Windows Secure Boot 인증서 만료는 2026년 Windows PC에서 반드시 확인해야 할 중요한 보안 변화 중 하나입니다.
Microsoft가 Windows의 보안 부팅에 사용해온 일부 2011년 인증서는 이미 2026년 6월부터 만료되기 시작했습니다. 그렇다고 인증서 만료 날짜가 지나는 순간 Windows가 갑자기 부팅되지 않는다는 의미는 아닙니다.
핵심은 앞으로 제공될 새로운 부팅 단계 보안 업데이트를 계속 받을 수 있느냐입니다.
2011년 인증서가 그대로 남아 있고 새로운 2023 인증서로 전환되지 않은 PC는 일반적인 Windows 업데이트를 계속 받을 수 있지만, 향후 Windows Boot Manager나 Secure Boot 데이터베이스, 취약한 부트로더 차단 목록과 같은 초기 부팅 보안 업데이트를 제대로 받지 못할 수 있습니다.
따라서 2026년에는 단순히 Secure Boot가 ‘켜짐’인지 확인하는 것보다 내 PC의 Secure Boot 신뢰 체계가 2023 인증서로 업데이트됐는지를 확인하는 것이 더 중요합니다.
Table of Contents
2026년에 어떤 Secure Boot 인증서가 만료될까?
Microsoft가 공개한 주요 인증서 일정부터 정리하면 다음과 같습니다.
| 기존 인증서 | 만료일 | 새로운 인증서 | 주요 역할 |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 2026년 6월 24일 | Microsoft Corporation KEK 2K CA 2023 | DB·DBX 업데이트 승인 |
| Microsoft UEFI CA 2011 | 2026년 6월 27일 | Microsoft UEFI CA 2023 | 타사 부트로더·EFI 앱 서명 |
| Microsoft UEFI CA 2011 | 2026년 6월 27일 | Microsoft Option ROM UEFI CA 2023 | Option ROM 서명 |
| Microsoft Windows Production PCA 2011 | 2026년 10월 19일 | Windows UEFI CA 2023 | Windows 부트로더 서명 |
2026년 8월 기준으로 보면 KEK CA 2011과 UEFI CA 2011의 만료일은 이미 지났습니다.
반면 Windows 부트로더 서명에 사용되는 Microsoft Windows Production PCA 2011은 2026년 10월 19일 만료 예정입니다.
Microsoft는 일반 소비자 PC와 일부 비관리형 업무용 PC에는 새로운 2023 인증서를 Windows Update를 통해 순차적으로 배포하고 있습니다.
Microsoft 공식 Windows Secure Boot 인증서 만료 안내
Secure Boot 인증서가 왜 필요한가?
Secure Boot는 단순히 BIOS에서 켜고 끄는 옵션이 아닙니다.
PC 전원을 켠 뒤 Windows가 시작되기 전부터 실행되는 프로그램이 신뢰할 수 있는 코드인지 디지털 서명을 검사하는 UEFI 보안 구조입니다.
쉽게 표현하면 운영체제가 실행되기 전에 통과해야 하는 보안 검문소에 가깝습니다.
이 과정에는 PK, KEK, DB, DBX라는 여러 구성 요소가 사용됩니다.
| 구성 요소 | 의미 | 역할 |
|---|---|---|
| PK | Platform Key | 플랫폼의 최상위 신뢰 관계 관리 |
| KEK | Key Enrollment Key | DB와 DBX 변경 권한 관리 |
| DB | Allowed Signature Database | 실행을 허용할 인증서·서명·해시 저장 |
| DBX | Disallowed Signature Database | 실행을 차단할 취약하거나 폐기된 서명 저장 |
| CA | Certificate Authority | 부트로더와 EFI 구성 요소의 신뢰성 검증에 사용 |
특히 DB와 DBX의 차이를 이해하면 Secure Boot 구조가 훨씬 쉬워집니다.
DB는 ‘실행을 허용할 대상’을 관리하고, DBX는 반대로 취약하거나 신뢰할 수 없어 실행을 차단해야 하는 대상을 관리합니다.
새로운 부트킷이나 취약한 부트로더가 발견되면 Microsoft는 DBX를 업데이트해 해당 구성 요소가 Windows 시작 전에 실행되는 것을 차단할 수 있습니다.
