安全启动证书更新时遇到安全启动更新无法更新 SBAT

你好

感谢您在Microsoft Windows论坛上提问。

根据提供的截图和错误信息。好吧！随着Microsoft逐步淘汰Microsoft Windows Production PCA 2011，转而采用Windows UEFI CA 2023。你的输出显示的是 Microsoft Windows Production PCA 2011（已撤销：为真）。这在标准用户视图中非常罕见，除非已经应用了特定的撤销策略（DBX 更新），但引导加载程序或固件尚未完全跟上。

当 Windows 尝试更新 SBAT（追踪被撤销的 Linux 引导加载程序）时，它会对数据库进行更新验证。如果固件将签名证书视为已撤销，或者固件存在处理该特定撤销状态的漏洞（这在惠普设备中很常见，正如你的HP UEFI Secure Boot DB 2017条目所示），那么更新将失败。

以下是你可以考虑的建议步骤，看看是否有效。

• 既然你有一个HP Secure Boot DB条目，你很可能用的是HP硬件。惠普可能已经发布了针对2011年至2023年>过渡的具体固件更新。SBAT 更新在旧的惠普固件上经常失败，因为固件代码本身不知道如何正确处理新的证书布局。访问 惠普支持官网 或使用 惠普支持助手应用。检查一下 BIOS 或固件更新。安装后重启。
• 试着验证2023版启动管理器。你需要确保你的 Windows 启动管理器（bootmgfw.efi）确实更新到可以使用 2023 的签名。如果你的引导程序仍是2011年的旧版本，但证书被撤销，说明系统处于脆弱状态。以管理员身份打开命令提示符。运行此命令检查你的系统是否支持更新 注册查询 HKLM\SYSTEM\CurrentControlSet\Control\Control\SecureBoot /v AvailableUpdates 。如果该值存在，你可以尝试通过运行内置的调度任务，强制系统重新评估安全启动密钥。（PowerShell命令） Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update” 重启你的电脑。

您也可以查阅以下文章以获取更多关于该问题的信息。

• https://support.microsoft.com/en-us/topic/how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
• https://techcommunity.microsoft.com/blog/windows-itpro-blog/revoking-vulnerable-windows-boot-managers/4121735

希望 以上信息对你有帮助！如果是的话。免费感受点“已接受”，帮助社区中也有同样问题的其他人。