Secure Boot en riesgo: qué deben hacer usuarios de Windows y Linux antes del 24 de junio

Millones de equipos con Windows y Linux se acercan a una fecha importante para la seguridad del arranque: el 24 de junio de 2026. Ese día empieza a expirar uno de los certificados históricos usados por Secure Boot, la tecnología UEFI que ayuda a verificar que el sistema cargue componentes confiables durante el inicio.

Aunque algunos titulares han presentado el tema como si las computadoras fueran a dejar de funcionar de inmediato, la realidad es más precisa: el problema principal no es que todos los equipos dejen de arrancar ese día, sino que los dispositivos que no actualicen sus certificados pueden entrar progresivamente en un estado de seguridad degradado, con problemas futuros para recibir actualizaciones de arranque, instalar sistemas operativos modernos o mantener una cadena de confianza actualizada.

1. ¿Qué está pasando con Secure Boot?

Secure Boot es una función de seguridad integrada en el firmware UEFI de muchos equipos modernos. Su objetivo es comprobar que los componentes que se cargan durante el arranque, como firmware, cargadores de arranque y otros elementos críticos, estén firmados por entidades confiables.

Desde hace años, gran parte del ecosistema de PC ha dependido de certificados de Microsoft emitidos en 2011. Estos certificados forman parte de la cadena de confianza usada por Windows y también por muchas distribuciones Linux que necesitan arrancar en equipos con Secure Boot activado.

El problema es que esos certificados tienen fecha de expiración. El certificado Microsoft Corporation KEK CA 2011, usado para autorizar actualizaciones de bases de datos de Secure Boot, expira el 24 de junio de 2026. Otro certificado relevante, usado para firmar cargadores de arranque de terceros como el shim de Linux, expira días después. Por eso, los fabricantes, Microsoft, distribuciones Linux y administradores de sistemas deben migrar hacia los certificados nuevos de 2023.

2. ¿Qué es Secure Boot y por qué importa?

Secure Boot ayuda a proteger el proceso de arranque contra software no autorizado. Esto es importante porque existen amenazas capaces de intentar cargarse antes del sistema operativo, en una etapa donde antivirus, EDR o herramientas de seguridad todavía no están activas.

En términos simples, Secure Boot funciona como una cadena de confianza: el firmware verifica que el siguiente componente del arranque esté firmado correctamente. Si algo no coincide con las claves confiables almacenadas en el firmware, el sistema puede bloquear la carga de ese componente.

3. ¿Tu PC dejará de arrancar el 24 de junio?

En la mayoría de casos, no. Los equipos que ya arrancan hoy con certificados existentes no deberían apagarse o dejar de funcionar automáticamente al llegar la fecha. La expiración no significa que todos los sistemas se bloqueen de un día para otro.

El riesgo real es más progresivo: si el firmware no recibe los nuevos certificados, el equipo podría tener problemas en el futuro para aceptar cargadores de arranque nuevos, instalar ciertas versiones de Windows o Linux, recibir actualizaciones de seguridad relacionadas con el arranque o mantener una cadena de confianza actualizada.

4. ¿A quién afecta esta fecha límite?

El cambio puede afectar a cualquier equipo que use Secure Boot y dependa de certificados antiguos. Esto incluye PCs con Windows, equipos con Linux, servidores, estaciones de trabajo, máquinas virtuales con arranque seguro, entornos de laboratorio, dispositivos industriales y equipos con arranque dual.

5. Qué deben hacer los usuarios de Windows

En Windows, la recomendación principal es mantener el sistema actualizado y revisar la sección de seguridad del dispositivo. Microsoft ha incorporado información adicional en la aplicación de Seguridad de Windows para mostrar el estado de actualización de certificados de Secure Boot.

