Після вимкнення світла ноутбук або ПК раптом показує Security Boot Fail і не завантажує Windows. Диск справний, файли на місці, але система не стартує. Одна з причин, актуальна саме зараз, пов'язана з переходом Windows на нові сертифікати Secure Boot 2023 року: прошивка могла повернутися до заводських ключів і перестати довіряти завантажувачу. Розбираємо реальний випадок на Acer Aspire ES1-732: як встановити причину та повернути Windows без перевстановлення.

Перевірено: 03.11.2026 · Зачеплено: ПК і ноутбуки з UEFI та увімкненим Secure Boot, насамперед зі старими прошивками · Випадок: Acer Aspire ES1-732 · Результат: Windows повернуто без перевстановлення

Як це виглядає

  • Під час запуску з'являється замок і напис Security Boot Fail.

  • Далі може бути повідомлення Default Boot Device Missing or Boot Failed.

  • У меню завантаження диск є і підписаний як Windows Boot Manager, але його вибір нічого не змінює.

  • На пристроях інших виробників схожа помилка може звучати як Secure Boot Violation або Invalid signature detected.

Екран Security Boot Fail із замком на ноутбуці AcerПерший екран після ввімкнення: замок і Security Boot FailПовідомлення Default Boot Device Missing or Boot FailedПісля підтвердження прошивка пише, що не може завантажитися з дискаМеню завантаження з пунктом Windows Boot Manager на SSD WD Blue SA510Диск у меню завантаження є, але вибір Windows Boot Manager знову веде до помилки

Таку саму картину можуть дати пошкоджений завантажувач, змінені вручну ключі або збій диска. Тому спершу перевіряємо, а вже потім змінюємо файли.

Чому так відбувається

Сертифікати Microsoft 2011 року, на яких тримається Secure Boot, мали строк дії до 24 та 27 червня і 19 жовтня 2026 року. На заміну Windows додає до бази довірених підписів у прошивці (db) сертифікат Windows UEFI CA 2023 і встановлює новий завантажувач, підписаний саме ним.

Слабке місце — старі прошивки. Сертифікат записується в поточну базу db, а заводська копія dbDefault зазвичай оновлюється лише разом із BIOS. Якщо ключі повертаються до заводських, сертифіката в прошивці більше немає. Новий завантажувач вона вже не приймає, хоча сам файл цілий.

У нашому випадку проблема з'явилася після вимкнення світла, тому це ймовірний тригер. Прямого доказу, що ключі скинуло саме відключення живлення, ми не маємо: підтверджено лише відсутність сертифіката на момент збою.

Що показала діагностика

Наклейка Acer Aspire ES 17, модель ES1-732Наш випадок: Acer Aspire ES1-732. Заводський HDD на 1 ТБ раніше замінили на SSD WD Blue SA510
ПеревіркаРезультатВисновок
SMART і початок тесту поверхні SSDБез помилокОзнак несправності диска немає
chkdsk для розділу Windows та EFIБез помилокФайлові системи цілі
Стан Secure Boot у середовищі WinPEУвімкнено, флешка завантажиласяМеханізм працює, проблема у конкретному завантажувачі
Розмір bootmgfw.efi на розділі EFI3 086 680 байт, як у bootmgfw_EX.efi; звичайна версія — 1 682 440 байтВстановлено завантажувач нового типу
Вміст dbCA 2023 — немає, PCA 2011 — єПрошивка не довіряє новому завантажувачу
Вміст dbDefaultCA 2023 — немаєНове скидання ключів знову прибере сертифікат

Що робити: покроковий план

Крок 1. Убезпечте дані

Якщо диск зашифровано BitLocker, заздалегідь знайдіть ключ відновлення. Зміна завантажувача або налаштувань Secure Boot може призвести до його запиту. Якщо дані важливі, спершу зробіть образ диска.

Крок 2. Завантажтеся із зовнішнього носія

Знадобиться флешка із середовищем WinPE, наприклад інсталяційна флешка Windows (командний рядок відкривається через Shift+F10). На Acer вхід до BIOS зазвичай виконується через F2, а меню завантаження — через F12.

На нашому ноутбуці зайти в BIOS клавішами не вдалося, а із зовнішньою USB-клавіатурою система завантажилася з флешки. Якщо свіжий образ Windows дає ту саму помилку, він може бути підписаний новим сертифікатом. Тоді скористайтеся старішим носієм.

Крок 3. Перевірте диск і завантажувач

Підключіть розділ EFI. У списку томів знайдіть розділ FAT32 розміром приблизно 100–300 МБ і підставте його номер замість N:

diskpart
list vol
select vol N
assign letter=S
exit

Звірте букву розділу Windows за списком томів: у WinPE вона може відрізнятися від C:. Далі виконайте перевірку, яка нічого не змінює:

chkdsk C:
chkdsk S:
dir S:\EFI\Microsoft\Boot\bootmgfw.efi
dir C:\Windows\Boot\EFI\bootmgfw.efi
dir C:\Windows\Boot\EFI_EX\bootmgfw_EX.efi

Порівняйте розміри. Точні числа залежать від збірки Windows, важливо лише, з яким файлом збігається копія на розділі EFI. Якщо вона збігається з bootmgfw_EX.efi, переходьте далі. Якщо не збігається з жодним або chkdsk знаходить помилки, причина може бути іншою, і цей план не варто виконувати механічно.

