Microsoft 'Windows UEFI CA 2023' Media Update Script Redesign

[Holgi]

da ich etwas verwundert war, dass selbst in den neuesten von MS bereitgestellten Installationsmedien noch nicht das 2023 Zertifikat integriert ist https://www.deskmodder.de/blog/2026/08/ ... ent-342966, habe ich mich ein wenig mit der Materie beschäftigt.
Es sollte ein Medium mit dem 2023 Zertifikat erstellt werden und dafür gibt es ja von Microsoft extra ein Powershell Script.
https://support.microsoft.com/en-us/ser ... ot-manager
Es kam, wie es kommen mußte: auf Anhieb wollte mir das nicht gelingen, was wohl in erster Linie auf meinen UserOrdner zurückzuführen ist (der ein Leerzeichen enthält) worauf das Script von Microsoft seinen Dienst einstellte.
Also habe ich das Script ein wenig für meine Belange aufgebohrt und stelle es euch hier zur Verfügung in der Hoffnung, ihr könnt es vlt. gebrauchen.
Meine kleine Anleitung, für die Vorgehensweise:
1. ADK und ADK WINPE Addon herunterladen (Version 10.1.26100.2454 Dezember 2024)
https://learn.microsoft.com/de-de/windo ... dk-install
direkt Links:
https://go.microsoft.com/fwlink/?linkid=2289980
https://go.microsoft.com/fwlink/?linkid=2289981
bzw.
evtl. ADK 10.1.28000.1 ?? eigentlich für die 26H1 Version
wurde bei mir per Winget als Update installiert.

https://go.microsoft.com/fwlink/?linkid=2337875
https://go.microsoft.com/fwlink/?linkid=2337681

2. ADK installieren (oder erst mal herunterladen und dann installieren)
3. PE Addon installieren (oder erst mal herunterladen und dann installieren)
4. überwachten Ordnerzugriff ausschalten (hat bei mir einmal dazwischengefunkt; deshalb wurde es ins Script integriert)
5. Powershell-Script starten (mit der .bat aufrufen)
make_new_ISO_2023_optimized_v2.3_public.bat und make_new_ISO_2023_optimized_v2.3_public.ps1 müssen sich im selben Ordner befinden.
Ich hoffe, das Script funktioniert bei euch so gut wie bei mir.
Man ruft es auf, verweist auf das Windows Installationsmedium mit dem 2011er Zertifikat (sollte das 2023 Zertifikat bereits integriert sein, wird man darauf hingewiesen und das Script beendet), dann wählt man das Ziel (neue ISO, USB-Laufwerk oder lokaler Medienordner) und dann geht es auch schon los.
make_new_ISO_2023_optimized_v2.3_public.zip

make_new_ISO_2023_optimized_v2.3_public.zip

Viel Spaß!!

[Tante Google]

[DK2000]

Frage:

Wozu benötigt man das ADK/PE Addons? Das mir gerade nicht so wirklich klar.

[Under the Hood]

@Holgi
Ich nutze dafür das kleine Tool: UEFI CA 2023 Updater & Verification tools (No ADK) / iso or USB

photo_2026-08-16_18-22-09.jpg

Es kommt ohne ADK aus, überprüft die vorhandene ISO und wenn diese (noch) nicht aktuell ist, kann man sie gleich aktualisieren.

Infos und Download hier: https://forums.mydigitallife.net/thread ... usb.90057/

[Holgi]

Frage:
Wozu benötigt man das ADK/PE Addons? Das mir gerade nicht so wirklich klar.

Das ADK wird für OSCDIMG.EXE, also für die Erstellung einer neuen ISO benötigt.
Das WINPE Addon ist wohl gar nicht nötig; schadet aber auch nicht.
Für eine einzelne kleine .exe ist das natrülich mit Kanonen auf Spatzen schießen.

[Holgi]

@Holgi
Ich nutze dafür das kleine Tool: UEFI CA 2023 Updater & Verification tools (No ADK) / iso or USB

das ist natürlich cool. Wurde das hier schon mal im Forum oder Blog vorgestellt? Wenn ja, ist das an mir vorbeigegangen oder ich habe es verdrängt (klingt besser als "vergessen").
Deine ISOs habe wohl schon alle das neue Zertifikat intus, richtig?

[Under the Hood]

Ich wüsste nicht das dieses Tool hier oder im Blog erwähnt wurde. Ist wohl eine Premiere....

Da ich kaum noch ISOs baue (warte gerade eigentlich nur auf die 26300.xxxx u. 26340.xxxx) brauche ich das eher selten.

[DK2000]

@Holgi:

Das habe ich mir schon gedacht, wegen OSCDIMG.EXE. Wenn das Tool nicht gefunden wird, holt sich das Skript das Tool vom Sysmbolserver. Nachteil dran ist aber, dass dieses OSCDIMG.EXE nicht digital signiert ist und u.U. an der Ausführung gehindert wird.

