Windowsのセキュアブート証明書は2026年6月に期限切れになります。今すぐ何をすべきでしょうか？

最新のWindowsブートの基盤となる暗号化による信頼性が、静かに、しかし重要な移行期を迎​​えています。2011年以降にコンピュータに搭載されてきたセキュアブート証明書は、2026年6月から順次期限切れとなり、マイクロソフトはWindows Updateを通じて提供される新しい2023年版証明書ファミリーへの置き換えを進めています。この話の恐ろしい側面は、デバイスが起動しなくなる可能性があることですが、実際はそれほど劇的なものではなく、ほとんどのユーザーにとってはほとんど気づかない程度です。

簡単な回答： Windows Updateを有効にしたまま、最新の累積更新プログラムをインストールしてください。次に、Windowsセキュリティを開き、「デバイスのセキュリティ」 > 「セキュアブート」に進み、ステータスが新しい2023年の信頼チェーンになっていることを確認してください。ほとんどの対応デバイスでは、ファームウェアの手動作業は不要です。

---

2026年に有効期限が切れるセキュアブート証明書はどれですか？

期限は一つではありません。2011年のインフラストラクチャは年間を通して段階的に段階的に停止されるため、様々な日付が提示されています。最初の有効期限は6月下旬から始まり、その後数か月後の10月にWindowsオペレーティングシステムのキーが期限を迎えます。

証明書	役割	有効期限
KEK CA 2011	署名データベースの更新に使用される鍵交換鍵	24年2026月XNUMX日
UEFI CA 2011	第三者署名アンカー	27年2026月XNUMX日
WindowsプロダクションPCA 2011	オリジナルのWindowsブートマネージャーキー	أكتوبر2026

2023年に発売された後継機種は、この信頼を維持するために設計されており、2038年まで有効であると見込まれています。当面の目標は、旧機種が使用不能になる前に、既存のコンピュータを新機種に移行することです。

---

2026年6月の締め切りを過ぎてしまった場合はどうなりますか？

初日に問題が発生することはありません。2011年の証明書を使用しているコンピューターも、引き続き正常に動作します。有効期限が切れたからといって、デバイスが完全に使えなくなるわけではありません。

コストは徐々に増加し、累積していきます。古い証明書を使用しているシステムは、重要なブートセキュリティアップデートを受け取れなくなり、将来のDBX失効リストアップデートも受け取れなくなる可能性があります。このリストは、BlackLotusなどの既知の悪意のあるブートコンポーネントやブートキットの脅威をブロックします。2023シリーズを受信しないデバイスは、時間の経過とともにファームウェアレベルの攻撃に対する保護が難しくなり、将来的にデバイスに不足している信頼できる情報を含むブートマネージャやリカバリ環境を期待するようになるかもしれません。

したがって、「今日は機能する」という表現は正確です。しかし、「永久に安全であり続ける」という意味ではありません。

Windowsでセキュアブートの状態を確認する方法

アップデートがいつ届くかを推測する必要はもうありません。Windows は証明書の状態を Windows セキュリティ アプリに直接表示するようになったため、以前のように PowerShell で検索する必要がなくなりました。

1.検索バーに「Windows セキュリティ」と入力して開きます。これは、デバイスを保護するための組み込みのコントロールパネルです。

2. 「デバイスセキュリティ」を選択し、下にスクロールして「セキュアブート」の項目を探します。ステータステキストとバッジの色は、現在のデバイスの状態を示します。

3. メッセージを読んでください。「セキュアブートが有効になっています。デバイスの起動時に悪意のあるソフトウェアが読み込まれるのを防ぎます」というメッセージが表示されるのが正常な状態です。「更新が必要な古いブート信頼設定があります」というメッセージが表示されている場合は、移行プロセスがまだ完了していないことを意味します。

明確な「はい」か「いいえ」の回答が必要な場合は、管理者としてPowerShellを開き、1回のスキャンを実行してください。マシンはUEFIモードでセキュアブートが有効になっている必要があります。仮想マシン内からはこのコマンドは実行できません。

