Deadline Secure Boot Hari Ini 19 Okt 2026: Sertifikat PCA 2011 Expired, PC Lo Jadi Zombie?

BICARA SECURITY - 19 Oktober 2026 ini bukan hari kiamat PC, tapi hari dimana PC lo resmi jadi zombie kalau belum update. Sertifikat sakti Microsoft Windows Production PCA 2011 yang udah nemenin semua PC sejak era Windows 8 resmi expired hari ini.

Ini adalah deadline terakhir dari trilogi sertifikat 2011. Sebelumnya Microsoft Corporation KEK CA 2011 expired 24 Juni 2026, disusul Microsoft UEFI CA 2011 pada 27 Juni 2026. Yang hari ini, PCA 2011, adalah yang paling krusial karena dia yang tanda tanganin Windows Boot Manager.

PC Lo Masih Nyala? Masih. Tapi Jadi Zombie

Ini yang bikin banyak media luar clickbait bilang "PC MATI TOTAL". Fakta resminya beda.

Kedaluwarsa tidak serta-merta membatalkan komponen boot yang sudah dipercaya oleh firmware Anda, sehingga PC yang masih memiliki sertifikat tahun 2011 tidak akan berhenti melakukan booting. Microsoft sendiri mengonfirmasi dalam KB5083631: perangkat yang belum menerima sertifikat yang lebih baru akan tetap dapat dinyalakan dan beroperasi secara normal.

Jadi lo tetap bisa kerja, main game, dan dapat Windows Update bulanan biasa.

Yang berhenti adalah kemampuan PC lo nerima update keamanan di level paling bawah. Microsoft mengonfirmasi bahwa yang berhenti adalah kemampuan untuk menerima pembaruan keamanan tingkat boot di masa mendatang, termasuk pencabutan bootloader berbahaya yang baru ditemukan. Degradasinya bertahap, tidak langsung.

Kenapa Zombie? Karena Gak Bisa Dapat Vaksin Baru

Bayangin Secure Boot itu satpam gerbang komplek. Kunci satpam yang lama udah expired, jadi satpam tetap jaga pakai kunci lama, tapi dia gak bisa dikasih kunci baru buat kenal maling baru.

Dua ancaman nyata yang bakal lo lewatin kalau gak update:

1. Gak Dapat DBX Blocklist Baru: KEK CA 2011 yang expired 24 Juni itu tugasnya tanda tanganin update DB & DBX. Tanpa itu, Microsoft gak bisa lagi sebar daftar blokir bootloader jahat.
2. Rentan Bootkit Model BlackLotus: Kasus BlackLotus UEFI bootkit (CVE-2023-24932) ngebuktiin kalau bootloader lama yang udah ditanda tanganin bisa disalahgunakan. Microsoft butuh cabut kepercayaan itu lewat DBX. Kalau PC lo gak punya CA 2023, lo gak akan dapat cabutan itu.

Tabel milik Microsoft mencantumkan tiga rangkaian sertifikat asli yang akan kedaluwarsa pada tahun 2026: KEK CA 2011 pada tanggal 24 Juni, UEFI CA 2011 pada tanggal 27 Juni, dan Windows Production PCA 2011 pada tanggal 19 Oktober.

Penggantinya semua pakai keluarga 2023.

Timeline Lengkap Biar Gak Bingung

Ini yang bikin IT admin pusing 6 bulan terakhir:

Microsoft telah meluncurkan sertifikat pengganti tahun 2023 melalui Windows Update sejak tahun 2024. Pembaruan bulan Juni 2026 memperluas cakupan perangkat yang memenuhi syarat secara signifikan. Mereka menyebutnya sebagai kategori “keyakinan tinggi” (high confidence).

Kenapa Masih Banyak yang Ketinggalan? Ini Biang Keroknya

Dari riset kompetitor, ini 4 alasan utama PC masih pakai sertifikat 2011 sampai deadline:

1. Restart 2x yang Dikira Error: Banyak user lapor PC restart dua-tiga kali habis update. Microsoft confirmed this is expected behavior, specifically because of the Secure Boot certificate process. Satu restart buat nulis sertifikat ke firmware, restart kedua buat apply Boot Manager baru.
2. Folder C:\Windows\SecureBoot Dikira Virus: Sekitar Mei 2026, banyak yang panik lihat folder baru ini. Microsoft confirmed it is not a bug and you should not delete it. Itu folder staging buat nyimpen file sertifikat sebelum ditulis ke firmware.
3. Jebakan BitLocker Bikin Panik: Ini yang paling serem. Di KB5083631, Microsoft catat Some devices with an unrecommended BitLocker Group Policy configuration might be required to enter their BitLocker recovery key on the first restart. Kondisinya kalau BitLocker nyala + Group Policy PCR7 di-include + Secure Boot PCR7 Binding di msinfo32 tulisannya Not Possible + udah punya CA 2023 di DB tapi belum pakai Boot Manager 2023. Recovery cuma sekali, habis itu normal lagi.
4. Windows 10 Tanpa ESU & BIOS Jadul: Windows 10 yang udah end of life tetap dapat update ini TAPI cuma kalau lo daftar Extended Security Updates (ESU). If you are on Windows 10 and no longer receiving updates because you are not in the ESU program, the certificate update will not arrive. Ditambah OEM kayak HP sempat rilis BIOS faulty yang bikin loop BitLocker.

Cara Cek 30 Detik, PC Lo Aman Atau Zombie?

Cara 1 - Via Windows Security (Paling Gampang, Fitur Baru April 2026):

1. Buka Settings > Windows Security > Device Security
2. Scroll ke Secure Boot
3. Centang hijau = "all required certificate updates have been applied" = aman
4. Kuning = pending, butuh BIOS update atau tunggu giliran high confidence
5. Merah = butuh action, cek web OEM lo

Cara 2 - Via msinfo32:

Win + R > ketik msinfo32 > lihat Secure Boot State. Harusnya ON.

Cara 3 - Via PowerShell (Buat Anak IT):

Buka PowerShell Admin, paste:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
True = udah dapat sertifikat 2023 yang valid sampai 2053. False = masih pakai yang 2011.

Kalau False, yang harus lo lakuin: Nyalain Windows Update, install semua cumulative update terbaru, jangan skip restart, dan cek website OEM buat BIOS terbaru.

Dampak Buat Dual-Boot Linux & PC Rakitan?

Microsoft UEFI CA 2011 yang expired 27 Juni itu yang tanda tanganin shim Linux. Kalau distro Linux lo belum update shim yang signed pakai UEFI CA 2023, dual-boot lo bakal gagal Secure Boot. Update shim & grub lo.

Buat PC rakitan dengan Secure Boot mati di BIOS, lo gak akan dapat update otomatis sama sekali. Nyalain dulu Secure Boot-nya.

Intinya: Hari ini PC lo gak kiamat. Tapi mulai hari ini, lo hidupin PC tanpa asuransi boot-level. Masih nyala, tapi kalau ada bootkit baru bulan depan, lo gak dapat vaksinnya.