[Holgi]

ah, ok.
Was mich ja gewundert hat:
hatte das etwas ältere ADK installiert (Version 10.1.26100.2454 Dezember 2024).
Beim ersten

WINGET upgrade --all

hat winget mir dann das ADK automatisch auf Version 10.1.28000.1 aktualisiert.
Dachte ja, das wäre nur für WIN11 26H1; aber es funktioniert auch damit.
Und ein ADK WINPE Addon gibt es nicht von Winget für die 28000er Version? Das passt nicht zusammen:

Code: Alles auswählen

C:\Windows\System32>winget search ADK
Name                                                                              ID                                Version        
----------------------------------------------------------------------------------------------------------------------------------------------
Windows Assessment and Deployment Kit                                             Microsoft.WindowsADK              10.1.28000.1     
Windows Assessment and Deployment Kit Windows Preinstallation Environment Add-ons Microsoft.WindowsADK.WinPEAddon   10.1.26100.2454

[DK2000]

Das ist halt Microsoft. Alles etwas durcheinander. Dafür haben sie es aber mittlerweile geschafft, den Bootmanager mit CA 2023 bis runter zu Windows 10 durch die Build 28000 zu ersetzen. Ist jetzt nur noch ein Bootmanager mit CA 2023 von Windows 10 21H2 bis Windows 11 26H2. Und was oscdimg angeht, das ist immer noch die alte Version wie immer. Da gibt es nichts Neueres. Von daher ist es egal, welche Bereitstellungstools aus welchem ADK man nimmt.

[Gast2025]

OSCDIMG.EXE - Da gibt es nichts Neueres - War mal die frühere "Versionsfrage"
Die Datei kann man sich auch ganz einfach mit Rufus besorgen,
wenn die Updatefunktion für den ISO Downloader aktiviert ist.
Findet man unter CUsersBenutzernameAppDataLocalRufus

Oder: (Siehe Links)
https://github.com/pbatard/rufus/blob/m ... fus.h#L138
digital signiert - kann man sich ja mal prüfen?
Bezug: Wenn man ohne ADK arbeiten möchte

Holgi hatte früher ja schon mal ein Skript zur Erstellung von ISOs geschrieben.
(ps1 müssen sich im selben Ordner wie die OSCDIMG.EXE befinden)
Das würde hiermit bestimmt wieder rege Anwendung finden.

Wünsche Allen noch viel Spaß beim Update eurer Medien

[DK2000]

Rufus verwendet auch nur die unsignierte Version vom Symbolserver, jedenfalls lt. Quellcode.

[Holgi]

die OSCDIMG.exe kann man sich auch per Winget besorgen:
winget search oscdimg

Code: Alles auswählen

Name    ID                Version Quelle
-----------------------------------------
OSCDIMG Microsoft.OSCDIMG 2.56    winget

keine Ahnung ob die nun signiert ist oder nicht.

[DK2000]

Ist alles dieselbe Datei von hier (für AMD64):

https://msdl.microsoft.com/download/sym ... scdimg.exe

Eine andere Datei bietet Microsoft da wohl nicht an.

[v1x]

#DK2000

PowerShell script for reading and exporting UEFI Secure Boot certificates and signatures directly from firmware.
https://github.com/richardhicks/uefi

und welche 0xXXXX um die beiden 2011er wieder in die UeFi DB zu installieren?

Hier folgendes z.Z bekannt.
Apply OEM firmware updates before applying Windows Update certificate changes.
0x0000 Es wird keine Aktualisierung des Schlüssels für den sicheren Start ausgeführt.
0x0002 = ‘0x2:DBX update (apply latest revocations)’
0x0004 = ‘0x4:KEK update (add KEK 2K CA 2023)’
0x0008 = ‘0x8:Unknown’
0x0010 = ‘0x10:Unknown’
0x0020 = ‘0x20:SkuSiPolicy update (VBS anti-rollback)’
0x0040 = ‘0x40:DB update (add Windows UEFI CA 2023)’
0x0080 = ‘0x80:DBX revocation (add Windows PCA 2011 to DBX)’
0x0100 = ‘0x100:Install 2023 BootMgr (PCA2023 chain)’
0x0200 = ‘0x200:SVN update (anti-rollback counter)’
0x0202 aktualisiert in einem Rutsch DBX und DBX SVN
0x0340 = ‘0x340:Update DB, BootMgr and SVN’
0x0400 = ‘0x400:SBAT update (firmware targeting)’
0x0800 = ‘0x800:Option ROM CA 2023 -> DB’
0x1000 = ‘0x1000:Microsoft UEFI CA 2023 -> DB’
0x4000 = ‘0x4000:Post reboot stage during BootMgr update’
0x4100 = ‘0x4100:Reboot required’
0x5944 = ‘0x5944:Update all relevant flags’

cmd
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

ps
Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”