セキュアブート証明書、主要9社の対応ガイドが出揃う。メーカー別の差と確認手順

情報の灯台

2026年6月29日 22:5500

セキュアブートの2011年版証明書が期限を迎え、主要PCメーカー9社がそれぞれサポートガイドを公開した。大半のPCはWindows Updateで自動更新されるが、メーカーごとに対応範囲とサポート打ち切りの線引きが異なる。自分のPCが更新済みか、取り残されるかは、メーカーのガイドを見ないとわからない。

期限は過ぎた。次に見るべきはメーカーのページ

6月24日にMicrosoft Corporation KEK CA 2011が失効し、27日にはMicrosoft UEFI CA 2011も失効した。残る1枚、Microsoft Windows Production PCA 2011は10月19日に期限を迎える。

Microsoftは6月の月例更新（KB5094126）で証明書の配信対象を大幅に拡大した。6月のWindows Updateを適用していれば、ほとんどのPCは新しい2023年版の証明書に移行している。

だが「ほとんど」の外にいるPCもある。ファームウェアの互換性が確認されていない端末、BIOSアップデートが未提供の古い機種、サポート期間が終了した製品。そうした端末にとっては、自分のメーカーが何をしているかが唯一の手がかりになる。

Microsoftは各メーカーのサポートページへのリンクを集約したOEMページを公開している。Dell、HP、Lenovo、ASUS、MSI、Acer、Samsung、LG、Microsoft Surfaceの9社に加え、dynabook、VAIO、エプソン、富士通、パナソニック、マウスコンピューターといった日本メーカーもリストに含まれている。

メーカーごとの対応に差がある

9社のガイドを並べると、情報の粒度にかなりの差がある。

ASUSは個人向け・法人向けで別ページを用意し、2024年以降に出荷したモデルは工場出荷時に2023年版証明書が搭載済みであることを明示した。黄色や赤の警告が出た場合のPowerShellコマンドやレジストリ操作の手順も掲載している。イベントログのエラーコード（1801〜1808）ごとの対処法をまとめたQ&Aページまで公開しており、今回のメーカー対応の中で最も情報量が多い。

LenovoはThinkPad、ThinkCentre、IdeaPad、Legion、Yogaの各製品ファミリーごとに、対応BIOSのバージョン番号とダウンロードリンクを直接掲載した。汎用のドライバページではなく、機種ごとのBIOSに直接飛べる構成になっている。企業向けにはIntuneやSCCMでの展開手順も併記されている。サポート期間終了製品にはBIOSを提供しないことも明記している。

Dellは製品ファミリーを横断する一覧ページを用意した。Alienware、Inspiron、XPS、Latitude、OptiPlex、Precision、Vostroごとに対応状況が確認できる。新規出荷PCには2024年末から2011年版と2023年版の両方の証明書を搭載しており、2025年末までに工場出荷の全製品をこの構成に移行したとしている。打ち切りの基準は「2026年1月1日より前にサポート期間が終了した製品」で、2019年頃のInspironなどが該当する。

ただし、Dellのコミュニティフォーラムでは、XPS 8910（2016年発売のデスクトップ）のユーザーがファームウェアのパーティションサイズ不足で証明書を書き込めない事例を報告している。古い設計のデスクトップでは、ファームウェアの物理的な制約で更新ができないケースが存在する。

HPは法人向けと個人向けで対応を分けている。法人向けPCでは、BIOSのSMBIOSバージョンフィールドに「SBKPFV3」の文字列が含まれていることが、Windows Updateで証明書を受け取る前提条件になる。HPは対応BIOSのバージョンを機種ごとにリスト化した。個人向けPCは2019年以降の製品が対象で、Windows UpdateとBIOSの最新化で自動対応される。

HP製PCを使っている場合、証明書より先に確認すべきことがある。2026年4月に配信されたHP法人向けBIOSアップデートが、BitLockerの回復ループとセキュアブート証明書の適用失敗を引き起こした。EliteBook、ProBook、ZBookの広範な法人モデルが影響を受けた。HPは修正済みBIOSを公開しているため、まずBIOSが修正版かどうかをHPのサポートサイトで確認するのが安全だ。

MSIはプロセッサ世代で対応を分けた。Intel第7〜11世代、AMD Ryzen 3000H〜5000Uを搭載したノートPCは、BIOSの更新なしにWindows Updateだけで証明書が更新される。Intel第12世代以降、AMD Ryzen 5000H以降のモデルには、2023年版証明書を含むBIOSアップデートがリリース済みだ。MSIはBIOS更新前にBitLocker回復キーを保存するよう案内しており、更新完了の確認方法としてイベントビューアーのイベントID 1808を挙げている。

AcerはAspire、Nitro、Predator、Swift、TravelMateなどのモデルテーブルを公開し、BIOSのリリース日を機種ごとに記載した。6月12日〜26日にBIOSが公開された機種がある一方、「Under process」（準備中）のままの機種もある。コミュニティフォーラムでは、2020〜2022年頃のAspire TC-895シリーズなど、モデルテーブルに名前がなく対応BIOSも提供されていない機種のユーザーから、黄色の警告が消えないとの報告が上がっている。

Samsungは韓国語のサポートページで、Galaxy Book 3以前のモデルにはWindows UpdateかMicrosoftの手動更新ガイドを案内している。LGはgramシリーズを含むLG PCについて確認手順とBIOS更新の案内を掲載した。Microsoft Surfaceは自社のファームウェア更新パイプラインで直接配信する。

取り残されるPCの共通点

メーカーを問わず、サポート期間が終了した製品にはBIOSアップデートを提供しないという方針は共通している。Dellは2026年1月1日より前にサポートが終了した製品を対象外とし、HPは法人向けPCで2018年以前のモデルを打ち切り、Lenovoもサポート終了製品を除外している。

古いデスクトップPCが最も影響を受けやすい。ノートPCはメーカーが比較的長期間ファームウェアを更新する傾向があるが、デスクトップPC（とりわけ安価なタワー型）はファームウェアのパーティション設計が古く、新しい証明書を格納する領域が物理的にないケースがある。DellのXPS 8910やAcerのAspire TC-895で報告されているのがこのパターンだ。

ただし、これらのPCもいきなり使えなくなるわけではない。Windowsは起動するし、通常のWindows Updateも届く。届かなくなるのは、起動プロセスに対するセキュリティ更新だけだ。