Microsoft의 Secure Boot 키 관리 문서에서도 DB에는 신뢰할 수 있는 펌웨어 구성 요소와 OS 로더의 키·인증서가 들어가며, DBX에는 취약하거나 악성으로 판단된 구성 요소의 해시와 인증서 등이 포함된다고 설명합니다.
Microsoft Secure Boot 키·PKI 구조 공식 문서
왜 2011 인증서를 2023 인증서로 바꾸는 것일까?
Secure Boot 인증서는 한 번 만들어 놓고 영구적으로 사용하는 것이 아닙니다.
인증서에는 유효기간이 있으며, 오래된 인증서는 새로운 보안 정책과 서명 체계에 맞춰 교체해야 합니다.
이번 전환의 핵심은 단순히 숫자가 2011 → 2023으로 바뀌는 것이 아닙니다.
앞으로도 Windows Boot Manager와 Secure Boot DB·DBX 같은 부팅 단계의 보안 구성 요소를 계속 업데이트할 수 있도록 신뢰 체계를 갱신하는 과정입니다.
또한 기존 Microsoft UEFI CA 2011이 담당하던 역할 일부는 새로운 체계에서 분리됩니다.
타사 부트로더용 인증서와 Option ROM용 인증서를 구분하면 시스템이 무엇을 신뢰할 것인지 이전보다 세밀하게 관리할 수 있습니다.
이 부분은 일반적인 Windows 업데이트와 Secure Boot 인증서 업데이트가 다른 이유이기도 합니다.
인증서가 만료됐는데 왜 Windows는 계속 부팅될까?
이 부분에서 가장 많이 오해할 수 있습니다.
인증서 만료 = 즉시 부팅 불가
는 아닙니다.
Microsoft는 새 2023 인증서를 아직 적용받지 못한 PC도 계속 부팅되고 일반적인 Windows 업데이트 역시 설치될 수 있다고 설명하고 있습니다.
문제는 그 이후입니다.
오래된 Secure Boot 신뢰 체계를 그대로 사용하는 PC는 앞으로 새롭게 발견되는 부팅 단계 취약점에 대응하기 위한 다음과 같은 보호를 받지 못할 수 있습니다.
- Windows Boot Manager 관련 보안 업데이트
- Secure Boot DB 업데이트
- DBX 해지 목록 업데이트
- 새롭게 발견된 부팅 수준 취약점 완화
- Secure Boot 신뢰 체계가 필요한 일부 보안 기능 강화
즉 오늘 당장 PC가 고장 나는 문제가 아니라 앞으로 보안 격차가 벌어질 수 있는 문제입니다.
Windows 10을 계속 사용하고 있다면 운영체제 지원 정책도 별도로 확인할 필요가 있습니다.
윈도우10 아직 사용해도 될까? 보안 업데이트 2027년까지 받는 방법
내 PC가 2023 Secure Boot 인증서로 업데이트됐는지 확인하는 방법
2026년에는 일반 사용자도 Windows 보안 앱에서 Secure Boot 인증서 업데이트 상태를 확인할 수 있습니다.
다음 경로로 이동합니다.
Windows 보안 → 장치 보안 → 보안 부팅
2026년 4월부터 Microsoft는 이 화면에 Secure Boot 인증서 상태 정보를 단계적으로 추가했습니다.
상태에 따라 녹색, 노란색, 빨간색 표시가 나타날 수 있습니다.
| 표시 | 의미 | 권장 대응 |
|---|---|---|
| 녹색 | 현재 보호 상태가 정상 | 세부 상태 문구까지 확인 |
| 노란색 | 추가 확인 또는 조치 권장 | Windows Update·펌웨어 확인 |
| 빨간색 | 부팅 보안 업데이트에 즉각적인 문제가 있음 | Microsoft·제조사 안내 확인 |
여기서 중요한 점이 하나 있습니다.
녹색 체크 표시만 있다고 해서 2023 인증서 업데이트가 완료됐다고 단정하면 안 됩니다.
Microsoft도 녹색 아이콘만으로 인증서 갱신 여부가 확정되는 것은 아니라고 설명합니다.
Secure Boot 화면의 세부 설명에서 필요한 인증서 업데이트가 모두 적용됐으며 추가 변경이 필요하지 않다는 상태까지 확인하는 것이 좋습니다.
