لن يتوقف أي جهاز عن الإقلاع في أيٍّ من هذه التواريخ. توجيهات Microsoft هي أن الجهاز الذي يبلغ نهاية الصلاحية دون الشهادات الجديدة «سيظل يُقلع ويعمل بشكل طبيعي».

ما يُفقَد هو القدرة على تلقي تحديثات الأمان المبكرة للإقلاع — عمليات إبطال Secure Boot جديدة، وتخفيفات تجاوز BitLocker، وإصلاحات مُدير الإقلاع. هذا تراكُم للتعرض للخطر وليس انقطاعًا للخدمة.

بعد 19 أكتوبر 2026، سيتوقف الجهاز الذي لم يتلقَّ برنامجه الثابت Windows UEFI CA 2023 مطلقًا أيضًا عن التحقق من وسائط إقلاع Windows الموقَّعة حديثًا، وهو ما قد يؤثر على وسائط الاسترداد والتثبيت وPXE.

KEK هي البوابة. بدون Microsoft Corporation KEK 2K CA 2023 في البرنامج الثابت، لا يمكن لـ Windows Update تسليم تحديث DB إطلاقًا. الجهاز الذي يفتقدها لا يمكن معالجته حتى تصل KEK عبر Windows Update أو تحديث BIOS من الشركة المصنعة (OEM). هذا هو العائق الأكثر شيوعًا عمليًا، ويُبلغ السكربت عنه صراحةً بدلاً من كتابة قيمة لن تُجدي نفعًا.

ما يفعله هذا السكربت وما لا يفعله

تشغيله

Windows PowerShell 5.1، بصلاحيات المسؤول — قراءة متغيرات UEFI تتطلب صلاحيات مرتفعة.

1. إلغاء حظر الملف (يحظر Windows السكربتات التي تم تنزيلها):

2. التقييم — آمن ولا يُجري أي تغييرات:

3. التطبيق، فقط إذا قال التقييم إن الجهاز جاهز:

التقاط المخرجات

يُكتب التقرير باستخدام Write-Host، لذا يظهر على وحدة التحكم ويُسجَّله Start-Transcript. إعادة التوجيه البسيطة > لن تلتقطه، ولن يلتقطه أيضًا تمريره إلى أمر آخر.

للحصول على نسخة قابلة للقراءة آليًا، وهي مفيدة عند جمع النتائج عبر أسطول من الأجهزة:

الأحكام

محوران، لم يُدمجا عمدًا

يعرض التقرير حالة الصيانة وحالة الترحيل بشكل منفصل.

• حالة الصيانة — ما يقوله خط أنابيب Microsoft إنه يفعله.
• حالة الترحيل — ما هو صحيح فعليًا فيما يخص مسار الإقلاع.

هاتان الحالتان تتعارضان فعلًا في الميدان. يمكن لجهاز أن يُبلِّغ UEFICA2023Status = Updated بينما لا يزال ملفّا مُدير الإقلاع الثنائيان على القرص موقَّعين بإصدار 2011 — يحدث ذلك عندما يكون البرنامج الثابت قد شُحِن بشهادة 2023 مُسجَّلة مسبقًا، فاكتمل جانب الشهادة بينما لم يعمل جانب مُدير الإقلاع أبدًا. إن دمج الاثنين في حقل واحد يجعل التقرير يعرض ذلك الجهاز على أنه منتهٍ بينما هو في منتصف الترحيل.

وللسبب نفسه، لا يستمد السكربت الحالة من WindowsUEFICA2023Capable. تقول وثائق Microsoft عن تلك القيمة، حرفيًا: «للمرجعية فقط — لا تستخدم هذا المفتاح عند الحصول على حالة تحديثات Secure Boot.» تُلتقط كأداة تشخيص فقط.

BitLocker

تغيّر خطوات الصيانة حالة البرنامج الثابت، وهو ما قد يُحرِّك قيم PCR الخاصة بـ TPM التي خُتِم عليها حامي BitLocker، وهو ما قد يُنتج طلب مفتاح استرداد عند الإقلاع التالي.

