Il problema: i certificati che fanno funzionare Windows Update stanno scadendo

Microsoft ha inviato agli amministratori IT un avviso che vale la pena segnare subito in calendario: i certificati usati per stabilire la connessione attendibile tra i dispositivi Windows e l’infrastruttura di Windows Update scadranno il 17 maggio 2027 e il 19 giugno 2027. Senza i certificati sostitutivi installati prima di quelle date, un dispositivo può semplicemente smettere di validare il servizio Windows Update e quindi di ricevere aggiornamenti, incluse le patch di sicurezza.

Diciotto mesi possono sembrare tanti, ma per chi gestisce parchi macchine eterogenei — tra workstation aggiornate automaticamente, server legacy e sistemi che non vedono un reboot pianificato da mesi — è il tipo di scadenza che va pianificata ora, non a febbraio 2027.

Perché serve una rotazione dei certificati

Windows Update si basa su una catena di trust TLS/PKI standard: il dispositivo client verifica che l’infrastruttura di distribuzione degli aggiornamenti sia davvero quella di Microsoft prima di scaricare ed eseguire codice con privilegi elevati. I certificati coinvolti hanno una scadenza naturale, come qualsiasi certificato X.509, e devono essere rinnovati periodicamente. Microsoft ha già iniziato a distribuire i certificati sostitutivi attraverso i normali aggiornamenti di sicurezza mensili: i dispositivi che installano regolarmente le patch li hanno già, o li riceveranno automaticamente prima della scadenza. Il rischio riguarda chi non aggiorna regolarmente, o chi gira su versioni di Windows non più supportate.

Chi deve fare qualcosa, e quando

Le azioni richieste dipendono dalla versione di Windows e dalla data di scadenza del certificato che la riguarda:

• Windows 11 25H2 e versioni successive: nessuna azione richiesta, i certificati sono già integrati.
• Windows 11 24H2 e Windows Server 2025: installare l’aggiornamento di sicurezza di settembre 2025 o uno successivo, prima del 19 giugno 2027.
• Altre versioni supportate di Windows 11, Windows Server 2022 e Windows 10 supportato: installare l’aggiornamento di sicurezza di luglio 2026 o uno successivo, prima del 19 giugno 2027.
• Windows 10 Enterprise 2019 LTSC, Windows Server 2019 e Windows Server 2016: installare l’aggiornamento di luglio 2026 o uno successivo, prima del 17 maggio 2027.
• Versioni non più supportate (fuori dal ciclo di vita, nessun aggiornamento di sicurezza disponibile): l’unica strada è l’upgrade a una versione supportata di Windows client o Windows Server.

Un punto importante per chi gestisce distribuzione centralizzata: secondo Microsoft, i dispositivi che ricevono aggiornamenti tramite WSUS non sono coinvolti direttamente da questa rotazione, ma restano comunque soggetti alla necessità di installare le build mensili corrette per ottenere il certificato sostitutivo sul sistema operativo stesso.

Cosa succede se un dispositivo resta indietro

Un dispositivo con una versione supportata di Windows, ma senza l’aggiornamento minimo richiesto installato prima della scadenza, perde la possibilità di validare la connessione con Windows Update. In pratica smette di ricevere aggiornamenti, incluse le patch di sicurezza critiche, restando esposto a vulnerabilità note. Per i sistemi già fuori supporto la situazione è anche peggiore, perché semplicemente non esiste un aggiornamento che installi il certificato sostitutivo: la bonifica può avvenire solo con un upgrade o una sostituzione del sistema.

Checklist pratica per i sysadmin

Ecco un percorso operativo concreto per affrontare la scadenza con margine, basato sulle raccomandazioni Microsoft:

1. Fare l’inventario delle versioni in uso. Serve sapere esattamente quali build di Windows client e server girano in azienda, incluse le macchine “dimenticate” (server di test, workstation di reparti isolati, VDI legacy).
2. Verificare il livello di patch su ogni sistema. Un rapido controllo locale si può fare con PowerShell:

$info = Get-ComputerInfo | Select-Object WindowsProductName, OsVersion, OsBuildNumber
$ultimoAggiornamento = Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 1

Write-Output "Sistema: $($info.WindowsProductName) - Build $($info.OsBuildNumber)"
Write-Output "Ultimo aggiornamento cumulativo: $($ultimoAggiornamento.HotFixID) installato il $($ultimoAggiornamento.InstalledOn)"

Per un controllo centralizzato su più macchine, lo stesso blocco si può lanciare in remoto con Invoke-Command verso un elenco di host recuperato da Active Directory:

$computer = Get-ADComputer -Filter {Enabled -eq $true} | Select-Object -ExpandProperty Name

Invoke-Command -ComputerName $computer -ScriptBlock {
    $info = Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber
    $ultimo = Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 1
    [PSCustomObject]@{
        Host              = $env:COMPUTERNAME
        Prodotto          = $info.WindowsProductName
        Build             = $info.OsBuildNumber
        UltimoAggiornamento = $ultimo.InstalledOn
    }
} | Export-Csv -Path "inventario_certificati_wu.csv" -NoTypeInformation

Conclusione

La rotazione dei certificati di Windows Update non è un’emergenza immediata, ma è esattamente il tipo di scadenza che si trasforma in un problema se lasciata all’ultimo trimestre: a differenza di una vulnerabilità zero-day, qui la data è nota con 18 mesi di anticipo, e la soluzione per i sistemi supportati è semplicemente mantenerli aggiornati. Il vero lavoro sta nell’identificare per tempo le macchine fuori supporto o patchate in modo irregolare, prima che smettano silenziosamente di ricevere aggiornamenti di sicurezza.

Fonte: Microsoft Tech Community e Petri IT Knowledgebase.