最近不少 Windows 11 用户发现，自己的电脑在“Windows 安全中心”里显示安全启动（Secure Boot）已开启，但关于证书的更新状态却语焉不详，甚至直接报错。
微软已经确认了这个问题。
简单来说，2011 年签发的老版安全启动证书已经过期，微软正试图用 2023 年的新证书替换它们。这本该是一个后台自动完成的无感操作，但在部分电脑上，这个过程卡住了。
为什么会被卡住？
并不是所有电脑都能顺利拿到新证书。微软在支持文档中坦言，他们暂停了向特定组别设备推送安全启动证书更新。
原因主要有两个：
一是固件问题。很多电脑，尤其是几年前发布的机型，其 UEFI 固件并没有为这次证书轮换做好准备。要么是 OEM 厂商根本没提供适配新证书的固件更新，要么是固件本身存在兼容性 bug，强行更新可能导致系统无法启动。为了规避风险，微软选择先按住不发。
二是人为设置。有些用户为了安装 Windows 11 或其他系统，曾经在 BIOS 里手动关闭过安全启动，后来又重新打开。这种“非标准”状态有时会让更新机制误判，导致证书无法正确写入。
如果你受影响，通常会在 Windows 安全应用的“设备安全性”页面看到提示，大意是“需要固件更新，但可能尚不可用”，或者明确指出由于硬件限制，设备不会收到更新。
这对你的电脑意味着什么？
先说结论：对于绝大多数普通用户，这不算什么灾难。
你的电脑依然能正常开机，Windows 更新照常安装，日常办公、打游戏也不会受到任何影响。安全启动功能本身依然是开启状态，它仍在防御那些已知的、旧的启动级威胁。
真正的隐患在于“未来”。
安全启动证书的作用，是验证启动加载程序的签名。新的 2023 证书不仅是为了替换过期的旧证，更是为了能让系统接收最新的“禁止启动列表”（DBX）。如果没有新证书，当黑客利用新的启动加载程序漏洞发起攻击时，你的电脑可能无法及时通过微软的云端列表拦截这些新威胁。
换句话说，你的防护盾还在，只是没法升级到最新版本来抵挡新式武器。
你能做什么？
很遗憾，能做的不多。
首先，去“Windows 安全中心” > “设备安全性” > “安全启动”看一眼。如果显示“安全启动已开启”且没有报错或警告，那你大概率已经成功更新了，无需担心。
如果显示需要固件更新，那就去你电脑品牌（如联想、戴尔、惠普等）的官网支持页面，查查有没有最新的 BIOS/UEFI 固件推送。如果有，刷进去试试；如果没有，那基本就只能等了。
微软建议，即使没更新成功，也千万不要手动关闭安全启动。因为即便证书老旧，开启状态下的防护能力依然远强于完全关闭。
对于那些已经停产多年、OEM 厂商不再提供固件支持的老旧机型，微软的话说得很直白：“您的电脑型号可能不再受 OEM 支持……微软将不会为您的电脑发布 Secure Boot 2023 证书更新。”
这意味着，这部分老电脑将长期停留在旧证书状态。虽然目前看来风险可控，但这确实是硬件生命周期结束的一个信号：在安全层面，它们正在逐渐被主流生态边缘化。
