그림. 노트북과 인증서 종이 (AI로 만든 그림)
Microsoft가 2011년에 만든 윈도우 보안 부팅(Secure Boot) 인증서 세 개를 2023년판으로 바꾸고 있습니다. 그 가운데 마지막인 Windows Production PCA 2011이 2026년 10월 19일에 만료됩니다.
내 PC가 이미 바뀌었는지는 Windows 보안 앱의 문구 한 줄로 알 수 있습니다. 2026년 10월 13일, 이 글을 쓰는 노트북(삼성 갤럭시 북3 프로 360, Windows 11 Home 25H2)에서 그 순서대로 확인했습니다.
Windows 보안 앱에서 확인하는 곳
- 시작 메뉴에서 'Windows 보안'을 검색해 엽니다.
- 왼쪽에서 '장치 보안'을 누릅니다.
- 아래쪽 '보안 부팅' 칸의 문구를 읽습니다.
이 노트북에서는 이렇게 나왔습니다.
그림 1. 갤럭시 북3 프로 360의 보안 부팅 칸 (출처: 이 글을 쓴 노트북 화면, 2026-10-13 캡처)
"보안 부팅이 켜져 있고 필요한 모든 인증서 업데이트가 적용되었습니다. 더 이상 인증서를 변경할 필요가 없습니다." 이 문구가 보이면 끝입니다. 할 일은 없습니다.
주의할 점이 하나 있습니다. Microsoft 문서(KB5087130)는 녹색 확인 표시만으로는 인증서가 바뀌었는지 알 수 없다고 적었습니다. 표시가 아니라 위 문구를 읽어야 합니다. 이 칸은 2026년 4월부터 순서대로 나타나기 시작했고, 회사가 관리하는 PC에서는 기본으로 꺼져 있습니다.
다른 문구가 보이면 할 일
Microsoft는 이 칸에 나올 수 있는 문구를 여섯 가지로 나눠 할 일을 적어 두었습니다. 집에서 쓰는 PC에서 볼 만한 넷은 아래와 같습니다.
그림 2. 보안 부팅 칸 문구별 할 일 (Microsoft KB5087130을 바탕으로 AI로 만든 그림)
'이전 부팅 신뢰 구성을 사용하고 있습니다'가 보이면 설정 > Windows 업데이트에서 밀린 업데이트를 모두 설치합니다. 다시 시작하라는 안내가 뜨면 다시 시작합니다. 업데이트를 일시 중지해 두었다면 풉니다. Microsoft는 이 교체를 매달 업데이트 때마다 대상 기기를 넓혀 가며 진행하고 있고, 일부 기기는 인증서 업데이트 뒤 한 번 더 재시작할 수 있다고 2026년 9월 공지에 적었습니다.
'하드웨어 또는 펌웨어 제한으로 자동 업데이트를 지원하지 않는다'는 문구는 Windows가 혼자 바꿀 수 없는 기기라는 뜻입니다. PC 제조사 지원 페이지에서 보안 부팅 관련 BIOS(펌웨어) 업데이트를 찾아야 합니다. Microsoft는 이런 펌웨어 업데이트가 제조사의 지원 기간 안에 있는 기기에만 나온다고 적었습니다.
'알려진 문제로 일시 중지'는 기다리면 됩니다. 손댈 것이 없습니다. 문제가 풀리면 업데이트가 자동으로 다시 시작됩니다.
어느 문구가 나와도 보안 부팅을 끄지 않습니다. Microsoft가 인증서 만료 문제를 피하려고 보안 부팅을 꺼서는 안 된다고 따로 적어 둔 부분입니다. 끄면 이미 알려진 공격에 대한 보호도 함께 사라집니다.
만료일이 지나면 PC가 안 켜지나요
켜집니다. 일반 업데이트도 계속 받습니다. Microsoft는 2026년 2월 문서(KB5079373)에서 새 인증서를 받지 못한 기기도 정상적으로 시작되고, 일반 Windows 업데이트도 계속 설치된다고 밝혔습니다. 앱, 인터넷, 검색도 그대로입니다.
받지 못하는 것은 부팅 단계의 보안 수정입니다. Windows 부팅 관리자 업데이트, 차단 목록 갱신, 새로 발견된 부팅 단계 취약점 수정이 여기에 들어갑니다. 2026년 6월 문서(KB5105943)는 이 상태를 즉각적인 위험이 아니라, 시간이 지나며 보안이 점점 줄어드는 것으로 설명합니다.
10월 19일이 지나도 새 인증서는 받을 수 있습니다. Microsoft FAQ는 인증서가 이미 만료된 뒤에도 누적 업데이트로 새 인증서를 적용할 수 있다고 적었습니다. 날짜에 쫓겨 출처를 모르는 '인증서 수동 업데이트' 파일을 받을 이유는 없습니다.
