Durante las últimas semanas, una ola de incertidumbre sacudió a los usuarios de Windows 10 y Windows 11 al enterarse de que los certificados de seguridad que protegen el encendido de sus computadoras estaban a punto de caducar. Sin embargo, antes de pensar que nuestros equipos se van a convertir en pisapapeles de la noche a la mañana, es crucial analizar la situación con frialdad. Microsoft ha tenido que salir a poner paños fríos mediante las notas oficiales de su actualización KB5101650 de julio, confirmando que la transición hacia las nuevas firmas digitales será gradual y, lo más importante, completamente invisible para la operatividad diaria.
–El fantasma de 2011 y la verdadera amenaza de los bootkits
Para entender la magnitud de esta actualización, hay que mirar hacia el firmware UEFI de nuestras placas base. El Arranque Seguro es esa barrera de contención vital que verifica la firma digital de cada componente antes de que el núcleo de Windows se cargue en la memoria, bloqueando de cuajo cualquier intento de ejecución de rootkits maliciosos. El problema radica en que los certificados criptográficos que sostienen este blindaje fueron emitidos en el año 2011. Llevan quince años operativos desde la era de Windows 8, un ciclo de vida que, en términos de ciberseguridad, es una auténtica eternidad.
El riesgo de no actualizar no es que la PC deje de encender, sino que quede anclada a una tecnología criptográfica obsoleta. Un equipo que se quede atascado con la clave original de 2011 (KEK) solo podrá recibir listas de revocación firmadas con esa misma llave. Teniendo en cuenta que Microsoft perdió la capacidad de firmar bajo ese estándar el pasado 24 de junio, los equipos desactualizados quedarían expuestos a vulnerabilidades de día cero.
David Weston, vicepresidente de Seguridad de Sistemas Operativos en Microsoft, resumió la urgencia de esta migración al explicar la evolución de los ataques a bajo nivel:
«La criptografía tiene una fecha de caducidad natural frente al avance de la potencia de cómputo. No podemos seguir defendiendo los sistemas modernos con los escudos de hace más de una década. Bootkits avanzados como BlackLotus nos demostraron en 2023 que los atacantes ya son capaces de saltarse el Arranque Seguro si no modernizamos nuestros estándares de revocación en la capa más profunda del hardware.»
-¿Cómo auditar el estado de tu firmware?
Consciente de la ansiedad que generan estos procesos en la comunidad de usuarios, Microsoft implementó desde abril de 2026 una herramienta de diagnóstico visual directamente integrada en el sistema. Ya no hace falta navegar por consolas de comandos oscuras para saber si nuestra máquina está en riesgo. Accediendo a la aplicación de Seguridad de Windows, específicamente en el apartado de Seguridad del dispositivo, los usuarios ahora se encuentran con un indicador del estado del Arranque Seguro que funciona bajo un código de colores sumamente intuitivo.
Si al entrar a la configuración el sistema te devuelve un icono verde, significa que la transición fue un éxito y los certificados de 2023 ya están operando en tu placa base. Por el contrario, un aviso en color amarillo actúa como un compás de espera; le indica al usuario que Windows Update todavía está recolectando telemetría sobre la compatibilidad del firmware y que el parche se aplicará en futuras actualizaciones. El único escenario que requiere intervención manual es la alerta roja, la cual acusa una incompatibilidad crítica a nivel de hardware. En este último caso, la solución no pasa por Windows, sino por descargar e instalar la última actualización de la BIOS proporcionada directamente por el fabricante de la computadora.
–Un despliegue silencioso para evitar el colapso
El mensaje que busca transmitir el gigante tecnológico es de absoluta tranquilidad. La falta de recepción inmediata de estas nuevas firmas no implica un corte de servicio, ni pantallazos azules, ni bloqueos de arranque. Los ordenadores que aún dependan de los certificados antiguos continuarán encendiendo, trabajando y recibiendo parches de software con total normalidad.
La estrategia de distribución continuará su curso a través de Windows Update durante los próximos meses, inyectando las nuevas llaves criptográficas únicamente cuando el sistema tenga la certeza absoluta de que el hardware del usuario es cien por ciento compatible con la transición. Para la inmensa mayoría, la única tarea pendiente es mantener el equipo conectado a la red, dejar las actualizaciones automáticas habilitadas y permitir que la ingeniería de sistemas haga su trabajo en segundo plano.