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

値 True 2023年の証明書の存在について。 False これは、新しい証明書がまだ導入されていないことを意味します。

---

緑、黄、赤のセキュアブートバッジは何を意味しますか？

Windowsセキュリティの状態表示には、3つの明確な状態が表示されます。これを利用して、心配する必要がないか、あるいはデバイスをより詳細にスキャンする必要があるかを判断してください。

バッジ	意味	アクション
緑	2023年の新証明書が確定しました	特に何もする必要はありません。
黄	彼はまだ古い証明書を使用しているか、段階的な配布を待っている状態だ。	インストール 更新 デバイスを再起動して、後で確認してください。
赤	ブート構成の問題により、アップデートが妨げられています。	ファームウェアまたはセキュアブートの設定に関する問題を解決するか、OEMファームウェアを適用してください。

赤色のインジケーターは、ITチームにとって最も重要な情報です。これは通常、ファームウェアの状態、ディスクレイアウト、またはデバイスのターゲット設定が原因で、Microsoftによるデバイスの自動配信が妨げられていることを示しています。そのため、Windows Updateを再起動するだけでは問題が解決しない場合があります。このような場合は、ファームウェアやブート設定のより深い問題に対処する必要があるかもしれません。ゲーマー向けWindows 11へのアップグレードに関する詳細は、他の記事をご覧ください。

---

SecureBootフォルダと追加の再起動：なぜこれらは正常な動作なのでしょうか？

このアップデートの2つの側面がユーザーを不安にさせている。1つ目は、新しいフォルダの出現である。 SecureBoot Cドライブ上のこのフォルダは、Windowsが証明書ファイルをマザーボードのファームウェアにインストールする前に一時的に保存する、正当な一時保存領域です。このフォルダを削除することは、まさにあなたが避けようとしている問題を引き起こす一種の「クリーンアップ」行為なので、そのままにしておくことをお勧めします。

2つ目の点は、頻繁な再起動です。ファームウェアにデータをプッシュするには、証明書を準備するための再起動、ファームウェアが証明書を適用するための再起動、そして新しく署名されたブートローダーをロードするための再起動の3回が必要です。したがって、通常よりも多くの再起動が必要となるアップデートは、この場合想定される動作であり、インストールの失敗を示すものではありません。

BitLockerを無効にする必要もありません。このプロセスはBitLockerと互換性があり、BitLockerと仮想セキュアモードの両方のキーを自動的に再ロックするため、再起動後もWindows Helloとディスク暗号化が維持されます。

---

セキュアブート証明書の更新がスキップまたはブロックされるのはどのような場合ですか？

すべてのデバイスが新しい認証を取得できるわけではなく、これは意図的なものです。これに関する規則は具体的かつ明確です。

• 従来のBIOSシステム これらのシステムは完全にバイパスされます。セキュアブートをサポートしていないため、対応していないシステムとしてマークされ、Windows はこれらのシステムを更新しようとしません。
• CSM（互換性サポートモジュール）デバイス UEFIとセキュアブートを実行できる機能を維持している限り、アップデートを受け取ることができます。
• BIOSでセキュアブートを無効にする このアップデートは意図的にブロックされています。UEFIの実装には大きな違いがあるため、Microsoftはブートシーケンスの破損を防ぐためにセキュアブートをアクティブに有効にすることを要求しています。

セキュアブートを意図的に無効にした場合、デバイスは再起動するまで古い証明書を使い続けます。ただし、注意すべき特別なケースがあります。移行後にCMOSを消去したりBIOSをリセットしたりすると、元の構成が復元され、起動時にセキュアブート違反が発生する可能性があります。これは通常、Windowsに証明書を再適用させるか、ファームウェア設定から最新のキーをインポートすることで解決できます。

Windows 10搭載デバイスでもこれが必要ですか？

はい、Windows 10 デバイスにはこのアップデートが必要です。セキュア ブートの基盤となるインフラストラクチャは共有されているため、サポートされている Windows 10 システムはすべて同じ 2023 年の証明書を受け取ります。ただし、適用条件があります。証明書の転送は Windows Update を介して行われるため、関連するアップデートを引き続き受信するには、Windows 10 デバイスで拡張セキュリティ更新プログラム (ESU) が有効になっている必要があります。

