Caduca el certificat Secure Boot de Microsoft per a Linux: Què fer

Fa pocs dies es va donar a conèixer la notícia que a finals d'aquest mes (juny del 2026), el certificat de Microsoft utilitzat per signar digitalment la capa shim de Linux arribarà a la data de caducitat. Sent aquesta la peça essencial que permet a les diferents distribucions de Linux modernes (com Fedora, Ubuntu o openSUSE) puguin arrencar en equips amb UEFI Secure Boot activat, és normal que la notícia aixequi certes alarmes, no obstant això, els desenvolupadors de Fedora han estat molt clars sobre això: no hi ha motiu per al pànic, el teu ordinador seguirà.

Per entendre per què no hi haurà una «apagada» massiva d'equips Linux, cal comprendre com funciona la cadena de confiança. Durant el procés d'encesa, el sistema UEFI no comprova si el certificat ha caducat, ja que la seva única preocupació és verificar que la signatura criptogràfica sigui vàlida i que la clau no hagi estat explícitament revocada per estar compromesa. La caducitat del certificat de 2011 simplement vol dir que Microsoft ja no podrà utilitzar-lo per signar noves versions del carregador.

La transició cap a la nova clau del 2023

Per mantenir viva la compatibilitat i assegurar que els sistemes Linux puguin instal·lar-se en maquinari modern, Microsoft va generar un nou certificat el 2023 . La transició a aquesta clau nova s'ha dissenyat per ser totalment invisible per a l'usuari.

Actualment, repositoris com Fedora Rawhide (la base per a la futura versió Fedora 45) ja inclouen un carregador shim amb signatura dual . Això significa que està certificat tant per la clau del 2011 com per la del 2023, garantint una compatibilitat tant amb ordinadors antics que no coneixen la nova clau, com amb motherboards modernes que ja la porten de fàbrica. Eventualment, les futures versions del shim se signaran exclusivament amb la clau del 2023.

Vulnerabilitats reals: El perill és al codi antic

Això realment pot impedir que un sistema arrencada no és la caducitat, sinó la revocació mitjançant la Llista de Revocació de Certificats UEFI (coneguda com a DBX). Recentment es van publicar informes de seguretat detallant dues vulnerabilitats crítiques (CVE-2026-8863 i CVE-2026-10797) que permeten a un atacant executar codi maliciós saltant-se la protecció de Secure Boot.

Afortunadament, aquestes fallades només afecten versions extremadament antigues del shim (la versió 0.9 i anteriors, creades abans del 2016). Les signatures d'aquestes capes vulnerables sí que han estat afegides a la base de dades de signatures prohibides (DBX). Si teniu un sistema molt desactualitzat (com CentOS 7.2 o RHEL 7.2) i la vostra base de dades UEFI s'actualitza, el vostre equip deixarà d'arrencar per motius de seguretat.

Què has de fer (i què NO has de fer)?

Encara que la caducitat no trencarà el teu sistema actual, els desenvolupadors recomanen encaridament que actualitzis la base de dades de claus del teu firmware per rebre la nova clau de 2023 i estar preparat per al futur. Aquí tens les ordres per revisar l'estat del teu equip:

Comprovar si utilitzes UEFI o BIOS (Legacy):

[[ -d /sys/firmware/efi ]] || echo BIOS

Verificar si Secure Boot està activat:

mokutil --sb-state

Llistar les claus públiques al microprogramari:

mokutil --db --short (Aquí hauries de veure la clau del 2011 i, si estàs actualitzat, la del 2023).

Actualitzar el teu firmware i claus automàticament:

sudo fwupdmgr update (Descarrega les actualitzacions des del Linux Vendor Firmware Service).

Verificar amb quina clau està signat el teu shim (requereix el paquet pesign):

sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi

Finalment, cal esmentar que els desenvolupadors de fedora han donat una advertència:

Si estàs interessat en poder conèixer més sobre això, pots consultar els detalls al següent enllaç.