Ошибка обновления Secure Boot DBX и сертификата Windows UEFI CA 2023 на ноутбуке: переполнение системного раздела EFI 100 МБ

Ошибка обновления Secure Boot DBX и сертификата Windows UEFI CA 2023 на ноутбуке: переполнение системного раздела EFI 100 МБ

В 2025–2026 годах миллионы владельцев ноутбуков HP, Dell, Lenovo и ASUS столкнулись с повторяющейся ошибкой при установке накопительных обновлений безопасности Windows 11, обновлений списка отозванных загрузчиков Secure Boot DBX и плановой миграции на новый корневой сертификат Windows UEFI CA 2023 (взамен истекающего сертификата образца 2011 года). Центр обновления скачивает пакет, но возвращает сбой установки (либо в системном журнале Microsoft-Windows-TPM-WMI появляются события Event ID 1796 и Event ID 1801: «Не удалось обновить переменные Secure Boot»), несмотря на то что на основном диске C: свободно полтерабайта!

В чём физическая причина парадокса

При разметке накопителя на заводе старый стандартный установщик Windows создавал в самом начале SSD крошечный скрытый системный раздел EFI (ESP) в файловой системе FAT32 размером ровно 100 мегабайт (на некоторых моделях Dell и Lenovo — 260 МБ). Обычный проводник его не показывает, однако именно в эти сто мегабайт годами складываются файлы сразу от трёх хозяев:

1. все языковые папки системного загрузчика Microsoft (\EFI\Microsoft\Boot\Fonts и десятки локалей);
2. резервные образы отката системного BIOS и логи предзагрузочной диагностики фирменных утилит ноутбука (\EFI\HP\BIOS\Previous, \EFI\Dell\BIOS\Recovery, логи тестов памяти);
3. загрузчики вторых операционных систем (остатки удалённого три года назад Linux в папке \EFI\ubuntu или \EFI\fedora).

Когда на этом стомегабайтном островке остаётся меньше 15–20 МБ свободного места, служба обновления Windows не может развернуть параллельный загрузчик, подписанный новым ключом Windows UEFI CA 2023, и откатывает операцию с ошибкой нехватки дискового пространства системного раздела! Ещё одна независимая причина сбоя записи самой переменной DBX в чип флеш-памяти платы — временно выключенный в BIOS пункт Secure Boot либо заблокированное изменение переменных безопасности на корпоративном шасси.

Шаг 1. Проверьте точное событие в журнале TPM-WMI и статус Secure Boot!

Прежде чем трогать разделы, откройте Сведения о системе (msinfo32) и проверьте две строки:

• Режим BIOS: обязан быть строго UEFI (в устаревшем режиме совместимости Legacy безопасная загрузка не работает в принципе, поэтому любые обновления базы DBX к системе неприменимы).
• Состояние безопасной загрузки: должно быть Вкл.. Если строка гласит Откл. — Windows физически не имеет права обновлять базу отозванных ключей DBX в выключенной подсистеме! Достаточно войти в BIOS Setup, включить Secure Boot в стандартный заводской режим (Standard Mode, предварительно проверив наличие резервного ключа BitLocker!), и обновление встанет при следующей же перезагрузке без единой консольной команды.

Параллельно откройте Просмотр событий → Журналы Windows → Система и отфильтруйте по источнику TPM-WMI:

• событие Event ID 1799 рапортует, что обновление сертификатов и загрузчика уже успешно завершено (иногда старая запись ошибки в истории обновлений просто осталась с прошлой недели!);
• события Event ID 1796 / 1801 указывают точную причину отказа — нехватка места на разделе ESP, старая версия самого системного BIOS вендора (в хранилище NVRAM платы ещё нет корневого ключа вендора 2023 года) или выключенный Secure Boot.

Шаг 2. Обновите сам системный BIOS ноутбука с сайта производителя!

При переходе индустрии на сертификаты 2023 Windows UEFI CA в 2025–2026 годах Microsoft и производители ноутбуков разделили ответственность пополам: Windows обновляет файлы загрузчика на SSD, но базовые заводские ключи платформы (PK, KEK) в самой микросхеме прошивки материнской платы надёжнее и чище всего обновляет свежий выпуск UEFI BIOS от Lenovo, HP, Dell или ASUS! На моделях со старым BIOS 2021–2023 годов запись крупного списка отзыва DBX иногда упирается в лимит памяти переменных NVRAM, который исправлен производителем в свежей прошивке платы.