一般ユーザーの場合、Windows 10のESU（拡張ソフトウェアアップデート）のサポート期間は、メインストリームサポート終了後1年間です。この期間が終了すると、移行されていないWindows 10デバイスは、既にアップデートの受信が停止しているため、起動時の保護機能が著しく低下します。

---

セキュアブート証明書の手動更新を強制する

ほとんどの一般家庭ユーザーは、通常この手順を実行する必要はありません。移行プロセスはWindows Updateを介して自動的に実行されるように設計されており、[設定] > [プライバシーとセキュリティ] > [診断とフィードバック]で診断を有効にすると、システムが既存の証明書を識別しやすくなります。ただし、どうしても移行できないデバイスがある場合は、手動でアップデートを実行するためのサポートされている方法があります。

1. コマンドプロンプトを管理者として開き、「利用可能な更新プログラム」を選択します。これにより、Windows はセキュアブートの更新プログラムを構成するようになります。

reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

2. 更新を実行するスケジュール済みタスクを実行します。

Start-ScheduledTask -TaskName "MicrosoftWindowsPISecure-Boot-Update"

3. コンピュータを再起動してください。安定するまでに数回自動的に再起動する場合があります。その後、上記で説明したPowerShellスキャンを再度実行してください。結果は… True 2023年の証明書が現在有効になるまで。

注：アップデートが引き続き失敗する場合は、デバイスの製造元からファームウェアのアップデートが必要になる場合があります。一部の古いマザーボードは、UEFIのバージョンが更新されていないと、新しい証明書アーキテクチャに対応できないことがあります。

---

サーバー、Hyper-V、およびエンタープライズ向けフリート

管理環境は、一般消費者向けPCよりも多くの注意を必要とします。Windows Serverは一般消費者向けに設計された自動更新プロセスには従わないため、管理者はMicrosoftのセキュアブート証明書更新のためのサーバー準備ガイドラインに従って、新しい証明書を手動で適用する必要があります。Hyper-V展開の場合、変更を適切に適用する前に、ホスト仮想マシンとゲスト仮想マシンの両方で更新が必要になる場合もあります。

「セキュアブート証明書の更新を有効にする」ポリシーを、すべてのデバイスに対して一括で有効にしないでください。機種間のファームウェアの違いにより不具合が発生する可能性があり、プラットフォームの互換性を確認せずに一括再起動を実行すると、暗号化されたデバイスがBitLockerの回復ループに陥る可能性があります。そのため、まずは各デバイスモデルの代表的なサブセットでテストを実施してください。

ネットワークベースのブート (PXE ブート) には独自の制限があります。このプロトコルではクライアントごとに 1 つのブートマネージャしか提供できないため、2011 と 2023 のブートマネージャを単一の boot.wim ファイルに共存させることはできません。すべてのデバイスの移行が完了したら、管理者は DISM を使用して boot.wim ファイルを手動でアップロードして更新できます。監視目的で、Microsoft は PowerShell スクリプトを提供しており、証明書が利用可能だがまだ適用されていない場合、Intune で管理されているデバイスにイベント ID 1801 が表示されることがあります。TPM WMI ソース内のイベント ビューアー ログも、ステータスを確認するもう 1 つの場所です。

---

重要なポイントは、2026年6月は期限であって、大惨事ではないということです。Windows 11およびWindows 10デバイスは、2011年の証明書の有効期限が切れた後も引き続き動作し、Windows 11のクリーンインストールや26H2へのアップグレードも当面は問題なく行えます。注意すべきは、長期間放置されているデバイス、例えば、アイドル状態のバックアップ、サービスキオスク、新しいシリーズに対応するほど長期間更新されていないラボ用コンピュータなどです。それ以外のユーザーは、Windowsを最新の状態に保ち、プロンプトが表示されたら再起動を許可し、新しいフォルダをそのままにしておき、完了したら緑色のバッジが表示されることを確認してください。