"Windows Boot Manager has been blocked": ASUS bloccato dopo aggiornamento Windows ad Affori
Cliente di Affori, zona nord di Milano, ci porta in laboratorio un notebook ASUS che dopo l'ultimo aggiornamento di Windows non si avvia più: alla prima accensione compare un riquadro blu UEFI con il messaggio Windows Boot Manager has been blocked by the current security policy e nient'altro. Lo stesso identico errore lo abbiamo trattato lo stesso giorno su un Lenovo di un cliente di Gorgonzola: è un bug di compatibilità tra le patch Windows e Secure Boot UEFI. Disattivato Secure Boot dal BIOS, riparato il filesystem con CHKDSK, verificata l'integrità del sistema operativo con SFC e DISM. Zero dati persi, intervento in 1 ora.
In sintesi: notebook ASUS di un cliente di Affori (Milano nord) bloccato in avvio dopo l'ultimo aggiornamento Windows con il messaggio: Windows Boot Manager has been blocked by the current security policy. Fix: disattivare Secure Boot dal BIOS UEFI ASUS (F2 → F7 advanced mode → Security), avviare Windows, lasciare partire CHKDSK automatico, eseguire SFC /scannow e DISM /RestoreHealth. ~1 ora di intervento, zero dati persi, zero reinstallazioni.
Schermata di errore · Riparazione in corso
Nota sulle foto: il cliente di Affori non ci ha permesso di fotografare il suo notebook ASUS per ragioni di privacy. Le foto sotto sono state scattate sul Lenovo del cliente di Gorgonzola trattato in parallelo lo stesso giorno per lo stesso identico problema — schermata di errore identica, soluzione tecnica identica, risultato identico. Il logo Lenovo è visibile nelle foto ma il fix descritto è esattamente quello applicato anche all'ASUS del cliente di Affori. → Leggi il caso parallelo del cliente Lenovo di Gorgonzola.
Problema · PC bloccato
Soluzione · CHKDSK
C: per riparare gli errori del filesystem NTFS accumulati durante i tentativi falliti di avvio. "Correzione (C:) Fase 2: 65% (1370311 di 2087716)". Operazione completata senza perdita di dati.
Il problema iniziale
Il cliente di Affori aveva acceso il suo notebook ASUS al mattino, dopo che la sera prima Windows aveva scaricato e installato un aggiornamento di sicurezza. Alla prima accensione, schermata blu UEFI con il messaggio Windows Boot Manager has been blocked by the current security policy. Cliccando [Ok], il PC si riavvia e mostra esattamente la stessa schermata. Loop infinito, nessun modo di entrare in Windows, lavoro fermo. Coincidenza significativa: lo stesso identico errore lo abbiamo trattato lo stesso giorno su un secondo cliente (notebook Lenovo a Gorgonzola, Brianza est). Non un caso isolato: regressione di compatibilità lato Microsoft/OEM dopo l'ultima patch Windows.
La diagnosi
Ritirato l'ASUS ad Affori, in laboratorio abbiamo verificato:
- Hardware: notebook ASUS perfettamente funzionante, nessun guasto fisico, nessuna anomalia POST
- SSD: salute SMART OK, nessun settore danneggiato, ma errori sul filesystem NTFS dovuti ai riavvii forzati
- BIOS UEFI ASUS: Secure Boot abilitato, modalità UEFI pura (no Legacy/CSM)
- Boot loader Windows (
bootmgfw.efi) presente sulla EFI System Partition, firmato — ma il Secure Boot del firmware ASUS rifiuta la firma dopo l'aggiornamento Windows - Database certificati UEFI non aggiornato all'ultima Microsoft KEK + DBX, da qui il rifiuto della nuova firma
Causa accertata: l'aggiornamento Windows ha sostituito il bootmgfw.efi con una versione firmata da una chiave che non è ancora presente nel database Secure Boot del firmware UEFI ASUS. Il firmware, vedendo una firma "non whitelistata", blocca tutto come da policy. Non è un'infezione virus, non è un guasto hardware, non è un problema del disco: è un disallineamento tra Microsoft (chi firma) e l'OEM ASUS (chi mantiene la whitelist nel firmware).
💡 Stesso bug, due clienti, stesso giorno: lo abbiamo riscontrato in parallelo anche su un notebook Lenovo di un cliente a Gorgonzola, con un firmware UEFI di marca diversa e su un modello di PC totalmente diverso. Non è quindi un problema specifico ASUS, Lenovo o di una singola configurazione: è un bug ampio della patch Windows che colpisce qualunque PC con firmware UEFI non aggiornato all'ultima KEK Microsoft.
L'intervento (passo per passo)
Accesso al BIOS UEFI ASUS
Riavvio dell'ASUS premendo ripetutamente il tasto F2 (o Esc a seconda del modello) per entrare nel BIOS UEFI ASUS. Navigazione fino alla sezione Security → Secure Boot (nei BIOS ASUS modalità EZ Mode bisogna prima premere F7 per passare a Advanced Mode).
Disattivazione di Secure Boot
Impostazione Secure Boot da Enabled a Disabled (su alcuni BIOS ASUS bisogna prima impostare OS Type a "Other OS"). Salvataggio con F10 e uscita. Importante: NON si tocca la modalità UEFI/Legacy, NON si fa reset alle impostazioni di fabbrica, NON si svuotano le PK/KEK.
Primo avvio + CHKDSK automatico
Al riavvio, Windows parte ma rileva automaticamente errori sul filesystem NTFS (causati dai tanti riavvii forzati durante il loop di blocco). Lancia un CHKDSK in fase di boot sulla partizione C:: "Correzione (C:) Fase 2: 65%". Operazione completata in circa 10-15 minuti, errori riparati, nessun settore irreparabile.
