Windows Update sluit in 2027 de deur voor Windows zonder support

Microsoft heeft op 9 oktober 2026 aangekondigd dat de certificaten waarmee Windows-apparaten de updateservers van Windows Update vertrouwen, op 17 mei en 19 juni 2027 verlopen. Apparaten met een ondersteunde Windows-versie die de maandelijkse updates netjes installeren, hebben de vervangende certificaten al binnen of krijgen ze automatisch. Apparaten met een Windows-versie die niet meer wordt ondersteund, krijgen die nieuwe certificaten niet en verliezen daarmee na die data de toegang tot Windows Update.

Dat is een wezenlijk andere situatie dan het aflopen van reguliere ondersteuning. Tot nu toe was 'geen support' vooral een contractuele en beleidsmatige kwestie: Microsoft maakte geen nieuwe patches meer, maar het updatekanaal zelf bleef technisch werken. Vanaf medio 2027 wordt dat kanaal ook daadwerkelijk afgesloten. Voor organisaties die nog Windows 10-pc's zonder ESU, oudere Windows 11-builds of servers op Windows Server 2016 en 2019 in gebruik hebben, is dit het moment om de inventarisatie en vervanging concreet in te plannen.

Wat er precies verandert aan Windows Update

Windows Update controleert met digitale certificaten of de verbinding met de updateservers van Microsoft echt is en of de aangeboden updates authentiek zijn. Net als elk certificaat hebben deze een einddatum en moeten ze periodiek worden vervangen. Volgens de berichtgeving van BleepingComputer noemt Microsoft dit een standaard beveiligingspraktijk en verloopt een set van deze certificaten op 17 mei 2027 en op 19 juni 2027.

De vervangende certificaten zijn volgens Techzine al opgenomen in reguliere beveiligingsupdates. Voor een pc of server die bij is met updates verandert er dus niets. Het probleem ontstaat bij twee groepen apparaten:

• Ondersteunde Windows-versies met een update-achterstand. Deze apparaten verliezen na de deadline de toegang tot Windows Update, maar kunnen de benodigde update alsnog handmatig installeren via de Microsoft Update Catalog of via de eigen beheertools. Daarna werkt Windows Update weer.
• Niet-ondersteunde Windows-versies. Deze krijgen geen nieuwe maandelijkse updates en dus ook geen nieuwe certificaten. Volgens Security.NL verliezen deze systemen permanent de toegang tot Windows Update en ontvangen ze daardoor ook geen updates meer die nog wél voor deze versies beschikbaar waren, zoals definitie-updates of out-of-band fixes.

Belangrijke uitzondering: de waarschuwing geldt volgens Dutch IT Channel niet voor apparaten die hun updates ontvangen via een lokale Windows Server Update Services-omgeving (WSUS). Organisaties die hun updatedistributie volledig via WSUS laten lopen, raken deze specifieke afhankelijkheid dus niet, maar hebben uiteraard nog steeds te maken met het feit dat Microsoft voor niet-ondersteunde versies geen nieuwe patches meer maakt.

Welke Windows-versie heeft welke update nodig?

Microsoft heeft per versie vastgelegd welke maandelijkse beveiligingsupdate minimaal geïnstalleerd moet zijn en vóór welke datum. De vroegste deadline geldt voor de oudere LTSC- en servergeneraties.

Schuif de tabel opzij voor alle kolommen.

Let op de positie van Windows 10 in dit overzicht. Windows 10-pc's die via het Extended Security Updates-programma nog patches ontvangen, tellen als ondersteund en krijgen de nieuwe certificaten via de reguliere ESU-updates. Windows 10-pc's zónder ESU zijn sinds 14 oktober 2025 niet meer ondersteund en vallen in de onderste rij. Voor die groep geldt al een jaar: Windows 10 geen updates meer. Na juni 2027 komt daar bij dat ook het updatekanaal zelf niet meer bereikbaar is.

Waarom dit meer is dan het ESU-verhaal

In ons eerdere artikel over het einde van het eerste ESU-jaar op 13 oktober 2026 ging het om de vraag of u de verlenging voor Windows 10 nog wilt betalen. De certificaatrotatie voegt daar een technische dimensie aan toe. Tot nu toe kon een organisatie met niet-ondersteunde apparaten nog terugvallen op wat Windows Update wél bleef leveren: Defender-definities, bepaalde servicing stack-updates en incidentele uitzonderingspatches zoals Microsoft die in het verleden bij zeer ernstige lekken ook voor oude versies uitbracht. Na de rotatie is die route dicht.

De certificaatwissel staat bovendien niet op zichzelf. Volgens heise is dit de volgende certificaatvervanging na die van de Secure Boot-certificaten, die Microsoft na vijftien jaar moest vernieuwen en die vanaf juni 2026 verlopen. Ook bij Secure Boot gold dat niet-ondersteunde Windows-versies de nieuwe certificaten niet ontvangen. Daarnaast vernieuwt Microsoft de certificaatautoriteiten waarmee Windows zelf wordt ondertekend. Het patroon is helder: de cryptografische fundamenten van Windows worden in 2026 en 2027 in hoog tempo vernieuwd, en alleen ondersteunde versies gaan daarin mee.

