セキュリティ

セキュアブート証明書が今日失効。PCの確認は1分で終わる

情報の灯台

2026年6月24日 15:0400

セキュアブートの証明書が今日、期限を迎えた。2011年に発行され、15年間Windows PCの起動を守ってきたものだ。Microsoftは期限直前に証明書の配信対象を大きく広げており、6月のWindows Updateを適用済みのPCなら、ほとんどは何もしなくていい。ただし「ほとんど」に入っているかどうかは、自分で見ないとわからない。

今日、何が起きたのか

本日失効したのは、Microsoft Corporation KEK CA 2011というセキュアブートの証明書だ。続いて6月27日にMicrosoft Corporation UEFI CA 2011が、10月19日にはMicrosoft Windows Production PCA 2011が失効する。

KEKは、セキュアブートの署名データベース（DB）と失効データベース（DBX）の更新を承認する「監督者」にあたる。これが失効すると、Microsoftは古い鍵で新しいDBX更新（悪意あるブートローダーのブロックリスト追加）に署名できなくなる。既存の署名済みパッチはそのまま機能するが、今後見つかる脅威への対処手段が一つ減る。

PCがいきなり動かなくなるわけではない。起動もする。通常のWindows Updateも届く。だが起動プロセスに対するセキュリティ更新だけが、静かに届かなくなる。症状が出ないまま守りが薄くなっていくのが、この問題のやっかいなところだ。

確認は1分で終わる

Microsoftは2026年4月のアップデートで、Windowsセキュリティアプリにセキュアブート証明書の更新状態を表示する機能を追加した。

確認手順はこれだけ。

「設定」→「プライバシーとセキュリティ」→「Windowsセキュリティ」→「Windowsセキュリティを開く」→「デバイスセキュリティ」→「セキュアブート」

緑のチェックマークが表示され「これ以上の証明書の変更は必要ありません」と書かれていれば、もう何もする必要はない。新しい2023年版の証明書はすでにファームウェアに書き込まれている。

黄色の警告が出ている場合、ファームウェアの互換性確認が済んでいないか、PCメーカーのBIOSアップデートが必要な状態だ。放置しても即座に問題は起きないが、次のWindows Updateサイクルを待つか、メーカーのサポートページでBIOSの更新がないか確認したい。

赤い警告は、ファームウェアの非互換が原因で証明書を書き込めない状態を示す。メーカーがBIOSアップデートを出していないなら、現時点で打てる手は限られる。

セキュアブートの項目自体が表示されない場合、セキュアブートが無効になっているか、非対応ハードウェアでWindows 11をインストールしている可能性が高い。

Windowsセキュリティステータス別ガイド

表示	状態	対処
緑	証明書適用済み	不要
黄	互換性確認中/BIOS更新要	WU待機/メーカー確認
赤	ファームウェア非互換	メーカーBIOS確認
非表示	セキュアブート無効	msinfo32で確認

msinfo32を開いて「セキュアブートの状態」が有効か無効かを確認するのが確実だ。

Microsoftは期限直前に対象を大幅拡大した

6月の月例更新（KB5094126）で、Microsoftは証明書更新の配信対象を大幅に広げた。2024年から2年にわたって段階的に進めてきたロールアウトの、事実上の最終波だ。

Microsoftは、診断データをもとに更新が安全に完了すると確認できたデバイスにのみ証明書を配信してきた。今回の更新でこの「高信頼度」カテゴリの範囲を大きく広げ、対象PCを一気に拡大した。6月のパッチを適用したPCの大多数は、すでに2023年版証明書の適用が完了しているか、バックグラウンドで進行中のはずだ。

なお、アップデート後にPCが2～3回再起動することがある。新しい証明書のファームウェアへの書き込み、ブートマネージャーの差し替え、新しい証明書チェーンでの起動という3段階それぞれで再起動が必要になるためで、これはMicrosoftが正常動作と確認している。

HPユーザーへの注意

HPの一部法人向けノートPCとワークステーションでは、今年初めに配信されたBIOSアップデートがBitLocker回復ループを引き起こす問題が報告されている。HPから修正版BIOSが出ているモデルもあるが、最新のBIOSが必ずしも安全とは限らない。HPのサポートページで自分のモデルの状況を確認してから適用すべきだ。

Windows 10ユーザーは条件つき

サポートが終了したWindows 10にも、セキュアブート証明書の更新は届いている。ただし、延長セキュリティ更新プログラム（ESU）に加入しているPCに限られる。

ESUに加入していないWindows 10は、そもそもWindows Updateを受信できない。つまり証明書の更新も届かない。今後Windows 11へ移行する予定があるなら、KEKの失効が済んだ今、先延ばしにする理由が一つ減ったことになる。

次の期限は3日後と4ヶ月後

6月24日は3つある期限の最初にすぎない。

6月27日に失効するMicrosoft Corporation UEFI CA 2011は、サードパーティ製のブートローダーやオプションROMの署名に使われる証明書だ。LinuxとWindowsのデュアルブート環境にとっては、ブートローダーの署名に直結するこちらの失効のほうが実質的に重い。Red Hatはすでに、2011年版と2023年版の両方で署名したshimを全サポートバージョンのRHEL向けにリリースしている。更新済みの環境であれば影響はない。

10月19日に失効するMicrosoft Windows Production PCA 2011は、Windowsブートマネージャーそのものの署名に使われている証明書で、3つの中では影響範囲が最も大きい。この期限までに2023年版証明書への移行が完了していないPCは、将来のブートマネージャー更新を受け取れなくなる。

セキュアブート証明書失効スケジュール

6月24日

KEK CA 2011

DB・DBX更新の署名鍵。新たな脅威のブロックリスト追加に影響

6月27日

UEFI CA 2011

サードパーティブートローダーの署名鍵。Linux環境に影響

10月19日

Windows PCA 2011

ブートマネージャーの署名鍵。3つの中で影響最大

2023年版の証明書は2038年まで有効だ（ただしWindows UEFI CA 2023のみ2035年6月に失効する）。今回の確認でグリーンが出ていれば、次に同じ問題を心配するのは10年近く先になる。

今日が期限だと聞いて確認し、緑のチェックマークを見て安心した。それでいい。この問題で最も危ないのは、確認すらしなかった人だ。