Há alguns dias, foi noticiado que, no final deste mês (junho de 2026), o certificado da Microsoft usado para assinar digitalmente a camada shim do Linux expirará. Como esse é o componente essencial que permite que distribuições Linux modernas (como Fedora, Ubuntu e openSUSE) inicializem em sistemas com UEFI Secure Boot ativado, é compreensÃvel que a notÃcia tenha gerado algumas preocupações. No entanto, os desenvolvedores do Fedora foram muito claros sobre o assunto: não há motivo para pânico; seu computador continuará inicializando normalmente.
Para entender por que não haverá um desligamento massivo do Linux, é necessário compreender como funciona a cadeia de confiança. Durante o processo de inicialização, o sistema UEFI não verifica se o certificado expirou, pois sua única preocupação é verificar se a assinatura criptográfica é válida e se a chave não foi explicitamente revogada devido a comprometimento. A expiração do certificado de 2011 significa simplesmente que a Microsoft não poderá mais usá-lo para assinar novas versões do carregador de inicialização.
A transição para a nova chave de 2023
Para manter a compatibilidade e garantir que os sistemas Linux possam ser instalados em hardware moderno, a Microsoft gerou um novo certificado em 2023. A transição para essa nova chave foi projetada para ser completamente invisÃvel para o usuário.
Atualmente, repositórios como o Fedora Rawhide (base para o futuro Fedora 45) já incluem um gerenciador de inicialização shim com dupla assinatura . Isso significa que ele é certificado pelas chaves de 2011 e 2023, garantindo compatibilidade tanto com computadores mais antigos que não reconhecem a nova chave quanto com placas-mãe modernas que já a possuem pré-instalada. Eventualmente, as versões futuras do shim serão assinadas exclusivamente com a chave de 2023.
Vulnerabilidades reais: o perigo reside no código antigo.
O que realmente impede a inicialização de um sistema não é o vencimento do certificado, mas sim a revogação por meio da Lista de Revogação de Certificados UEFI (conhecida como DBX). Relatórios de segurança publicados recentemente detalham duas vulnerabilidades crÃticas (CVE-2026-8863 e CVE-2026-10797) que permitem a um invasor executar código malicioso, burlando a proteção de Inicialização Segura.
Felizmente, essas vulnerabilidades afetam apenas versões extremamente antigas do shim (versão 0.9 e anteriores, criadas antes de 2016). As assinaturas dessas camadas vulneráveis ​​foram adicionadas ao banco de dados de assinaturas proibidas (DBX). Se você tiver um sistema muito desatualizado (como CentOS 7.2 ou RHEL 7.2) e seu banco de dados UEFI estiver atualizado, seu computador não inicializará por motivos de segurança.
O que você deve fazer (e o que você NÃO deve fazer)?
Embora a expiração não vá afetar seu sistema atual, os desenvolvedores recomendam fortemente que você atualize o banco de dados de chaves do firmware para receber a nova chave de 2023 e garantir a compatibilidade futura. Aqui estão os comandos para verificar o status do seu dispositivo:
Verifique se você está usando UEFI ou BIOS (Legado):
[[ -d /sys/firmware/efi ]] || echo BIOS
Verifique se a Inicialização Segura está ativada:
mokutil --sb-state
Liste as chaves públicas no firmware:
mokutil --db --short (Aqui você deverá ver a chave de 2011 e, se estiver atualizado, a chave de 2023).
Atualize seu firmware e suas chaves automaticamente:
sudo fwupdmgr update (Baixe as atualizações do Serviço de Firmware do Fornecedor Linux).
Verifique com qual chave seu shim está assinado (requer o pacote pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Por fim, vale mencionar que os desenvolvedores do Fedora emitiram um aviso:
Se tiver interesse em saber mais, você pode encontrar os detalhes no seguinte link.