Ventoy ha appena affrontato una piccola rivoluzione sotto il cofano, e chi lo usa per creare chiavette multiboot farebbe bene a starci attento. Alla fine di giugno 2026 lo sviluppatore ha rilasciato diverse versioni nel giro di pochi giorni, tutte legate al passaggio ai nuovi certificati Secure Boot di Microsoft. In mezzo a questi aggiornamenti sono finite anche alcune correzioni importanti, e capire cosa aggiornare oggi può evitare grattacapi al momento dell’avvio.
Il concetto di base resta quello che ha reso questo tool così amato: si installa una volta il bootloader sull’unità USB e poi ci si copiano dentro immagini ISO, WIM, IMG, VHD, VHDX o EFI come fossero normali file. Al boot compare un menu da cui scegliere cosa caricare. Una sola chiavetta, quindi, può contenere più supporti d’installazione di Windows, distribuzioni Linux, utilità di manutenzione e persino installazioni complete in stile Windows To Go. Per i tecnici IT è pane quotidiano, perché permette di portarsi dietro tutto il necessario per riparare PC e assistere i clienti, in sede o in trasferta.
Perché è cambiata la catena di avvio
La tecnologia Secure Boot controlla i componenti eseguiti nelle primissime fasi di accensione, quando il sistema operativo non ha ancora preso il comando. Il firmware consulta due archivi principali: il db, che contiene certificati e hash autorizzati, e il dbx, che raccoglie le firme revocate. Le modifiche a questi archivi passano attraverso le Key Exchange Key, o KEK. Non basta insomma che un file EFI sia tecnicamente valido: il firmware deve poter ricondurre la sua firma a un’autorità considerata affidabile.
Ventoy inserisce nella catena uno shim, cioè un piccolo bootloader firmato che fa da ponte tra il firmware e i componenti successivi. Con la transizione alla UEFI CA 2023, i nuovi certificati digitali rilasciati da Microsoft, lo shim è stato aggiornato. La scelta è ricaduta su uno shim proveniente da Rocky Linux, firmato sia dalla UEFI CA 2011 sia dalla UEFI CA 2023. Questa doppia firma serve a migliorare la compatibilità in una fase in cui le macchine possono avere database di certificati molto diversi, a seconda degli aggiornamenti installati dal produttore e dal sistema operativo.
Come registrare la nuova chiave
Il punto delicato è questo: cambiando lo shim cambia anche la chiave associata a Ventoy. Dopo l’aggiornamento, al primo avvio con Secure Boot attivo compare l’errore Verification failed (0x1A) Security Violation, e basta premere un tasto per accedere alla gestione MOK. Da lì si sceglie Enroll Key from Disk, poi si seleziona VTOYEFI e infine ENROLLTHISKEYINMOKMANAGER.cer. Si conferma con Continue, si risponde Yes alla domanda Enroll the key e si riavvia. La procedura va fatta una sola volta per ogni macchina, ma in un laboratorio con decine di PC diversi diventa un lavoro da mettere in conto, perché ogni firmware conserva la propria autorizzazione in autonomia.
Chi aveva già autorizzato una versione precedente deve ripetere tutto, perché dalla release 1.1.14 il progetto usa una CA differente. Su alcuni firmware può servire anche attivare l’opzione “Allow Microsoft 3rd Party UEFI CA”: se la schermata MOK non appare o il firmware segnala una firma non valida, meglio controllare quell’impostazione prima di disabilitare del tutto Secure Boot. E vale la pena ribadirlo: l’approvazione va concessa solo a un supporto scaricato da fonti ufficiali e verificato tramite hash.
Le altre correzioni e i limiti da conoscere
L’aggiornamento distribuito dal 25 giugno 2026 ha risolto anche un problema fastidioso: su certi sistemi Ventoy non partiva quando Secure Boot risultava disattivato nel firmware. Colpa di alcune schede madri e notebook più datati, che applicano le specifiche UEFI in modo poco uniforme. Un altro ritocco riguarda VTOYWINUEFIRESLOCK, il parametro che blocca la risoluzione UEFI durante l’avvio di Windows o WinPE, utile quando lo schermo mostra immagini distorte o nere.
Tra le novità c’è poi l’opzione VTOYSECUREBOOTPOLICY, impostabile a 0 o 1. Con il valore 0, quello predefinito, Ventoy aggira i controlli Secure Boot sui file EFI caricati dopo. Con il valore 1 segue invece la politica definita dal firmware. Il primo aumenta la compatibilità ma abbassa le garanzie sulla provenienza dei componenti, mentre il secondo si sposa meglio con workstation aziendali e requisiti di conformità, al prezzo di qualche ISO datata che potrebbe non avviarsi.
Per aggiornare senza perdere dati basta estrarre la nuova versione in una cartella d’appoggio, avviare Ventoy2Disk.exe e cliccare su Update: le immagini nella partizione dati restano intatte. Resta però un limite invalicabile: Ventoy non può correggere un firmware privo dei certificati necessari, né modificare da solo i database db e dbx conservati nell’hardware. Una chiavetta multiboot è uno strumento operativo, non un oggetto da lasciare nel cassetto sperando che funzioni fra qualche mese. Serve manutenzione, verifica degli hash, aggiornamento delle immagini e prove periodiche su hardware recente e meno recente.
