UEFI CA 2011 已過期，2023 遷移困難｜HP 設備尤其崩，Sure Start 陷入啟動循環
一句話總結
UEFI CA 2011 證書 6 月正式過期，微軟從 2026 年初推送 UEFI CA 2023 遷移。7 月微軟 IT 管理員交流會上大量反饋落地困難，HP 設備尤其嚴重。HP Sure Start 誤判新證書被篡改陷入啟動循環，ProBook 640 G4 出現 0xC0000022 認證錯誤。HP 2018 及以前 EOSL 不再獲更新。
UEFI CA 2011 已過期，2023 遷移困難｜HP 設備尤其崩，Sure Start 陷入啟動循環
UEFI CA 2011 證書已於 6 月正式過期——舊證書不再能為 Microsoft boot manager 檔案簽名。微軟從 2026 年初開始推送 UEFI CA 2023 新證書，理論上是平滑遷移。在 7 月微軟 IT 管理員交流會上，實際落地反饋是「大量設備無法正常遷移」——尤其HP 設備最為嚴重。
問題卡在硬體年代、BIOS 韌體、OEM 支援三塊：
- HP 商用機 2024 年及以後——出廠已內建 UEFI CA 2023，無需 BIOS 更新；
- HP 商用機 2022-2023——2025 年 9 月 30 日推送 BIOS 更新啟用新證書；
- HP 商用機 2019-2021（含部分 2018）——2025 年 12 月 31 日推送 BIOS 更新；
- HP 2018 及以前——EOSL（End of Service Life），不再獲得 BIOS 更新。
真正的翻車在HP Sure Start 保護機制上——部分 HP PC 安裝 CA 2023 後陷入連續啟動循環，因為 Sure Start 誤判新證書「被篡改」，試圖用 NVRAM 保護區的舊證書覆蓋回去。HP ProBook 640 G4 上還出現 Platform Key 替換失敗、返回 0xC0000022 認證錯誤。
企業 IT 面對的窘境是——要嘛升 BIOS 冒 Sure Start 啟動循環的風險，要嘛保守不升等 Windows 更新後無法啟動。2018 及以前的 HP 商用機基本被判死刑，只能整機淘汰。
這是微軟 15 年來第一次強制輪換 Secure Boot 信任鏈——過去強調「開機安全」的 Secure Boot，這次成了強制淘汰舊硬體的加速器。
via 藍點網 / HP Support
UEFI CA 2011 證書已於 6 月正式過期——舊證書不再能為 Microsoft boot manager 檔案簽名。微軟從 2026 年初開始推送 UEFI CA 2023 新證書，理論上是平滑遷移。在 7 月微軟 IT 管理員交流會上，實際落地反饋是「大量設備無法正常遷移」——尤其HP 設備最為嚴重。
問題卡在硬體年代、BIOS 韌體、OEM 支援三塊：
- HP 商用機 2024 年及以後——出廠已內建 UEFI CA 2023，無需 BIOS 更新；
- HP 商用機 2022-2023——2025 年 9 月 30 日推送 BIOS 更新啟用新證書；
- HP 商用機 2019-2021（含部分 2018）——2025 年 12 月 31 日推送 BIOS 更新；
- HP 2018 及以前——EOSL（End of Service Life），不再獲得 BIOS 更新。
真正的翻車在HP Sure Start 保護機制上——部分 HP PC 安裝 CA 2023 後陷入連續啟動循環，因為 Sure Start 誤判新證書「被篡改」，試圖用 NVRAM 保護區的舊證書覆蓋回去。HP ProBook 640 G4 上還出現 Platform Key 替換失敗、返回 0xC0000022 認證錯誤。
企業 IT 面對的窘境是——要嘛升 BIOS 冒 Sure Start 啟動循環的風險，要嘛保守不升等 Windows 更新後無法啟動。2018 及以前的 HP 商用機基本被判死刑，只能整機淘汰。
這是微軟 15 年來第一次強制輪換 Secure Boot 信任鏈——過去強調「開機安全」的 Secure Boot，這次成了強制淘汰舊硬體的加速器。
via 藍點網 / HP Support