Secure Boot 2026: Что ждёт Linux-администраторов
Правда о сертификате Secure Boot: паника не нужна
Буду краток. Если ваши серверы на Red Hat Enterprise Linux сейчас загружаются нормально — они продолжат загружаться и после 27 июня 2026 года. Истечение срока действия сертификата не превратит вашу инфраструктуру в тыкву в полночь. Под удар попадает только одно — возможность подписывать новые загрузочные компоненты.
Почему это вообще происходит: Secure Boot — это механизм Microsoft, который проверяет криптографическую подпись загрузчиков и ядер перед стартом системы. Сертификат 2011 года верой и правдой служил годы, но у сертификатов есть срок годности. И он заканчивается.
Что реально изменится
Вот здесь важно понять разницу:
Уже доверенные компоненты продолжат работу. Истечение срока не отзывает подписи, которые были валидны на момент создания.
Новые загрузочные компоненты — вот где начинается самое интересное. Ядра, shim-загрузчики и bootloader'ы, подписанные после истечения срока, должны использовать новый ключ.
Для стабильных систем это означает: ничего не сломается в понедельник с утра. А вот если вы разворачиваете новые серверы, пересобираете системы или обновляете загрузочные компоненты — держите эту дату в голове.
Проблема с Shim
Shim — это тонкий слой между вашей прошивкой и загрузчиком ОС. Red Hat поддерживает собственный shim, и его обновление входит в список рекомендуемых практик.
Обновления shim обычно прилетают вместе с обычными обновлениями системы. Если вы не забрасывали обновления, у вас всё хорошо. А вот если у вас есть тот самый «стабильный» продакшен-сервер, который трогать боятся все — возможно, сейчас самое время запланировать окно для обслуживания.
Чек-лист действий
Не паникуйте. Серверы не перестанут загружаться сами по себе.
Обновляйте системы. Актуальные версии пакетов уже содержат всё необходимое для переходного периода.
Планируйте новые развёртывания. Если поднимаете новые инстансы RHEL после июня 2026 — убедитесь, что базовые образы и установочные носители свежие.
Тестируйте в стейджинге. Проверьте, что ваши CI/CD пайплайны работают с актуальными пакетами.
Зафиксируйте текущее состояние. Список версий shim и bootloader на каждом сервере даст вам чёткий ориентир.
Суть
Истечение сертификата звучит пугающе — вспомните тот момент паники, когда обнаруживаете просроченный SSL на продакшене. Но в данном случае последствия куда скромнее, чем можно ожидать.
Это управляемый переход, а не катастрофа. Microsoft и Red Hat работают над этим, а Linux-сообщество готовилось годами. Ваша задача проста: обновляйте системы, следите за изменениями, проверяйте процессы развёртывания.
Считайте это хорошим поводом наконец обновить тот стейджинг-сервер, до которого руки не доходили. Будущий вы и состояние безопасности скажут спасибо.
Берегите серверы.