Windows 11 gaat oude, niet-ondertekende drivers standaard blokkeren

In dit artikel:

Microsoft blokkeert vanaf april verouderde kerneldrivers met verlopen certificaten in Windows. Alleen drivers die via het Windows Hardware Compatibility Program (WHCP) zijn goedgekeurd en ondertekend, worden door de kernel geaccepteerd. Fabrikanten en ontwikkelaars van bijvoorbeeld printers moeten dus nieuwe, geldige certificaten aanleveren om hun drivers te laten werken.

De maatregel sluit een oud omweggetje: het cross‑signed root‑programma, dat tot nu toe toestond dat verlopen of niet‑meer‑ondertekende certificaten toch werden uitgevoerd. Dat programma werd al in 2021 uitgefaseerd en Microsoft zet het nu definitief buiten werking. In de praktijk betekent dit dat veel oude drivers zonder recent certificaat niet meer starten, wat gevolgen kan hebben voor oudere hardware.

Om onvoorziene compatibiliteitsproblemen te beperken, voert Microsoft vanaf april een evaluatiemodus in voor bepaalde Windows‑versies (Windows 11 24H2, 25H2, 26H1 en Windows Server 2025). De kernel monitort drivers in die periode op stabiliteit (bijvoorbeeld 100 uur of na drie herstarts) voordat het nieuwe beleid volledig doorzet. Daarnaast kunnen bedrijven via de Application Control for Business‑policy tijdelijk het nieuwe kernelbeleid omzeilen, wat handig is in centraal beheerde omgevingen met legacy‑drivers.

Doel van de verandering is het vergroten van de veiligheid door te voorkomen dat verlopen of onbetrouwbare certificaten code in de kernel mogen draaien. Gebruikers en organisaties worden geadviseerd drivers te updaten of leveranciers te vragen om WHCP‑ondertekende versies.