VMware® Workstation Pro 26H1 / Windows 11 Gerätesicherheit Zertifikat nicht unterstützt

[Airgun]

VMware® Workstation Pro 26H1 / Windows 11 Pro Gerätesicherheit Sicherer Start ist aktiviert, das autom. Update Zertifikat nicht unterstützt.
Falls jemand eine Lösung kennt, vielen Dank vorab!

[Tante Google]

[moinmoin]

Das hat mit VMWare nichts zu tun. Bei mir in der 26H1 wurden "alle erforderlichen Zertifikatsupdates angewendet".

Du könntest es einmal mit der SecureBootCertChecker.exe probieren

https://www.deskmodder.de/blog/2026/04/ ... ol-testen/

[Airgun]

Vielen Dank, beil. Screenshots vom PC und der VMWare,

[moinmoin]

Dieses Event 1803 in VMWare scheint das Problem zu sein.
VMware und auch die Tools sind aktuell bei dir?

[Airgun]

Vielen Dank, ja alles aktuell, beil. noch ein Screenshot von HyperV Win11, hier erfolgt dieser Fehler nicht, auch innerhalb Windows 11 Gerätesicherheit

[moinmoin]

Ist ja in Windows integriert. Dann kannst du nur abwarten. Ich wüsste jetzt nicht, wie man das KEK in VMWare integriert. 🤔

[DK2000]

Das scheint alles etwas falsch gedeutet zu sein, Das KEK 2023 ist im VMware UEFI enthalten:

Screenshot 2026-07-29 192154.png

Daran sollte es nicht liegen. Am besten mal das Skript verwenden:

https://github.com/cjee21/Check-UEFISecureBootVariables

Download: https://github.com/cjee21/Check-UEFISec ... s/main.zip

Und hier dann mal die "Check UEFI PK, KEK, DB and DBX.cmd" mit Adminrechten ausführen. Mich wurde mal interessieren, was da genau bei Dir drinsteht.

[Airgun]

VMWare Check UEFI KEK.jpg

Vielen Dank für diesen Hinweis, hier das Resultat per ScreenShot:

[DK2000]

Mh? Wieso fehlt da das KEK? Welche Hardwareversion hat die VM? Eventuell wird das falsche EFI ROM geladen.

Das ist jetzt aber auch eine Windows 11 VM mit TPM?

[Airgun]

Beil die VMWare Version inkl. KEK Check des PCs, falls es hilft?

[DK2000]

Es geht um die Hardwareversion der VM. Sollte die aktuelle sein. Wenn DU die VM direkt für Windows 11 angelegt hast, sollte das eigentlich passen.

Ich verstehe bloß jetzt nicht, warum das KEK da fehlt. Im VMware UEFI wird es angezeigt. Windows hatte ich da nicht installiert. Hatte nur das UEFI einer neu angelegten Win11 VM aufgerufen. Eventuell müsste ich da vielleicht doch mal Windows installieren und schauen, was das bei mir sagt.

[DK2000]

Screenshot 2026-07-30 174138.png

Das ist jetzt komisch. Bei mir pass das so weit.

Das "Microsoft Corporation KEK 2K CA 2023" ist vorhanden, nur das "Microsoft Option ROM UEFI CA 2023" mag der nicht installieren. Aber das wohl für die VM auch nicht so wichtig.

Aber warum bei Dir jetzt das KEK fehlt, verstehe ich da nicht. Da muss irgendwas nicht passen.

[bodu]

VMware® Workstation Pro 26H1 / Windows 11 Pro Gerätesicherheit Sicherer Start ist aktiviert, das autom. Update Zertifikat nicht unterstützt.

Secure Boot Certificate Expirations and Update Failures in VMware Virtual Machines
https://knowledge.broadcom.com/external ... s-and.html

Füge den generischen PK Platform Key WindowsOEMDevicesPK.der hinzu:
Manual Update of the Secure Boot Platform Key in Virtual Machines
https://knowledge.broadcom.com/external/article/423919
https://github.com/microsoft/secureboot ... edObjects/

[DK2000]

Ja, das hatte ich auch gelesen. Aber nach Installation der Workstation Pro 26H1 war das alles automatisch bereits im VMware UEFI integriert. Windows hat dann wohl nur noch DBX und SVN aktualisiert. Nur "Microsoft Option ROM UEFI CA 2023" geht wohl nicht. Manuell musste ich da in Sachen PK und KEK nichts machen. Auch alle weiteren CA 2023 Zertifikate sind in Default DB bereits enthalten.

Warum das bei ihm da nicht klappt, weiß auch nicht. Entweder hat die VM eine älter Hardwareversion oder aus irgendwelchen Gründen lädt die VM nicht das aktuelle EFI ROM. Da passt irgendwas mit der VM nicht.

Ach so. Und damit man die Zertifikate ggf. manuell wie in den Links oben beschrieben, aktualisieren will, dann muss man das in der Workstation zuerst für jede VM freischalten. Dazu in der .vmx der VM folgendes hinzufügen (müsste auch in der globalen Konfigurationsdatei gehen):

Code: Alles auswählen

uefi.allowAuthBypass = "TRUE"

Ansonsten gibt es da im UEFI-Setup keine Option, um die Zertifikate zu bearbeiten.

Aber muss man jetzt halt abwarten, wenn sich Airgun wieder meldet und was daraus geworden ist.

[bodu]

Hier waren die 2023 Key in den Default Tabelle.
Die bestehenden Current Tabelle einer bestehenden virtuellen Maschine wurden nicht aktualisiert.
Das enstpricht dem Verhalten eines BIOS Updates, bestehende Current Tabellen werden beibehalten.
Die Current Tabelle einer alten bestehenden virtuellen Maschine war hier manuell zu beschreiben, im UEFI den PK Key laden.

Evtl gibt es auch ein reset im UEFI, das die default in die current Tabelle übernimmt.
Das wird Versionsabhängig sein.
Als Hack mag auch die *.nvram Datei zu löschen sein, nicht geteset. Sicherungskopie....

Eine neue virtuelle Maschine wird die Default Tabelle in die Current Tabelle laden.