Negli ultimi giorni ha attirato l’attenzione la notizia della scadenza del certificato Microsoft utilizzato per firmare digitalmente shim, il componente che permette a molte distribuzioni Linux di avviarsi correttamente sui sistemi UEFI con Secure Boot attivo. La data di scadenza è fissata per la fine di giugno 2026 e questo ha generato preoccupazione tra numerosi utenti.
In realtà, la situazione è molto meno critica di quanto possa sembrare. Le principali distribuzioni Linux, tra cui Fedora, Ubuntu e openSUSE, hanno già pianificato da tempo la transizione verso una nuova infrastruttura di firma digitale. Gli sviluppatori hanno chiarito che non esiste alcun rischio di un blocco improvviso dei sistemi aggiornati e regolarmente mantenuti.
Per comprendere il motivo è necessario conoscere il funzionamento della catena di fiducia di Secure Boot. Durante la fase di avvio, il firmware UEFI verifica che le firme digitali siano valide e che le chiavi utilizzate non siano state revocate. La semplice scadenza temporale del certificato non comporta automaticamente l’impossibilità di eseguire il boot del sistema operativo.
Perché la scadenza del certificato non bloccherà Linux
Il certificato Microsoft del 2011 è stato utilizzato per anni per firmare il bootloader shim adottato da gran parte delle distribuzioni Linux. Quando il firmware controlla l’autenticità del software di avvio, non esegue una verifica della data di scadenza del certificato, ma controlla principalmente l’integrità della firma crittografica.
Questo significa che i sistemi Linux già installati continueranno a funzionare normalmente anche dopo la scadenza del certificato. L’aspetto realmente importante riguarda invece la possibilità di firmare nuove versioni di shim. Per questo motivo Microsoft ha introdotto una nuova chiave nel 2023.
Le distribuzioni più recenti stanno già adottando versioni di shim con doppia firma, compatibili sia con la chiave storica del 2011 sia con quella del 2023. Questa strategia garantisce la compatibilità con computer meno recenti e con i dispositivi di nuova generazione che includono già le chiavi aggiornate nel firmware.
L’obiettivo è rendere la transizione completamente trasparente agli utenti, evitando problemi durante aggiornamenti, nuove installazioni o sostituzioni hardware.
Le vere minacce sono le revoche e i vecchi bootloader vulnerabili
Il rischio maggiore non è la scadenza del certificato ma l’eventuale revoca delle firme considerate insicure attraverso il database DBX di UEFI. Questo archivio contiene l’elenco delle firme bloccate perché associate a software vulnerabile o compromesso.
Recentemente sono state individuate le vulnerabilità CVE-2026-8863 e CVE-2026-10797, che interessano versioni molto vecchie di shim, precedenti al 2016. Per proteggere gli utenti, le firme di questi componenti sono state aggiunte al database delle revoche.
Chi utilizza distribuzioni moderne non deve preoccuparsi, mentre sistemi estremamente datati potrebbero incontrare problemi dopo un aggiornamento del firmware UEFI. In particolare, installazioni obsolete basate su versioni storiche di CentOS o Red Hat Enterprise Linux potrebbero non riuscire più ad avviarsi se continuano a utilizzare bootloader vulnerabili.
Per verificare la situazione del proprio computer è consigliabile:
- controllare se il sistema utilizza UEFI e Secure Boot;
- verificare la presenza delle chiavi aggiornate nel firmware;
- mantenere aggiornato il firmware tramite fwupd;
- installare regolarmente gli aggiornamenti della distribuzione Linux.
Gli sviluppatori raccomandano inoltre di non modificare manualmente le chiavi Secure Boot senza competenze specifiche. La vecchia chiave Microsoft del 2011 continua infatti a essere utilizzata da diversi componenti hardware e la sua rimozione potrebbe causare malfunzionamenti o impedire l’avvio del sistema.