Windows 보안 앱에서 Secure Boot 인증서 상태 확인하기
아직 업데이트되지 않았다고 나오면 어떻게 해야 할까?
일반 가정용 PC라면 처음부터 UEFI의 PK·KEK·DB를 직접 수정할 필요는 없습니다.
우선 다음 순서로 확인하는 것이 안전합니다.
- Windows Update에서 최신 누적 업데이트를 설치합니다.
- 업데이트 후 PC를 다시 시작합니다.
- 노트북 또는 메인보드 제조사가 제공하는 BIOS·UEFI 펌웨어 업데이트를 확인합니다.
- 다시 Windows 보안의 Secure Boot 상태를 확인합니다.
- 하드웨어 또는 펌웨어 제한 메시지가 나타나면 제조사의 지원 정보를 확인합니다.
대부분의 개인용 PC에는 Microsoft가 새로운 Secure Boot 인증서를 자동 배포합니다.
특정 PC는 하드웨어나 오래된 펌웨어 문제 때문에 자동 업데이트 대상에서 일시적으로 제외될 수도 있습니다.
이 경우 사용자가 인증서를 직접 삭제하거나 UEFI 키를 임의로 초기화하는 것보다 PC 또는 메인보드 제조사의 펌웨어 지원 여부부터 확인하는 것이 안전합니다.
UEFI의 Secure Boot 키를 직접 초기화해도 될까?
전문적인 지식 없이 진행하는 것은 권장하지 않습니다.
BIOS·UEFI 메뉴에는 제조사에 따라 다음과 같은 메뉴가 있을 수 있습니다.
- Install default Secure Boot keys
- Restore factory keys
- Reset Secure Boot keys
- Clear Secure Boot keys
- Key Management
이름만 보면 기본값으로 복원하면 간단히 해결될 것처럼 보입니다.
하지만 PK·KEK·DB·DBX는 PC의 부팅 신뢰 체계와 직접 연결됩니다.
설정을 잘못 변경하면 타사 부트로더, 특정 하드웨어, BitLocker 또는 기존 부팅 구성에 영향을 줄 수 있습니다.
따라서 Microsoft 또는 PC 제조사가 특정 모델에 대해 명확하게 안내하지 않는 이상 인증서 만료 문제만을 해결하기 위해 UEFI 키를 임의로 삭제하거나 재구성할 필요는 없습니다.
BitLocker를 사용하는 PC는 더 주의해야 한다
Secure Boot, TPM, 펌웨어, BitLocker는 서로 완전히 독립된 기능이 아닙니다.
부팅 환경이나 펌웨어 구성이 예상과 다르게 변경되면 BitLocker가 보안 상태 변화를 감지하고 복구 키 입력을 요구할 수 있습니다.
Microsoft의 Secure Boot 인증서 문제 해결 문서도 오래된 펌웨어 또는 인증서 업데이트가 제대로 적용되지 않는 환경에서 BitLocker 복구 화면, 부팅 정지 또는 부팅 실패가 발생할 가능성을 별도 위험 시나리오로 설명하고 있습니다.
따라서 BIOS·UEFI 펌웨어나 Secure Boot 키를 직접 수정해야 하는 상황이라면 작업 전에 BitLocker 복구 키의 보관 여부를 확인하는 것이 좋습니다.
관리자라면 Event ID와 상태값도 확인할 수 있다
일반 사용자는 Windows 보안 화면만 확인해도 충분합니다.
하지만 여러 대의 PC를 관리하는 환경에서는 이벤트 로그와 시스템 상태 정보를 이용해 아직 오래된 인증서를 사용하는 장치를 찾을 수 있습니다.
Microsoft가 안내하는 대표적인 확인 신호는 다음과 같습니다.
| 확인 항목 | 의미 |
|---|---|
| Event ID 1801 | Secure Boot 인증서 업데이트 상태 관련 이벤트 |
| Event ID 1795 | 인증서 업데이트 과정과 관련된 상태 확인에 활용 |
| UEFICA2023Status | 2023 UEFI CA 적용 상태 확인 |
| Windows Security 상태 | 사용자 화면에서 현재 업데이트 단계 확인 |
Microsoft는 관리 환경에서 먼저 영향을 받는 PC를 식별하고, OEM 펌웨어를 최신 상태로 만든 뒤 대표 장치를 대상으로 시험 적용 후 배포하는 방식을 권장하고 있습니다.
