Se Windows 10 o 11 si blocca pochi minuti dopo l'avvio, la causa potrebbe essere l'attività Secure-Boot-Update. Ecco come risolvere il problema aggiornando il BIOS o disabilitando l'attività.
Se state affrontando un problema di windows blocco dopo avvio secure boot sui PC aziendali dotati di Windows 10 o Windows 11, la causa è legata a un'attività pianificata di sistema chiamata Secure-Boot-Update. Il blocco totale del computer avviene solitamente tra i 3 e i 5 minuti dopo l'accensione, spesso generando errori nel registro eventi come l'"ID evento 1803". Per ripristinare il corretto funzionamento delle postazioni, è necessario aggiornare il BIOS della scheda madre o disabilitare temporaneamente l'attività pianificata responsabile.
Sintomi e segnali del blocco di Windows
Nelle aziende, questo problema si manifesta in modo sistematico e blocca la produttività. Il sistema operativo carica regolarmente il desktop all'avvio e sembra funzionare correttamente. Tuttavia, tra i 3 e i 5 minuti successivi, specialmente se il dispositivo è connesso alla rete aziendale, il computer smette improvvisamente di rispondere a qualsiasi input del mouse o della tastiera.
Non compare alcuna schermata blu (BSOD) e l'unica via d'uscita per l'utente è forzare il riavvio tenendo premuto il pulsante di accensione. Questo comportamento spinge spesso i tecnici IT a sospettare guasti hardware, come problemi alla memoria RAM, al disco di sistema o alla scheda di rete, generando falsi allarmi e spreco di ore di assistenza.
Per avere la certezza che il blocco sia causato da questo specifico problema, è sufficiente controllare il Visualizzatore Eventi di Windows dopo il riavvio forzato. I segnali inequivocabili sono la presenza di ripetuti messaggi di errore testuali come "ID evento 1803" (che indica il fallimento dell'aggiornamento KEK) oppure "TPM-WMI 1796".
Chi è coinvolto e qual è la causa tecnica
Il problema interessa le postazioni di lavoro basate su Windows 10 (incluse le macchine aziendali con supporto esteso) e Windows 11.
La causa scatenante è legata alla sicurezza dell'avvio protetto. Microsoft ha iniziato la distribuzione di nuovi certificati UEFI, poiché le chiavi precedenti, emesse nel 2011, sono prossime alla scadenza. Per gestire questa transizione, Windows utilizza un'attività pianificata chiamata Secure-Boot-Update, registrata nel percorso di sistema \Microsoft\Windows\PI\Secure-Boot-Update. Questa attività è configurata per essere eseguita con i privilegi di "Local System" all'avvio del computer e, successivamente, a intervalli di 12 ore.
Il compito dell'attività è installare la nuova catena di attendibilità "Windows UEFI CA 2023" e aggiornare le variabili UEFI nel firmware della scheda madre. Il processo monitora gli aggiornamenti in sospeso leggendo il valore di registro AvailableUpdates. Se il firmware UEFI del computer non gestisce correttamente la scrittura di queste nuove chiavi, o se riscontra un'incompatibilità a livello hardware, l'operazione entra in un ciclo di stallo che finisce per bloccare l'intero sistema operativo.
Cosa fare: soluzioni per ripristinare i PC aziendali
Di fronte a questi blocchi, la tentazione per alcuni amministratori IT potrebbe essere quella di disattivare completamente il Secure Boot dal BIOS. Questa pratica è fortemente sconsigliata: l'avvio protetto è un presidio fondamentale contro minacce profonde come bootkit e rootkit. Disattivarlo espone la rete aziendale ad attacchi prima ancora del caricamento del sistema operativo e compromette la conformità alle normative di sicurezza base.
Ecco i passaggi pratici per risolvere il problema in modo sicuro.
Soluzione definitiva: aggiornamento del firmware
La soluzione permanente richiede l'intervento sul firmware della macchina:
- Identificare il modello esatto del PC o della scheda madre.
- Accedere al sito di supporto ufficiale del produttore (OEM).
- Scaricare e installare l'ultima versione del BIOS/UEFI disponibile. I produttori hardware rilasciano aggiornamenti specifici proprio per garantire la compatibilità con i nuovi certificati UEFI 2023 di Microsoft.
Soluzione temporanea (Workaround)
Se il produttore non ha ancora rilasciato un aggiornamento del BIOS per le postazioni interessate, o se si ha la necessità di ripristinare immediatamente l'operatività in attesa di pianificare i test di aggiornamento, è possibile applicare una soluzione temporanea.
Seguire questi passaggi per disabilitare l'attività problematica:
- Avviare il computer in Modalità provvisoria (oppure scollegare fisicamente il cavo di rete e disattivare il Wi-Fi prima dell'avvio, per impedire l'innesco del blocco).
- Premere la combinazione di tasti
Windows + R, digitaretaskschd.msce premere Invio per aprire l'Utilità di pianificazione con privilegi di amministratore. - Nel pannello di sinistra, navigare nel seguente percorso:
Libreria Utilità di pianificazione->Microsoft->Windows->PI. - Nel pannello centrale, individuare l'attività denominata
Secure-Boot-Update. - Fare clic con il tasto destro sull'attività e selezionare Disabilita.
- Riavviare il computer normalmente.
Disabilitare questa attività impedisce l'aggiornamento automatico dei certificati di sicurezza. È fondamentale prendere nota delle macchine su cui è stato applicato questo workaround per ricordarsi di riabilitare l'attività Secure-Boot-Update non appena sarà stato installato un BIOS aggiornato.
Verificate i registri eventi delle postazioni aziendali per individuare tempestivamente i PC interessati prima che i blocchi impattino sul lavoro quotidiano.