Verifica integrità file di sistema con SFC
Una volta dentro Windows, apertura di un Prompt dei Comandi come amministratore ed esecuzione di sfc /scannow. System File Checker analizza tutti i file di sistema protetti di Windows e ripara automaticamente eventuali file corrotti o sostituiti, attingendo dalla cache locale C:\Windows\WinSxS.
Riparazione image Windows con DISM
Esecuzione di DISM /Online /Cleanup-Image /RestoreHealth. DISM (Deployment Image Servicing and Management) ripara eventuali corruzioni profonde dell'image Windows che SFC non riesce a sistemare, scaricando i file mancanti da Windows Update.
Verifica finale e raccomandazione cliente
Riavvio di prova, verifica che il sistema operativo si avvii regolarmente, controllo che tutti i documenti, programmi, profili e dati del cliente siano intatti al 100%. Spiegato al cliente che Secure Boot è ora disattivato come misura temporanea (sicurezza generale preservata, l'antivirus continua a funzionare). Quando Microsoft o ASUS rilasceranno una patch firmware UEFI che corregge il problema, sarà possibile riabilitare Secure Boot.
Risultato
Cos'è Secure Boot e perché un aggiornamento Windows può bloccarlo
Secure Boot è una funzione di sicurezza del firmware UEFI introdotta con Windows 8 e ormai standard su tutti i PC moderni (obbligatoria per Windows 11). Il suo compito è verificare la firma digitale del boot loader (il primo software che parte all'accensione) prima di permettergli di caricare il sistema operativo. Se la firma non è presente in una "whitelist" memorizzata nel firmware UEFI del PC, il sistema blocca tutto e mostra l'errore che ha colpito sia il cliente ASUS di Affori sia il cliente Lenovo di Gorgonzola.
Cosa può "rompere" Secure Boot dopo un aggiornamento Windows?
- Sostituzione del boot loader (
bootmgfw.efi) con una versione firmata da una chiave nuova non ancora presente nel database del firmware UEFI - Revoca di certificati: Microsoft può revocare certificati di firma compromessi (mitigazione vulnerabilità tipo BlackLotus, BootHole) — un boot loader firmato con un certificato revocato viene rifiutato
- Firmware UEFI obsoleto: produttori che non rilasciano da anni aggiornamenti BIOS hanno la whitelist Secure Boot ferma a vecchie chiavi
- Bug di compatibilità: a volte è proprio un bug della patch Microsoft che colpisce specifiche combinazioni hardware (il nostro caso, con ASUS + Lenovo colpiti lo stesso giorno)
⚠️ Disattivare Secure Boot è pericoloso? Disattivare Secure Boot NON espone il PC a virus comuni: antivirus, firewall e protezioni Windows continuano a funzionare normalmente. Si perde solo la protezione contro una categoria molto specifica di malware avanzati (bootkit/rootkit UEFI) che intervengono prima del caricamento di Windows. Per la maggior parte degli utenti privati e professionisti è una rinuncia accettabile, soprattutto come soluzione temporanea in attesa di patch ufficiali Microsoft/OEM.
Hai lo stesso errore? Cosa NON fare
- NON reinstallare Windows da zero: il problema è nel firmware UEFI, non nel sistema. Reinstalleresti perdendo tutto e potresti ritrovarti nello stesso loop
- NON cambiare da UEFI a Legacy/CSM: rompi il boot di Windows (installato in modalità UEFI/GPT) e ti ritrovi con un disastro peggiore
- NON resettare il BIOS alle impostazioni di fabbrica: in alcuni modelli ASUS questo riabilita Secure Boot in automatico
- NON forzare lo spegnimento durante CHKDSK: lascialo terminare anche se sembra fermo per minuti su una percentuale
- NON cancellare le PK/KEK dal BIOS: non risolve il problema e renderebbe complicato riabilitare Secure Boot in futuro
Se il tuo PC mostra l'errore "Windows Boot Manager has been blocked by the current security policy", non perderci ore: portacelo o chiamaci. In genere risolviamo in 1 ora senza perdere nulla. Operiamo ad Affori, Niguarda, Bovisa, Dergano, Comasina, Bruzzano, Maciachini, Isola e in tutta Milano nord.
📍 Lavoro svolto in zona Affori, Milano nord
Il ritiro è stato gratuito a domicilio in zona Affori, quartiere residenziale di Milano nord servito dalla M3 (fermate Affori Centro e Affori FN). Il nostro laboratorio si trova in Viale Sarca 322, Milano, a circa 10 minuti d'auto dad Affori. Per i clienti di Milano nord operiamo con ritiro e riconsegna a domicilio gratuiti oppure con appuntamento in laboratorio.
Copertura zone limitrofe Milano nord: Milano centro, Affori, Niguarda, Bovisa, Dergano, Maciachini, Comasina, Bruzzano, Isola, Cà Granda. Per prezzi e tipologie di intervento consulta il listino completo.
Domande frequenti
Le domande che ci fanno più spesso i clienti su questo tipo di intervento.
Cosa significa 'Windows Boot Manager has been blocked by the current security policy'?
Devo reinstallare Windows da zero per risolvere?
Disattivare Secure Boot è pericoloso?
Quanto tempo serve per riparare un PC con questo errore?
Come si entra nel BIOS UEFI di un notebook ASUS?
Lo stesso errore può capitare anche su PC Lenovo, HP, Dell?
Il tuo PC è bloccato con lo stesso errore?
"Windows Boot Manager has been blocked by the current security policy" si risolve in genere in 1 ora senza perdere dati. Diagnosi gratuita, ritiro a domicilio o appuntamento in laboratorio. Operiamo in tutta Milano nord.