만료되는 인증서 셋은 Microsoft 문서(KB5062710, 2026년 5월 18일 개정)에 이렇게 적혀 있습니다.
| 만료되는 인증서 | 만료일 | 새 인증서 | 하는 일 |
|---|---|---|---|
| KEK CA 2011 | 2026년 6월 24일 | KEK 2K CA 2023 | 허용·차단 목록을 고칠 권한 |
| UEFI CA 2011 | 2026년 6월 27일 | UEFI CA 2023 · Option ROM UEFI CA 2023 | 다른 회사 부팅 프로그램 확인 |
| Windows Production PCA 2011 | 2026년 10월 19일 | Windows UEFI CA 2023 | Windows 부팅 관리자 확인 |
보안 부팅은 PC를 켰을 때 Windows보다 먼저 도는 펌웨어(UEFI)가, 다음에 실행할 부팅 프로그램에 믿을 수 있는 서명이 있는지 확인하는 기능입니다. 위 인증서가 그 서명을 확인하는 기준이고, 펌웨어 안의 허용 목록(DB)과 차단 목록(DBX)에 들어 있습니다.
갤럭시 북3에서 확인한 결과
레지스트리, 시스템 로그, 시스템 정보의 값도 앱 문구와 같았습니다.
그림 3. 이 노트북에서 읽은 값 (2026-10-13 직접 확인한 값을 바탕으로 AI로 만든 그림)
명령어 없이 볼 수 있는 곳은 '시스템 정보'입니다. Windows 키와 R을 함께 누르고 msinfo32를 입력하면 열립니다.
그림 4. 시스템 정보의 BIOS·보안 부팅 줄 (출처: 이 글을 쓴 노트북 화면, 2026-10-13 캡처)
'보안 부팅 상태'가 '설정'이면 켜져 있는 것입니다. 눈여겨볼 곳은 BIOS 줄입니다. 날짜가 2024년 4월입니다. BIOS를 한 번도 바꾸지 않았는데 인증서 교체는 끝나 있었습니다. Windows 업데이트가 펌웨어 안의 목록을 직접 고친 것입니다. 이 노트북에 최근 깔린 보안 업데이트는 9월 15일자 KB5129195였습니다.
삼성전자 공지(2026년 5월 6일, 고객서비스 알림 No.63)도 같은 내용입니다. 갤럭시 북4 이후 제품에는 새 인증서가 처음부터 들어 있고, 갤럭시 북3를 포함한 이전 제품은 Windows 업데이트로 자동 적용되어 별도 조치가 필요 없다고 적었습니다.
같은 공지에는 드문 경우의 복구 방법도 있습니다. 'Secure Boot Violation' 화면이 뜨며 부팅이 안 될 때 BIOS(F2)에서 Secure Boot Control을 끄고, BitLocker 복구 화면이 나오면 48자리 복구 키를 넣으라는 안내입니다. 부팅이 막혔을 때만 쓰는 절차입니다. Microsoft 가정용 안내도 새 인증서를 받은 뒤 드물게 BitLocker 복구 화면이 뜰 수 있다고 적었으니, 복구 키가 어디 저장돼 있는지 미리 알아 두는 편이 안전합니다.
명령어로 확인하는 법
앱 문구로 충분하지만, 값으로 보고 싶다면 PowerShell을 씁니다. 처음에는 보안 부팅이 켜졌는지 묻는 기본 명령을 넣었습니다.
Confirm-SecureBootUEFI일반 권한으로 연 PowerShell에서는 이렇게 막혔습니다.
Unable to set proper privileges.
Access was denied.이 명령은 펌웨어 값을 직접 읽어서 관리자 권한이 필요합니다. 게다가 켜졌는지만 알려 주고 인증서가 바뀌었는지는 말해 주지 않습니다. 그래서 Microsoft 문서(KB5068202)가 안내하는 레지스트리 값을 읽었습니다. 이것은 일반 권한으로 됐습니다.
$k = "HKLM:\SYSTEM\CurrentControlSet" +
"\Control\SecureBoot\Servicing"
Get-ItemProperty $k |
Select-Object UEFICA2023StatusUEFICA2023Status : Updated값은 처음에 NotStarted였다가, 교체가 시작되면 InProgress, 새 키와 새 부팅 관리자가 모두 들어가면 Updated가 됩니다. 한국어 문서에는 '업데이트됨'으로 번역돼 있지만 실제로 찍히는 글자는 영어 Updated입니다.
언제 바뀌었는지는 시스템 로그에 남습니다(Microsoft KB5016061).
Get-WinEvent -FilterHashtable @{
LogName = 'System'
Id = 1801, 1808
} -MaxEvents 10 |
Select-Object TimeCreated, Id이 노트북에서는 1808이 9월 16일부터 10월 10일 사이에 다섯 번 나왔고, 1801은 없었습니다. 1808은 필요한 인증서가 모두 펌웨어에 들어가고 부팅 관리자가 새 서명판으로 바뀌었을 때 남는 이벤트입니다. 교체가 끝났다는 뜻입니다. 다만 이 노트북의 로그는 9월 16일 것부터만 남아 있어 처음 바뀐 날짜는 알 수 없었습니다.
