Ни один компьютер не перестанет загружаться ни в одну из этих дат. Согласно рекомендациям Microsoft, устройство, достигшее срока истечения без новых сертификатов, «will still start and operate normally».

Теряется возможность получать обновления безопасности ранней загрузки — новые отзывы сертификатов Secure Boot, меры против обхода BitLocker, исправления диспетчера загрузки. Это накопление рисков, а не простой.

После 19 октября 2026 компьютер, в прошивке которого никогда не было Windows UEFI CA 2023, также перестаёт проверять подпись новых загрузочных носителей Windows, что может затронуть среды восстановления, установки и PXE.

KEK — это шлюз. Без Microsoft Corporation KEK 2K CA 2023 в прошивке Windows Update вообще не сможет доставить обновление DB. Компьютер без него нельзя исправить, пока KEK не появится через Windows Update или обновление BIOS от OEM. На практике это самый частый блокирующий фактор, и сценарий сообщает о нём явно, а не записывает значение, которое ничего не даст.

Что делает и чего не делает этот сценарий

Запуск

Windows PowerShell 5.1, от имени администратора — чтение переменных UEFI требует повышения прав.

1. Разблокируйте файл (Windows блокирует загруженные сценарии):

2. Оценка — безопасно, без изменений:

3. Применение, только если оценка говорит, что машина готова:

Сохранение вывода

Отчёт формируется с помощью Write-Host, поэтому он выводится на консоль и записывается Start-Transcript. Обычное перенаправление через > его не перехватит, как и передача в другую команду через конвейер.

Для машинно-читаемой копии, полезной при сборе результатов с множества машин:

Вердикты

Две оси, намеренно не объединённые

В отчёте состояние обслуживания и состояние миграции показаны раздельно.

• Состояние обслуживания — что, по словам конвейера Microsoft, он делает.
• Состояние миграции — что на самом деле происходит с путём загрузки.

В реальных условиях эти два состояния действительно расходятся. Машина может сообщать UEFICA2023Status = Updated, в то время как оба бинарных файла диспетчера загрузки на диске по-прежнему подписаны сертификатом 2011 — так бывает, когда прошивка уже включала ЦС 2023, поэтому часть с сертификатами завершилась, а часть с диспетчером загрузки никогда не выполнялась. Если объединить два состояния в одно поле, такая машина будет показана как завершённая, хотя она находится в состоянии half-migrated.

По той же причине сценарий не выводит статус из WindowsUEFICA2023Capable. Документация Microsoft говорит об этом значении дословно: "For reference only - do not use this key when getting status on Secure Boot updates." Оно сохраняется только как диагностические данные.

BitLocker

Шаги обслуживания изменяют состояние прошивки, что может сдвинуть значения PCR TPM, к которым привязан защитник BitLocker, и при следующей загрузке появится запрос ключа восстановления.

• Сценарий отказывается включать защищённый том без защитника с паролем восстановления — иначе не будет способа вернуться.
• Он не может проверить, что у вас есть копия этого ключа. Прежде чем запускать -Apply массово, убедитесь, что ваше резервное хранение в порядке.
• -SuspendBitLocker приостанавливает защиту на время следующей перезагрузки, чтобы изменение было повторно опечатано без запроса. После этого BitLocker автоматически возобновляет защиту.
• В отчёте указывается ваш профиль PCR. Профиль на основе PCR 7 безопасен для загрузки с измерением при добавлении сертификата. Профиль, включающий PCR 0/2/4, охватывает измерения прошивки и диспетчера загрузки, а эти шаги действительно их меняют — риск запроса выше.

Состояние BitLocker считывается тремя независимыми способами (Get-BitLockerVolume, manage-bde и Win32_EncryptableVolume) и сверяется. Если источники расходятся или ни один не может прочитать том, сценарий отказывается изменять прошивку, а не угадывает.

Параметры

Виртуальные машины по умолчанию исключены: ЦС 2023 попадает в базовую прошивку через обновление BIOS, а прошивка ВМ поступает от гипервизора — гостевая ОС на необновлённом узле не может завершить миграцию самостоятельно.

Чего ожидать после применения

• Всё не завершится после первой перезагрузки. Windows применяет обновление сертификатов, затем обновление диспетчера загрузки, обычно за несколько перезагрузок, а между ними работает запланированное задание.
• Microsoft ограничивает это по каждому устройству. Установка значения ставит работу в очередь; поэтапное развёртывание Microsoft решает, когда каждая машина получит право на обновление. Если ничего не происходит, запустите снова и прочитайте строку «Microsoft gate» — в ней указана причина, например "Under Observation - More Data Needed".
• Повторно запускайте в любое время, чтобы проверить прогресс. Запускать можно многократно.

Проверка

Протестировано полностью на Windows 11 (сборка 26200, PowerShell 5.1, от имени SYSTEM), UEFI с включённым Secure Boot, BitLocker полностью зашифрован с защитниками TPM + RecoveryPassword в профиле PCR 7,11:

• Правильно определил машину в состоянии half-migrated — прошивка доверяет Windows UEFI CA 2023, а bootmgfw.efi всё ещё подписан Microsoft Windows Production PCA 2011 — и не сообщил о ней как о завершённой, несмотря на то что машина одновременно сообщала UEFICA2023Status = Updated и WindowsUEFICA2023Capable = 2.
• Все три источника данных BitLocker совпали и были сверены.
• Проверены блокирующие отказы: виртуальная машина (код выхода 2) и бит отзыва 0x80 (код выхода 1).
• -Apply записал 0x5944, что подтверждено независимым чтением реестра.
• -SuspendBitLocker с последующей перезагрузкой: машина вернулась без запроса ключа восстановления, BitLocker автоматически возобновился.
• Start-Transcript сохранил полный отчёт; вывод JSON не содержал материалов ключа восстановления.

Пока не наблюдалось: машины, полностью завершившей миграцию до FullyMigrated. Финальный шаг ограничен поэтапным развёртыванием Microsoft для каждого устройства, и это вне чьего-либо контроля. Сценарий показывает указанную причину ограничения, а не оставляет её необъяснимым отсутствием действий.

Лицензия

MIT — см. LICENSE. Предоставляется как есть, без каких-либо гарантий. Изучите его перед запуском в своей среде; именно поэтому это один читаемый файл.