Daar komt nog een datum bij die in veel organisaties onderbelicht is. Volgens Dutch IT Channel eindigt de ondersteuning van Windows 10 Enterprise LTSC 2021 op 12 januari 2027; Windows 10 IoT Enterprise LTSC blijft wel ondersteund tot 13 januari 2032. Wie LTSC 2021 inzet op kassasystemen, meetapparatuur of productiewerkplekken, zit dus al vóór de certificaatrotatie zonder reguliere updates, tenzij er ESU voor LTSC wordt afgenomen.

Wat dit betekent voor uw organisatie

De impact verschilt sterk per situatie. Hieronder de belangrijkste afwegingen per type omgeving.

Kantooromgeving met resterende Windows 10-pc's

Heeft u nog Windows 10-werkplekken zonder ESU, dan is er feitelijk geen tussenweg meer. Die pc's draaien al een jaar zonder patches en verliezen in juni 2027 ook de laatste restfunctionaliteit van Windows Update. Voldoet de hardware aan de eisen van Windows 11 (TPM 2.0, ondersteunde processor), dan is een in-place upgrade de goedkoopste route. Voldoet de hardware niet, dan is vervanging door een nieuwe desktop of workstation of een zakelijke notebook de enige structurele oplossing. ESU koopt tijd tot uiterlijk oktober 2028, maar verlegt de vervanging alleen en wordt per jaar duurder.

Productie-, zorg- en kassaomgevingen met LTSC

Hier speelt vaak dat de aangesloten apparatuur of de leverancierssoftware een specifieke Windows-versie voorschrijft. Windows 10 Enterprise 2019 LTSC heeft de vroegste deadline van 17 mei 2027 en moet de update van juli 2026 of later hebben. LTSC 2021 verliest op 12 januari 2027 de reguliere ondersteuning. Stem nu al met de leverancier van de applicatie of het apparaat af welke Windows-versie wordt ondersteund, en overweeg voor nieuwe installaties Windows 10 IoT Enterprise LTSC of Windows 11 IoT Enterprise LTSC, afhankelijk van wat de leverancier certificeert.

Serverpark met Windows Server 2016 en 2019

Deze servers zijn nog in extended support, maar krijgen wel de vroegste deadline. Servers die rechtstreeks via Windows Update of Microsoft Update patchen, moeten vóór 17 mei 2027 de update van juli 2026 of later hebben. In de praktijk betekent dit dat een server die om wat voor reden dan ook een jaar geen cumulatieve update heeft gehad, bijvoorbeeld omdat een applicatie-eigenaar updates blokkeert, na die datum niet meer zelfstandig kan bijwerken. Combineer deze controle met het plannen van de overstap naar Windows Server 2025, zeker voor Server 2016 waarvan de extended support in januari 2027 eindigt.

Omgevingen met WSUS, Intune of andere beheertools

Patcht u via WSUS, dan raakt de certificaatwissel uw clients niet direct. Dat is geen reden om achterover te leunen: controleer of álle apparaten daadwerkelijk via WSUS rapporteren en of er geen thuiswerklaptops of losse systemen zijn die rechtstreeks met Windows Update praten. Bij Intune, Windows Update for Business of Autopatch lopen de updates via de Microsoft-updateservices en gelden de deadlines dus gewoon.

Wat u nu kunt doen

1. Inventariseer op versie- en buildniveau. Gebruik Intune, Configuration Manager, uw RMM-tool of een eenvoudige PowerShell-uitvraag om per apparaat de Windows-versie en de datum van de laatst geïnstalleerde cumulatieve update vast te leggen. Deel de lijst in drie groepen: ondersteund en bij, ondersteund met achterstand, en niet ondersteund.
2. Werk de achterstanden weg vóór de deadlines. Voor ondersteunde versies volstaat het installeren van de genoemde minimale update. Plan dit ruim vóór mei 2027, zodat een eventuele mislukte installatie nog hersteld kan worden terwijl Windows Update nog bereikbaar is.
3. Maak een vervangings- of upgradeplan voor de niet-ondersteunde groep. Bepaal per apparaat of een in-place upgrade naar Windows 11 mogelijk is of dat nieuwe hardware nodig is. Houd rekening met de huidige krapte in de geheugen- en SSD-markt die wij eerder beschreven: levertijden en configuraties kunnen afwijken van wat u gewend bent, dus begin de inkoop tijdig.
4. Controleer de certificaatstatus van Secure Boot in dezelfde ronde. U bent toch bezig met firmware en updates; neem de Secure Boot-certificaten en benodigde BIOS-updates van de fabrikant direct mee.
5. Leg de restrisico's vast. Zijn er systemen die om technische redenen niet gemigreerd kunnen worden, isoleer die dan in een apart netwerksegment, beperk de internettoegang en documenteer het risico voor uw auditor of verzekeraar.
6. Zet de deadlines in de kalender. 12 januari 2027 (einde LTSC 2021 en Server 2016), 17 mei 2027 en 19 juni 2027 zijn harde data. Plan de controlemomenten minstens een kwartaal eerder.

Veelgestelde vragen over Windows Update en de certificaatrotatie