UEFI

Secure Boot証明書移行、OEM12社が疑問に回答

Windows11

Secure Boot証明書移行、OEM12社が疑問に回答

10月の最終期限を前に、IT管理者が抱えていた具体的な疑問に対し、MicrosoftとPC各社が同時に答えた。 12時間のQ&Aが残したもの 7月15日、MicrosoftはTech Community上でOEM Secure Boot Office Hoursを開催した。Acer、ASUS、Cisco、Clevo、Dell、富士通、Honor、HP、Lenovo、LG、Surface、Xiaomiの12社が参加し、太平洋時間の午前7時から午後7時までの12時間にわたってIT管理者の質問を受け付けた。 Secure Boot証明書の2011年チェーンから2023年チェーンへの移行が始まって3週間以上が経過している。Microsoft Corporation KEK CA 2011は6月24日に、Microsoft UEFI CA 2011は6月27日にそれぞれ期限切れを迎えた。残るMicrosoft Windows Production PCA 2011の失効は10月19日。IT管理者にとっては、自分の環境にある全デバイスの移行を完了させるか、少なくとも計画を確定させるまでの猶
マイクロソフト、一部PCのセキュアブート更新を一時停止。確認方法

Windows

マイクロソフト、一部PCのセキュアブート更新を一時停止。確認方法

6月に期限を迎えたセキュアブート証明書の更新が、一部のWindows PCで自動適用されないまま止まっている。マイクロソフトはファームウェア起因の既知の問題を公式に認め、該当するPCへの配信を一時停止した。 Windowsセキュリティに表示される2つの警告 マイクロソフトが6月29日付で公開したサポートドキュメントは、セキュアブート証明書を受け取れないPCを2つの状態に分類している。 1つ目が「一時停止」だ。Windowsセキュリティアプリの「デバイスセキュリティ」→「セキュアブート」を開くと、該当するPCには「既知の問題の影響を受けている」旨のメッセージが表示される。 マイクロソフトとPCメーカーが共同で原因を調査しており、修正が完了するまで証明書の配信を止めている。 2つ目が「非サポート」だ。ハードウェアやファームウェアの制限により、自動更新の経路自体が使えないPCに表示される。 メーカーのサポートが終了した古い機種や、ファームウェア更新の提供見込みがないPCがここに該当する。 セキュアブート証明書が届かないPCの2つの状態 一時停止非サポート表示既知の
セキュアブート証明書、主要9社の対応ガイドが出揃う。メーカー別の差と確認手順

セキュアブート

セキュアブート証明書、主要9社の対応ガイドが出揃う。メーカー別の差と確認手順

セキュアブートの2011年版証明書が期限を迎え、主要PCメーカー9社がそれぞれサポートガイドを公開した。大半のPCはWindows Updateで自動更新されるが、メーカーごとに対応範囲とサポート打ち切りの線引きが異なる。自分のPCが更新済みか、取り残されるかは、メーカーのガイドを見ないとわからない。 期限は過ぎた。次に見るべきはメーカーのページ 6月24日にMicrosoft Corporation KEK CA 2011が失効し、27日にはMicrosoft UEFI CA 2011も失効した。残る1枚、Microsoft Windows Production PCA 2011は10月19日に期限を迎える。 Microsoftは6月の月例更新（KB5094126）で証明書の配信対象を大幅に拡大した。6月のWindows Updateを適用していれば、ほとんどのPCは新しい2023年版の証明書に移行している。 だが「ほとんど」の外にいるPCもある。ファームウェアの互換性が確認されていない端末、BIOSアップデートが未提供の古い機種、サポート期間が終了した製品。そうした端末に
セキュアブート証明書が今日失効。PCの確認は1分で終わる

