電腦維修 · 2026年11月9日 · ComputerKing 團隊

你部 Windows 機開得好哋哋，但開機保安可能仲停留喺 2011 年：Secure Boot 2023 證書檢查指南

2026 年 10 月 19 日，微軟 2011 年嘅 Secure Boot 證書正式到期，取而代之係 2023 年新證書。部機照開得好哋哋，唔代表已經攞到新證書——冇咗佢，之後嘅開機層保安修復將唔會再派畀你部機。今篇教你用三個方法檢查：Windows 安全中心嗰句說話、PowerShell 一行指令、同埋事件檢視器入面嘅 1808 事件，仲有邊啲情況唔好亂撳 BIOS 重設。收費需個別報價。

重點摘要

2026 年 10 月 19 日，微軟最後一張 2011 年 Secure Boot 證書到期。由嗰日開始，開機層嘅保安修復只會用 2023 年新證書簽署——你部機要先攞到呢張新證書，先至收得到之後嘅修復。最容易令人誤會嘅地方係：攞唔到新證書，部機一樣開得好哋哋，乜嘢提示都冇。想知自己攞到未，有三個方法：睇 Windows 安全中心嗰句說話、用 PowerShell 查韌體入面有冇「Windows UEFI CA 2023」、再去事件檢視器搵 1808 事件做實據。今篇逐個講，連埋邊啲情況要更新 BIOS、邊啲情況唔好亂撳 BIOS 重設。

一、新聞講了什麼：2011 年證書到期，2023 年證書先係未來

• Secure Boot 係咩： 開機嗰陣檢查開機軟件係咪經過認證，防止未經授權嘅程式喺 Windows 之前搶先執行。證書就係用嚟驗證簽署嘅憑據。
• 2011 年嗰批證書喺 2026 年 10 月 19 日到期。 微軟早喺 2023 年已經推出新證書，並透過 Windows 更新陸續派畀合資格嘅電腦。
• 重點唔係「到期嗰日會唔會壞機」——唔會。 重點係之後嘅開機管理程式修復，只會用 2023 年證書簽署。未攞到新證書嘅機，就收唔到呢啲修復。
• 另一樣要注意： 新版 Windows 安裝媒體預設用 2023 年證書簽署嘅開機管理程式；喺未攞到新證書嘅韌體上面開機，會彈 Secure Boot 違規。微軟亦表示，將來嘅主要 Windows 版本可能要求有呢張證書先裝得。

二、點解「開得好哋哋」唔等於冇事

• 證書到期唔會令部機即刻開唔到，亦唔會彈警告。 舊嘅開機管理程式會被凍結喺原位——即係話，如果日後發現開機層有漏洞，微軟修好之後，你部機因為冇新證書，裝唔到嗰個修復。
• 封鎖已知惡意開機軟件嗰一步，都係要等 2023 年證書裝好先至會做。 換句話講，未攞到新證書，部機嘅開機防線就停留喺舊狀態。
• 同一屋企入面唔同機，答案可以完全唔同。 有外國記者喺 2026 年 11 月 6 日實測四部機：2023 年嘅筆電已經齊晒；2018 年嘅桌機 PowerShell 話有新證書，但事件紀錄話未完成切換；Windows 10 舊機完全未攞到；另一部機直情冇 Secure Boot 嗰張卡。所以要逐部檢查，唔好估。

三、三步檢查：由淺入深，實據行先

第一步：Windows 安全中心——睇句子，唔好淨係睇顏色

1. 開 Windows 安全中心，去「裝置安全性」，睇 Secure Boot 嗰張卡。

2. 自 2026 年 4 月起，呢張卡會寫明證書狀態。綠色剔下面應該有一句寫住 Secure Boot 已開啟，而且已套用全部所需嘅證書更新。

3. 黃色剔加一句「舊版開機信任設定」，即係話系統未完成證書更新——裝更新、重啟。

4. 注意：淨睇顏色唔可靠。警告一撳走，徽章就會重設返綠色；公司管理嘅電腦，呢啲變化預設係隱藏嘅。

5. 如果完全冇 Secure Boot 嗰張卡，唔等於冇事——去系統資訊查 Secure Boot 狀態；如果顯示「關閉」，呢部機係唔會收到新證書嘅。

第二步：PowerShell 一行指令——直接問韌體

1. 以系統管理員身份開 PowerShell。

2. 貼上呢行指令：

```

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

```

3. 回傳 True 即係韌體入面已經有 2023 年 Windows 證書；False 即係未有。

4. 呢個係直接問韌體，準過睇徽章。

第三步：事件檢視器 1808 事件——收據

1. 開事件檢視器，去 Windows 記錄、系統，篩選事件識別碼 1808。

2. 呢個事件只會喺所需證書已套用、而且新開機管理程式已經就位之後先出現，係完成切換嘅收據。

3. 如果 PowerShell 話 True，但搵唔到 1808 事件，代表只係行咗一半：證書已經喺韌體入面，但 Windows 仲未切換去新開機管理程式。

4. 如果見到 1795 或者 1802 呢類錯誤，即係更新卡住或者受阻，通常係韌體嗰邊嘅問題。

四、四種結果，四種處理

五、未攞到新證書，正確次序係咁

1. 先備份 BitLocker 還原金鑰，確認儲存喺 Microsoft 帳戶入面。搞開機設定之前，呢步唔可以 skip——萬一系統要求輸入還原金鑰，冇咗佢就好大鑊。

2. 裝晒所有等緊嘅 Windows 更新，然後重啟電腦，可能要重啟兩次。

3. 去電腦廠商官網查有冇 BIOS 更新，有就照官方指示安裝。

4. 重新行一次 PowerShell 指令覆核。上面提到嗰部 2018 年桌機就係咁樣，裝更新加兩次重啟就搞掂。

5. Windows 10 用家要注意：冇參加延伸更新嘅 Windows 10 機唔會收到新證書；參加咗延伸更新嘅，更新會派到 2027 年 10 月。

6. 如果廠商已經唔再出 BIOS 更新，呢部機好可能永遠攞唔到新證書——繼續用得，但要當佢係信任程度較低嘅機，重要資料唔好只放喺佢上面。

六、千祈唔好做：亂撳 BIOS「還原預設值」

• BIOS 入面有兩份清單：一份係 Windows 會更新嘅現用清單，另一份係收喺韌體入面嘅出廠預設值。
• 如果你部機已經切換咗去 2023 年開機管理程式，但出廠預設值入面冇 2023 年證書，一撳「還原預設值」，Secure Boot 就會因為新開機管理程式對唔上舊證書而唔畀部機開機。
• 修復要靠一隻寫返證書入去嘅還原 USB，唔係一般用家喺屋企搞得掂嘅事。
• 所以：如果電腦廠商未更新出廠預設值，唔好手痕撳 BIOS 重設。懷疑 BIOS 有問題，先備份、問清楚先郁手。

七、幾時要搵人睇

• 照上面做完兩次，PowerShell 依然 False，或者事件入面有 1795、1802 錯誤。
• 唔肯定自己部機有冇開 BitLocker、還原金鑰喺邊。
• 部機係公司機、或者有特別嘅開機設定（雙系統、Linux 並存）。
• 呢啲情況，帶埋檢查結果嚟搵我哋睇，唔好喺唔肯定嘅情況下自己改韌體設定。