Ruta sugerida en Windows:

1. Abrir Configuración.
2. Ir a Windows Update.
3. Instalar todas las actualizaciones pendientes.
4. Abrir Seguridad de Windows.
5. Ir a Seguridad del dispositivo.
6. Revisar el estado de Secure Boot.
7. Consultar la web del fabricante para actualizar BIOS/UEFI.

6. Qué deben hacer los usuarios de Linux

En Linux, la situación depende de la distribución, del firmware del equipo y de cómo se gestione Secure Boot. Muchas distribuciones usan un componente llamado shim, firmado para permitir que Linux arranque en sistemas con Secure Boot activado.

La recomendación general es mantener la distribución actualizada, actualizar shim/grub/kernel, revisar actualizaciones de firmware mediante fwupd y verificar si el fabricante ya publicó soporte para los certificados nuevos.

# En distribuciones con fwupd
sudo fwupdmgr refresh
sudo fwupdmgr get-updates
sudo fwupdmgr update

# En Debian/Ubuntu
sudo apt update
sudo apt upgrade

# En Fedora/RHEL/Rocky/AlmaLinux
sudo dnf update

7. Qué deben hacer quienes usan Windows y Linux en arranque dual

En equipos con arranque dual, Secure Boot no pertenece a Windows ni a Linux, sino al firmware UEFI del equipo. Esto significa que ambos sistemas dependen de la misma base de confianza almacenada en el firmware.

Si actualizas certificados desde Windows Update o mediante firmware del fabricante, el cambio puede beneficiar también al arranque de Linux, siempre que la distribución tenga componentes compatibles. Aun así, conviene probar ambos sistemas después de actualizar.

8. Qué deben hacer las empresas

Para empresas, el tema no debe tratarse como una simple actualización individual. Debe gestionarse como un cambio de seguridad en firmware, especialmente si existen cientos de equipos, servidores, estaciones críticas, sistemas industriales o entornos regulados.

9. Qué pasa con servidores y máquinas virtuales

Los servidores físicos, hipervisores y máquinas virtuales con Secure Boot también deben revisarse. En nubes públicas, plataformas como Google Cloud ya han publicado guías para instancias Shielded VM que dependen de certificados Secure Boot actualizados.

En entornos empresariales, el riesgo no está solo en el sistema operativo, sino en la continuidad. Un servidor que no arranca después de una actualización mal probada puede causar interrupción de servicios críticos.

10. ¿Conviene desactivar Secure Boot?

Desactivar Secure Boot puede permitir que un equipo arranque si existe un problema de compatibilidad, pero no debe ser la solución principal. Al desactivarlo, pierdes una capa de verificación durante el arranque y aumentas el riesgo frente a amenazas de bajo nivel.

La mejor práctica es actualizar certificados, firmware, sistema operativo y cargadores de arranque. Solo se debería desactivar Secure Boot temporalmente para diagnóstico, laboratorio o escenarios específicos, y siempre documentando el cambio.

11. Señales de que debes revisar tu equipo cuanto antes

12. Checklist rápido antes del 24 de junio

Artículos que recomendamos

Conclusión

La fecha del 24 de junio de 2026 marca un punto importante en la transición de Secure Boot desde certificados antiguos de 2011 hacia certificados nuevos de 2023. No significa que todos los equipos con Windows y Linux vayan a fallar de inmediato, pero sí representa una advertencia clara: los sistemas deben actualizarse para mantener una cadena de arranque confiable.

Los usuarios de Windows deben mantener Windows Update activo, revisar la app de Seguridad de Windows y aplicar firmware del fabricante cuando esté disponible. Los usuarios de Linux deben actualizar su distribución, shim, grub, kernel y revisar firmware con fwupd. Quienes usan arranque dual deben probar ambos sistemas después de cualquier cambio.

Para empresas, el camino correcto es inventariar equipos, probar en piloto, actualizar por fases, documentar resultados y evitar soluciones improvisadas como desactivar Secure Boot masivamente. La seguridad del arranque es una capa crítica: no debe descuidarse.