Patch-Dienstag am 9. Juni steht bevor – Secure-Boot-Frist im Fokus

Der Microsoft Patch-Dienstag am 9. Juni steht kurz bevor und hat eine höhere Relevanz als herkömmliche monatliche Updates. Er stellt den letzten strukturierten Bereitstellungszeitraum dar, bevor die Secure-Boot-Zertifikate aus dem Jahr 2011 am 24. Juni ablaufen. Ab diesem Zeitpunkt befinden sich ungepatchte Geräte in einem eingeschränkten Secure-Boot-Zustand. 

Das Zeitfenster für den Zertifikatsablauf erstreckt sich vom 24. bis 27. Juni. Dabei läuft die Microsoft Corporation KEK CA 2011 am 24. Juni ab, gefolgt von der Microsoft UEFI CA 2011 am 27. Juni, während die Microsoft Windows Production PCA 2011 im Oktober ausläuft. Geräte, die die Ersatzzertifikate aus dem Jahr 2023 nicht vor dem 24. Juni erhalten haben, funktionieren zwar weiterhin, verlieren jedoch den Zugriff auf zukünftige Sicherheitsupdates auf Boot-Ebene. Dazu zählen Aktualisierungen des Windows Boot Managers, der Secure-Boot-Sperrlisten sowie Korrekturen neu entdeckter Sicherheitslücken in der Boot-Kette.

Warum der 9. Juni kein Routine-Update ist

Microsoft rollt die Ersatzzertifikate aus dem Jahr 2023 seit Februar 2026 über kumulative Updates aus. Der Patch-Dienstag am 12. Mai hat diese Verteilung zusätzlich beschleunigt. Organisationen, die die Bereitstellung im Mai verzögert haben, stehen nun unter erheblichem Zeitdruck. Zwischen dem 9. Juni und dem Ablaufdatum am 24. Juni liegen lediglich 15 Tage – für Teams in Unternehmen mit großen Geräteflotten ist das kein komfortables Zeitfenster.

Sicherheitsexperten haben diesen Druck deutlich hervorgehoben. Die Entscheidung, die Bereitstellung von Mai auf Juni zu verschieben, hat das verfügbare Zeitfenster um mehr als 60 Prozent verkürzt. Organisationen, die davon ausgehen, dass der 9. Juni einen regulären Bereitstellungszeitplan wiederherstellt, irren sich. Der 9. Juni ist vielmehr ein Notfalltermin für Teams, die das Mai-Fenster verpasst haben. 

Was vor und unmittelbar nach dem 9. Juni zu tun ist

Vor dem 9. Juni sollten IT-Administratoren den folgenden PowerShell-Befehl mit Administratorrechten ausführen, um den Zertifikatsstatus auf allen betroffenen Geräten zu überprüfen: Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name UEFICA2023Status

Das erwartete Ergebnis einer erfolgreichen, betriebssystemgesteuerten Migration ist „Abgeschlossen“. Wichtig: Der Status „Nicht gestartet“ stellt nicht zwangsläufig einen Fehler dar. In vielen Fällen weist er darauf hin, dass das Gerät bereits sicher ist, da der OEM die Zertifikate von 2023 bereits über ein BIOS-Update integriert hat. Kritische Warnsignale sind hingegen der Status „Fehlgeschlagen“ oder Hexadezimalcodes im zugehörigen Schlüssel `UEFICA2023Error`. Geräte, die nach der Bereitstellung am 9. Juni einen dieser Fehlerzustände aufweisen, sollten umgehend manuell überprüft und behoben werden. 

Besondere Vorsicht ist bei Umgebungen mit Windows Server 2025 sowie bestimmten BitLocker-Gruppenrichtlinienkonfigurationen geboten. Ein im April-Update 2026 aufgetretener Fehler, der die BitLocker-Wiederherstellung beim Booten betraf, wurde im Mai-Update für Windows 11 behoben, die entsprechende Korrektur für Windows Server 2025 steht jedoch noch aus. In bestimmten Konfigurationen kann das Verhalten weiterhin instabil sein. Server-2025-Umgebungen sollten daher vor einer flächendeckenden Bereitstellung des Updates vom 9. Juni zunächst eine Testphase durchlaufen. 

Das Update vom 9. Juni soll zudem Sicherheitslücken schließen, die seit dem 12. Mai identifiziert wurden, einschließlich solcher, die in der Zwischenzeit aktiv ausgenutzt wurden. Die Netlogon-Schwachstelle CVE-2026-41089, die vom Centre for Cybersecurity Belgium am 29. Mai als aktiv ausgenutzt gemeldet wurde, ist bereits im Mai-Update behoben. Systeme, auf denen diese Korrektur noch nicht installiert ist, sollten das Update vom 9. Juni mit höchster Priorität ausrollen.

Die Frist im Oktober rückt näher

Die Umstellung auf das Secure-Boot-Zertifikat vor dem 24. Juni schließt zwar das dringendste Zeitfenster ab, markiert jedoch nicht das Ende des Prozesses. Das Microsoft Windows Production PCA 2011-Zertifikat, das den Windows-Bootloader signiert, läuft im Oktober 2026 ab. Es handelt sich dabei um das strukturell bedeutendste der drei Ablaufdaten und birgt das größte langfristige Risiko für die Boot-Integrität von Systemen, die diese Frist verpassen.

Der Patch-Dienstag am 9. Juni ist für 10:00 Uhr PST (entspricht 19:00 Uhr MESZ) angesetzt.