi ise sanal makine bir sonraki başlatıldığında, kullanıcı müdahalesi olmadan otomatik olarak yapılacak.

Dell Sistemlerde Anahtar Değişimi Sorunu

“Windows 11 24H2 – 25H2: Problems with Preview Update KB5074105 (January 29, 2026)” Bu güncelleme, Secure Boot sertifika dosyalarının değiştirilmesini sağlayan kodu da içeriyor ancak bazı Dell sistemlerinde Secure Boot sertifikalarının Windows Update üzerinden değiştirilemediği ortaya çıkıyor.

Sorunun nedeni olarak şu tespit yapılıyor:

Dell, ASUS veya MSI’dan farklı olarak, kritik Secure Boot sertifikalarının Windows Update üzerinden güncellenmesine izin vermiyor. Bunun yerine Dell, kendi UEFI BIOS güncellemeleri ile sertifika değişimini sağlıyor.

Ancak eski Dell sistemleri artık desteklenmiyor. Bu sistemlerin yakında Secure Boot ve TPM açık şekilde çalışamayacağı belirtiliyor.

Lenovo ve Diğer Üreticiler

Lenovo cihazlarda görülen “Secure Boot KEK Configuration Update 2011–2023 Error” hatası tartışılıyor. Bu hata, Linux altında sorunlara yol açan BIOS güncellemeleriyle ilişkili. Aynı tartışmada Dell ve HP de potansiyel sorunlu üreticiler arasında anılıyor.

Görünen Tablo

Secure Boot sertifika problemi, önümüzdeki bir süre daha gündemde kalacak. Sistem yöneticileri, Intune Auto-Patch ile yönetilen cihazların durumunu şu adresten kontrol edebilir:

• Intune Admin Center > Reports > Windows Autopatch > Windows Quality Updates

Bu raporlar, cihazların Secure Boot durumunu ayrıntılı biçimde gösteriyor.