9 juni Patch Tuesday in aantocht als Secure Boot deadline dichterbij komt

Microsoft's 9 juni Patch Tuesday is over een paar dagen, en deze heeft meer gewicht dan elke andere routinematige maandelijkse update. Het is het laatste gestructureerde implementatievenster voordat de Secure Boot-certificaten uit het 2011-tijdperk op 24 juni beginnen te verlopen, waardoor elk ongepatcht apparaat vanaf die datum in een verslechterde staat van bootbeveiliging verkeert.

Het venster voor het verlopen van certificaten loopt van 24 tot 27 juni. De Microsoft Corporation KEK CA 2011 verloopt op 24 juni, de Microsoft UEFI CA 2011 verloopt op 27 juni, en de Microsoft Windows Production PCA 2011 volgt in oktober. Apparaten die de 2023 vervangingscertificaten niet voor 24 juni hebben ontvangen, zullen niet stoppen met werken, maar ze zullen de mogelijkheid verliezen om toekomstige beveiligingen op opstartniveau te ontvangen, inclusief updates voor Windows Boot Manager, Secure Boot revocation lists, en fixes voor nieuw ontdekte beveiligingsproblemen en fixes voor nieuw ontdekte kwetsbaarheden in de boot-chain.

Waarom 9 juni geen routine-update is

Microsoft rolt de 2023 vervangende certificaten sinds februari 2026 uit via cumulatieve updates, met de 12 mei Patch Tuesday heeft die uitrol verder bevorderd. Organisaties die de uitrol in mei hebben uitgesteld, hebben nu te maken met een gecomprimeerd venster. Het gat tussen 9 juni en de vervaldatum van 24 juni is 15 dagen. Voor bedrijfsteams die grote machineparken beheren, is dat geen comfortabele periode.

Beveiligingsanalisten hebben de druk duidelijk aangegeven. De beslissing om de uitrol van mei uit te stellen tot juni heeft het beschikbare venster met meer dan 60 procent verkleind. Elke organisatie die ervan uitgaat dat 9 juni de normale tijdlijn voor de uitrol herstelt, heeft het mis. 9 juni is een noodprocedure voor teams die mei hebben gemist.

Wat te doen vóór 9 juni en onmiddellijk erna

Voor 9 juni moeten IT-beheerders het volgende PowerShell commando uitvoeren uitvoeren met beheerdersrechten om de certificaatstatus op een apparaat in kwestie te controleren: Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootServicing" -Name UEFICA2023Status

Het verwachte resultaat voor een OS-gestuurde migratie is "Voltooid" Cruciaal is dat een "Niet Gestart"-status niet automatisch een mislukking is; het geeft vaak aan dat het apparaat al veilig is omdat de OEM de 2023-certificaten zelf heeft geïnjecteerd via een recente BIOS-update. De echte rode vlaggen zijn een status "Failed" of hexcodes in de aangrenzende UEFICA2023Error-toets. Als u na de implementatie van 9 juni een dergelijke foutstatus krijgt, moet u dit onmiddellijk handmatig verhelpen.

Apparaten met Windows Server 2025 en bepaalde BitLocker Group Policy-configuraties vereisen extra voorzichtigheid. De opstart-naar-BitLocker-herstel bug is ontstaan in de updatecyclus van april 2026. De mei-update heeft deze bug opgelost voor Windows 11, maar de fix voor Windows Server 2025 is nog niet uitgevoerd en het gedrag is in sommige configuraties vluchtig. Server 2025-omgevingen moeten een testimplementatie voltooien voordat de updates van 9 juni in de hele vloot worden uitgerold.

Verwacht wordt dat 9 juni ook kwetsbaarheden zal verhelpen die sinds de release van 12 mei zijn ontdekt, inclusief kwetsbaarheden die in de weken tussen de cycli actief zijn geëxploiteerd. De Netlogon-fout CVE-2026-41089dat op 29 mei door het Centre for Cybersecurity Belgium als actief misbruikt werd gemarkeerd, is al gepatcht via de update van mei. Apparaten die deze fix nog niet hebben toegepast, moeten 9 juni beschouwen als een implementatie met dubbele prioriteit.

De deadline van oktober is de volgende

Voltooiing van de Secure Boot certificaat overgang voor 24 juni sluit het meest urgente venster, maar is niet het einde van het proces. Het Microsoft Windows Production PCA 2011 certificaat, dat de Windows bootloader zelf ondertekent, verloopt in oktober 2026. Dat is de structureel belangrijkste van de drie vervaldata en degene die op lange termijn het grootste risico inhoudt voor de integriteit van het opstarten van apparaten die het missen.

Patch Tuesday van 9 juni staat gepland om 10:00 AM PST.