Крок 4. Тимчасово поверніть звичайний завантажувач

Спершу збережіть копію розділу EFI на флешку. У прикладі флешка має букву D:, звірте її за списком томів:

xcopy S:\ D:\ESP_backup\ /E /H /I

Потім замініть обидві копії завантажувача:

copy /y C:\Windows\Boot\EFI\bootmgfw.efi S:\EFI\Microsoft\Boot\bootmgfw.efi
copy /y C:\Windows\Boot\EFI\bootmgfw.efi S:\EFI\Boot\bootx64.efi
wpeutil reboot

Команда bcdboot у нашому випадку не допомогла: вона знову встановила версію EX. Цей спосіб працює, лише поки підпис PCA 2011 не відкликано через dbx. Після такого відкликання пристрій не запускає завантажувачі, підписані цим сертифікатом.

Крок 5. Перевірте сертифікати у Windows

Відкрийте PowerShell від імені адміністратора:

$d=[Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes)
'db CA2023: ' + ($d -match 'Windows UEFI CA 2023')
$f=[Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbDefault).Bytes)
'default CA2023: ' + ($f -match 'Windows UEFI CA 2023')

Якщо db CA2023 дорівнює False, причину підтверджено.

Крок 6. Поверніть сертифікат і новий завантажувач

Microsoft описує повне розгортання через значення 0x5944:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Коли значення зміниться на 0x4100 (на нашому ноутбуці було 0x4104), перезавантажте пристрій і ще раз запустіть те саме завдання. Потім перезавантажтеся знову і перевірте результат:

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing | Select-Object WindowsUEFICA2023Capable,UEFICA2023Status,UEFICA2023Error

Значення WindowsUEFICA2023Capable = 2 означає, що сертифікат є в db, а система стартує через новий завантажувач. Ми на цьому ноутбуці використали вужче значення 0x4044, результат той самий.

Подія 1803 і статус InProgress на старих пристроях можуть залишитися: для них немає KEK, підписаного виробником. На завантаження це не впливає, але частина майбутніх оновлень Secure Boot може не встановитися.

Крок 7. Запасний шлях: SecureBootRecovery.efi

Microsoft має окрему утиліту, яка повторно записує Windows UEFI CA 2023 до прошивки. За інструкцією ASUS файл C:\Windows\Boot\EFI\SecureBootRecovery.efi копіюють на флешку FAT32 як \EFI\BOOT\bootx64.efi і завантажуються з неї. На цьому ноутбуці ми такий спосіб не перевіряли. Заздалегідь збережіть файл на флешці.

Чого не робити

  • Не перевстановлюйте Windows і не міняйте SSD, поки не перевірили завантажувач та сертифікати.

  • Не залишайте Secure Boot вимкненим як постійне рішення: так пристрій не отримає нові сертифікати.

  • Не змінюйте розділ EFI без резервної копії та ключа BitLocker.

  • Не скидайте BIOS до заводських налаштувань, не перевіривши dbDefault.

  • Не розраховуйте лише на образ системи: він поверне той самий завантажувач, а прошивка все одно не матиме сертифіката.

Як підготуватися заздалегідь

Перевірте команди з кроку 5 на старих ноутбуках і ПК та оцініть ризик за таблицею:

dbdbDefaultЩо це означає
TrueTrueСертифікат є і в заводських ключах, скидання цю проблему не повинно спричинити
TrueFalseЗараз усе працює, але скидання ключів може зупинити завантаження. Підготуйте план відновлення
FalseБудь-якеУ поточній базі сертифіката ще немає. Оновіть Windows і перевірте статус

Для пристроїв із ризиком варто зробити таке:

  • перевірити сайт виробника: можливо, є BIOS із новими сертифікатами, хоча для частини старих моделей їх не планують;

  • перевірити батарейку BIOS і дату після відключення від мережі, а для важливих ПК подбати про ДБЖ;

  • зберігати завантажувальну флешку, SecureBootRecovery.efi і ключі BitLocker окремо від пристрою;

  • мати образ системи не лише на тому самому SSD.

Команди та стан розгортання можуть змінюватися, тому перед роботою звіряйте їх із документацією Microsoft: посилання зібрані в розділі «Джерела».

Потрібна допомога?

Перевіримо, чому не завантажується система, збережемо дані, повернемо роботу без перевстановлення та оцінимо ризик для решти парку ПК. Працюємо віддалено з клієнтами по всій Україні та за кордоном, а за потреби виїжджаємо на об'єкт. Напишіть нам або ознайомтеся з послугою технічної підтримки 24/7.

Джерела