• يرفض السكربت تفعيل وحدة تخزين محمية لا تحتوي على حامي كلمة مرور استرداد — فلن يكون هناك أي طريق للعودة.
• لا يمكنه التحقق من أنك تحتفظ بنسخة من ذلك المفتاح. أكِّد سلامة خزنك الاحتياطي (escrow) قبل تشغيل -Apply على نطاق واسع.
• -SuspendBitLocker يعلِّق الحماية عبر إعادة التشغيل التالية بحيث يُعاد ختم (re-seal) التغيير دون طلب. يستأنف BitLocker تلقائيًا بعد ذلك.
• يذكر التقرير ملف تعريف PCR لديك. ملف تعريف قائم على PCR 7 آمن للإقلاع المُقاس عند إضافة شهادة. أما ملف التعريف الذي يتضمن PCR 0/2/4 فيغطي قياسات البرنامج الثابت ومُدير الإقلاع، وهذه الخطوات تُحرِّكها فعلًا — مخاطر أعلى لظهور طلب.

تُقرأ حالة BitLocker بثلاث طرق مستقلة (Get-BitLockerVolume وmanage-bde و Win32_EncryptableVolume) ثم تُوحَّد النتائج. إذا اختلفت القارئات، أو إذا لم تستطع أيٌّ منها قراءة وحدة التخزين، يرفض السكربت تغيير البرنامج الثابت بدلاً من التخمين.

المعاملات

تُستبعَد الأجهزة الافتراضية افتراضيًا: تصل شهادة 2023 إلى خط الأساس للبرنامج الثابت عبر تحديث BIOS، ويأتي البرنامج الثابت للجهاز الافتراضي من مُشغِّل الأجهزة الافتراضية (hypervisor) — فالجهاز الضيف على مضيف غير مُحدَّث لا يمكنه إكمال الترحيل من تلقاء نفسه.

ما يمكن توقعه بعد التطبيق

• لن يكتمل عند أول إعادة تشغيل. يطبِّق Windows تحديث الشهادة، ثم تحديث مُدير الإقلاع، عادةً عبر أكثر من إعادة تشغيل مع مهمة مجدولة تعمل بينها.
• تتحكم Microsoft في ذلك لكل جهاز. تعيين القيمة يُدرج العمل في قائمة الانتظار؛ ويقرر الطرح التدريجي من Microsoft متى يكون كل جهاز مؤهلًا. إذا لم يحدث شيء على ما يبدو، أعد التنفيذ واقرأ سطر «بوابة Microsoft» — فهو يذكر السبب، على سبيل المثال «قيد المراقبة — بيانات إضافية مطلوبة».
• أعد التنفيذ في أي وقت للتحقق من التقدم. من الآمن تشغيله مرارًا وتكرارًا.

التحقق

اختُبِر من البداية إلى النهاية على Windows 11 (الإصدار 26200، PowerShell 5.1، يعمل بحساب SYSTEM)، بواجهة UEFI مع تفعيل Secure Boot، وBitLocker مشفَّر بالكامل مع حاميات TPM + كلمة مرور الاسترداد (RecoveryPassword) على ملف تعريف PCR 7,11:

• حدد بشكل صحيح جهازًا في حالة ترحيل نصف مكتمل — برنامج ثابت يثق بشهادة Windows UEFI CA 2023 بينما كان bootmgfw.efi ما زال موقَّعًا بشهادة Microsoft Windows Production PCA 2011 — ولم يُبلِّغ عنه كمنتهٍ، على الرغم من أن ذلك الجهاز كان يُبلِّغ في الوقت نفسه UEFICA2023Status = Updated وWindowsUEFICA2023Capable = 2.
• اتفقت قارئات BitLocker الثلاث وتم توحيد نتائجها.
• تم التحقق من بوابات الرفض: جهاز افتراضي (رمز الخروج 2)، وبت الإبطال 0x80 (رمز الخروج 1).
• كتب -Apply القيمة 0x5944، وهو ما تأكد بقراءة سجل مستقلة.
• -SuspendBitLocker متبوعًا بإعادة تشغيل: عاد الجهاز بدون طلب استرداد، واستأنف BitLocker تلقائيًا.
• التقط Start-Transcript التقرير كاملًا؛ ولم تحتوِ مخرجات JSON على أي بيانات لمفاتيح الاسترداد.

لم يُلاحَظ بعد: جهاز يكمل الترحيل الكامل إلى FullyMigrated. الخطوة الأخيرة محكومة بالطرح التدريجي لكل جهاز من Microsoft، وهو أمر خارج سيطرة أي أحد. يُظهر السكربت السبب المُعلَن لتلك البوابة بدلاً من تركها كعملية بلا تأثير دون تفسير.

الترخيص

MIT — انظر LICENSE. مُقدَّم كما هو، دون أي ضمان. راجعه قبل تشغيله في بيئتك؛ فهو ملف واحد قابل للقراءة لهذا السبب بالضبط.