1801이 보이면 Windows가 새 인증서를 받아 두었지만 아직 펌웨어에 적용하지 못한 상태입니다. 업데이트와 다시 시작을 한 번 더 하고 며칠 뒤 다시 봅니다. 1795는 펌웨어가 목록 갱신 중 오류를 돌려줬을 때 남습니다. 이때는 PC 제조사에 펌웨어 업데이트를 문의합니다.
Windows 10 PC와 '2027년 만료' 보도
Windows 10은 2025년 10월 14일에 지원이 끝났습니다. 그 뒤의 보안 업데이트는 보안 부팅 인증서까지 포함해 확장 보안 업데이트(ESU)에 등록한 PC만 받습니다. 소비자용 ESU 등록 기한은 2027년 10월 12일입니다. ESU 없이 쓰는 Windows 10에서는 보안 부팅 칸의 문구가 바뀌기를 기다려도 바뀌지 않습니다.
10월 11일과 12일에는 'MS 인증서가 2027년에 만료돼 일부 PC가 업데이트를 못 받는다'는 보도가 나왔습니다. 원문인 Microsoft Windows IT Pro 블로그(2026년 10월 8일)는 보안 부팅 이야기가 아닙니다. PC가 Windows 업데이트 서버에 접속할 때 진짜 Microsoft 서버인지 확인하는 인증서이고, 만료일은 2027년 5월 17일과 6월 19일입니다.
그림 5. 두 인증서 비교 (Microsoft KB5062710, Windows IT Pro 블로그 2026-10-08을 바탕으로 AI로 만든 그림)
업데이트 연결 인증서를 놓치면 Windows 업데이트에서 모든 종류의 업데이트를 받지 못합니다. 대신 조건은 단순합니다. Windows 11 25H2 이상은 할 일이 없습니다. 24H2는 2025년 9월 보안 업데이트 이상을, 그 밖에 지원 중인 Windows 11과 10은 2026년 7월 보안 업데이트 이상을 2027년 6월 19일 전에 설치해 두면 됩니다.
2026년 10월 13일, 이 노트북에서 확인한 것
| 항목 | 결과 |
|---|---|
| 기기 | 삼성 갤럭시 북3 프로 360, Windows 11 Home 25H2(빌드 26200.9457) |
| Windows 보안 앱 | "필요한 모든 인증서 업데이트가 적용되었습니다" |
| Confirm-SecureBootUEFI | 일반 권한에서 Access was denied |
| UEFICA2023Status | Updated(관리자 권한 없이 읽힘) |
| 시스템 로그 | 1808 다섯 번(9월 16일부터 10월 10일 사이), 1801 없음 |
| BIOS | P07ALN.260.240415.SH(2024년 4월판), 보안 부팅 상태 '설정' |
결과는 이 노트북 한 대의 것입니다. 같은 모델이라도 업데이트 시점에 따라 문구가 다를 수 있으니 내 PC는 Windows 보안 앱에서 직접 확인하시기 바랍니다.
참고 자료
- Microsoft 지원 KB5062710 「Windows 보안 부팅 인증서 만료 및 CA 업데이트」(2025-06-26 게시, 2026-05-18 개정) — support.microsoft.com
- Microsoft 지원 KB5079373 「Windows 디바이스에서 보안 부팅 인증서가 만료되는 경우」(2026-02-10) — support.microsoft.com
- Microsoft 지원 KB5062711 「가정 사용자, 기업 및 학교를 위한 Windows 장치로 Microsoft 관리 업데이트 제공」(2026-01-12 개정) — support.microsoft.com
- Microsoft 지원 KB5087130 「Windows 보안 앱의 보안 부팅 인증서 업데이트 상태」(2026-04-02) — support.microsoft.com
- Microsoft 지원 KB5068202 「보안 부팅을 위한 레지스트리 키 업데이트」(2026-03-20 개정) — support.microsoft.com
- Microsoft 지원 KB5016061 「Secure Boot DB and DBX variable update events」(2026-06-02 개정) — support.microsoft.com
- Microsoft 지원 KB5105943 「보안 부팅 인증서의 업데이트가 불가능한 경우」(2026-06-29) — support.microsoft.com
- Microsoft 지원 KB5068008 「Frequently asked questions about the Secure Boot update process」(2026-02-23 개정) — support.microsoft.com
- Windows IT Pro Blog 「Prepare for Windows Update certificate rotation in 2027」(2026-10-08) — techcommunity.microsoft.com
- Microsoft Windows 10 확장 보안 업데이트(ESU) 안내 — microsoft.com
- 삼성전자 고객서비스 알림 No.63 「Microsoft 보안 부팅 인증서 업데이트 공지(2011년 서명 버전)」(2026-05-06) — samsung.com