Шаг 3. Безопасная очистка переполненного стомегабайтного раздела EFI (официальный метод Microsoft)

Если Secure Boot включён и BIOS свежий, но на скрытом разделе EFI осталось 2–5 МБ из-за старых дампов диагностики HP/Dell и неиспользуемых шрифтов предзагрузочного меню, освободите 25–40 МБ строго по официальной инструкции Microsoft — никогда не удаляя сам раздел и не трогая папку \EFI\Microsoft\Boot\BCD и файлы bootmgfw.efi!

1. Создайте резервную копию важных документов и убедитесь, что ноутбук подключён к розетке.
2. Откройте Командную строку от имени администратора и временно назначьте скрытому системному разделу свободную букву (например, Y:):
   • выполните mountvol Y: /s.
3. Посмотрите свободный остаток места командой dir Y:\ — в самой нижней строке вы увидите количество свободных байт! Если там меньше 20 МБ, виновник найден на сто процентов.
4. Что безопасно очистить, а что строго запрещено трогать:

5. Сразу после освобождения 20–35 МБ свободного места снимите временную букву с системного раздела командой mountvol Y: /d, чтобы ни одна пользовательская программа и антивирус случайно не залезли туда, перезагрузите ноутбук и повторно проверьте Центр обновления Windows.

Альтернатива при чистой переустановке системы в будущем

Если в будущем вы будете менять накопитель на более ёмкий (порядок работ описан в руководстве по апгрейду оперативной памяти и SSD в ноутбуке) и выполнять чистую установку Windows с нуля, создайте в начале нового SSD системный раздел EFI размером 260–512 МБ вместо старых ста мегабайт — вы навсегда закроете вопрос нехватки места для будущих обновлений прошивок UEFI и баз DBX на весь срок службы ноутбука! А если ошибка обновления сопровождается общим откатом всей функциональной сборки, сверьтесь также с разбором кода отката 0xC1900101 через SetupDiag.

Контрольный чек-лист

• [ ] В msinfo32 подтверждены режим UEFI и включённое состояние Secure Boot, сохранён резервный ключ BitLocker.
• [ ] Обновлён системный UEFI BIOS ноутбука с официального сайта производителя.
• [ ] Проверен свободный остаток на разделе ESP (mountvol Y: /s → не менее 20–30 МБ свободно без затрагивания файлов загрузчика BCD / bootmgfw.efi → снятие буквы mountvol Y: /d).
• [ ] После перезагрузки пакет обновления успешно установлен, а журнал TPM-WMI не содержит новых ошибок записи переменных.

Частые вопросы

Перестанет ли ноутбук включаться, если старый сертификат 2011 года истёк, а обновление задержалось?

Нет! Уже установленный на вашем ноутбуке Windows 11 продолжит нормально запускаться и открывать все рабочие программы — Microsoft специально сделала переход плавным и поэтапным, чтобы не блокировать рабочие компьютеры. Однако без актуальной базы отозванных уязвимых загрузчиков DBX ноутбук остаётся незащищённым перед современными буткитами обхода предзагрузочной проверки (класса BlackLotus), поэтому откладывать наведение порядка на разделе EFI на корпоративных машинах не стоит.

Стоит ли двигать границы системного раздела сторонними программами переразметки «на живую» без резервной копии?

На зашифрованном диске BitLocker двигать левую границу основного раздела C: на несколько сотен гигабайт ради прибавки 150 МБ к разделу EFI — неоправданный риск: при малейшем сбое питания посреди переноса секторов вы потеряете загрузку всего тома. Штатная очистка 20–30 МБ шрифтов и архивных логов в Y:\EFI по инструкции Microsoft решает задачу за две минуты абсолютно безопасно для таблицы разделов.

Полезные материалы по смежным узлам ноутбука: руководство по проверке ноутбука с гарантией, проверка узлов по цифровому паспорту ноутбука.