이런 절차가 필요한 이유는 PC 제조사와 펌웨어 버전에 따라 Secure Boot 구현이 조금씩 다를 수 있기 때문입니다.
Secure Boot가 꺼져 있으면 인증서 문제와 같은 것일까?
아닙니다.
Secure Boot 비활성화와 Secure Boot 인증서가 오래된 상태는 서로 다른 문제입니다.
Secure Boot가 꺼져 있다면 부팅 서명 검증 기능 자체가 활성화되지 않은 상태입니다.
반면 Secure Boot가 켜져 있더라도 2011 인증서를 그대로 사용하는 PC라면 새로운 부팅 보안 체계로의 전환이 아직 끝나지 않았을 수 있습니다.
따라서 2026년 이후에는 단순히 Secure Boot = On만 확인하는 방식보다 Secure Boot 상태 + 인증서 업데이트 상태를 함께 보는 것이 더 정확합니다.
2026년 Secure Boot 인증서 전환에서 기억할 핵심
이번 변화는 Windows가 갑자기 사용 불가능해지는 ‘만료 폭탄’과는 성격이 다릅니다.
오래된 인증서를 사용하는 PC도 당분간 정상적으로 부팅될 수 있고 일반적인 Windows 업데이트도 받을 수 있습니다.
하지만 Secure Boot의 역할은 Windows가 시작된 이후가 아니라 운영체제가 실행되기 전의 신뢰 체계를 보호하는 것입니다.
새로운 2023 인증서를 받지 못하면 시간이 지날수록 이 부팅 단계에 제공되는 새로운 보안 업데이트를 적용하기 어려워질 수 있습니다.
따라서 가장 현실적인 대응은 다음 세 가지입니다.
Windows Update를 최신 상태로 유지하고, PC 제조사의 펌웨어 업데이트를 확인하며, Windows 보안에서 Secure Boot 인증서 상태를 직접 확인하는 것입니다.
Windows에서 다른 시스템 기능이 정상적으로 작동하지 않는다면 아래 문제 해결 글도 함께 참고할 수 있습니다.
윈도우에서 파일은 있는데 검색이 안 될 때｜검색 인덱스 오류 원인부터 재설정까지
FAQ
2011 Secure Boot 인증서가 만료되면 PC가 바로 부팅되지 않나요?
아닙니다. 새 2023 인증서를 아직 받지 못한 PC도 계속 부팅되고 일반적인 Windows 업데이트를 받을 수 있습니다. 다만 앞으로 제공되는 일부 초기 부팅 보안 업데이트를 받을 수 없게 될 가능성이 있습니다.
Windows 11만 해당하나요?
아닙니다. Microsoft의 Secure Boot 인증서 전환은 지원되는 Windows 10·Windows 11과 일부 Windows Server 환경에도 관련됩니다. 다만 Windows 버전과 장치 관리 방식에 따라 업데이트 경로가 다를 수 있습니다.
Secure Boot가 켜져 있으면 문제없는 것 아닌가요?
반드시 그렇지는 않습니다. Secure Boot 활성화 여부와 인증서 업데이트 상태는 구분해서 확인해야 합니다.
2023 인증서를 사용자가 직접 설치해야 하나요?
일반적인 개인용 Windows PC에서는 대부분 Windows Update를 통해 자동으로 제공됩니다. 자동 업데이트가 불가능한 하드웨어나 펌웨어 상태라면 제조사 지원이 필요할 수 있습니다.
BIOS에서 Secure Boot 키를 초기화하면 더 빨리 해결되나요?
권장하지 않습니다. UEFI 키를 임의로 삭제하거나 초기화하면 부팅 구성이나 BitLocker 등에 영향을 줄 수 있으므로 공식적인 장치별 안내가 있을 때만 진행하는 것이 안전합니다.
녹색 체크 표시가 있으면 2023 인증서 업데이트가 완료된 건가요?
녹색 표시만으로 단정하지 않는 것이 좋습니다. Windows 보안의 Secure Boot 화면에서 필요한 인증서 업데이트가 모두 적용됐다는 세부 상태 설명까지 함께 확인하세요.