セキュリティ

セキュアブート証明書が今日失効。PCの確認は1分で終わる

セキュアブートの証明書が今日、期限を迎えた。2011年に発行され、15年間Windows PCの起動を守ってきたものだ。Microsoftは期限直前に証明書の配信対象を大きく広げており、6月のWindows Updateを適用済みのPCなら、ほとんどは何もしなくていい。ただし「ほとんど」に入っているかどうかは、自分で見ないとわからない。 今日、何が起きたのか 本日失効したのは、Microsoft Corporation KEK CA 2011というセキュアブートの証明書だ。続いて6月27日にMicrosoft Corporation UEFI CA 2011が、10月19日にはMicrosoft Windows Production PCA 2011が失効する。 KEKは、セキュアブートの署名データベース（DB）と失効データベース（DBX）の更新を承認する「監督者」にあたる。これが失効すると、Microsoftは古い鍵で新しいDBX更新（悪意あるブートローダーのブロックリスト追加）に署名できなくなる。既存の署名済みパッチはそのまま機能するが、今後見つかる脅威への対処手段が一つ減
セキュアブート証明書、期限目前に大規模配信へ

セキュリティ

セキュアブート証明書、期限目前に大規模配信へ

2011年に発行され、Windowsの起動を15年間守ってきたセキュアブート証明書が、6月24日に期限を迎える。Microsoftは6月のPatch Tuesdayで、後継となる2023年版の証明書を事実上すべてのWindows 11/10 PCへ一斉配信し始めた。多くのユーザーにとって必要な操作はゼロだが、その「何もしなくていい」には前提がある。 PCが起動しなくなる、は誤解 まず結論から入る。6月24日を過ぎても、2011年版の証明書のままのPCは普通に起動する。Windows Updateも止まらない。日常の操作は何も変わらない。 では何が起きるか。起動プロセスに対するセキュリティ更新を、今後受け取れなくなる。 具体的には、ブートマネージャーの更新、セキュアブートデータベースの失効リスト（DBX）の更新、そして新たに発見されたブートレベルの脆弱性に対する緩和策。これらがすべて届かなくなる。 この「届かなくなるもの」の中にDBXがある点が厄介だ。DBXとは、既知の悪意あるブートコンポーネントをブロックするための拒否リストで、BlackLotusブートキット（CVE-202
セキュアブート証明書の期限まで2週間、マイクロソフトが踏み込んだ回答

セキュリティ

セキュアブート証明書の期限まで2週間、マイクロソフトが踏み込んだ回答

セキュアブートを支えてきた証明書「Microsoft Corporation KEK CA 2011」の有効期限が6月24日に迫っている。マイクロソフトは6月4日、企業管理者向けに第2回のAMA（公開質疑応答セッション）を開き、前回で答えきれなかった現場の疑問に正面から答えた。 6月24日は「即シャットダウン」の日ではない 何が起きるのか。 セキュアブートは、電源投入直後にUEFIが「正規のブートローダーだけを起動させる」仕組みだ。この仕組みを管理する鍵の一つがKEK（キー登録キー）で、マイクロソフトが保持している。KEKを使って、信頼できるブートローダーのリスト（DB）や、危険なブートローダーを排除する失効リスト（DBX）を更新する。 「KEK CA 2011」については、セッションに登壇したスコット・シェル（Scott Shell）氏がハードリミットではないとした。既に配布済みのDB更新パッケージやレジストリを使った手動展開の仕組みは、期限後も機能し続ける。「レジストリキーと更新プログラムには終了日がない」と明言された。 何が変わるかというと、マイクロソフトが今後新しい
DellとHP、起動不能の原因はWindows 11ではなかった

PC

DellとHP、起動不能の原因はWindows 11ではなかった

PCが突然ブルースクリーンで再起動を繰り返す。BitLockerの回復キーを正しく入力しても、また同じ画面に戻される。Dellは自社サポートツールのバグを、HPはBIOSアップデートの不具合を認め、それぞれ対処法を公開した。 DellのBSODループ（原因はサポートツール） Dellが公式サポートアドバイザリで名指しした原因は、SupportAssist Remediationのバージョン5.5.16.0だ。Alienware SupportAssist Remediationの同バージョンも対象になる。 SupportAssist Remediationは、DellがPCにプリインストールする「SupportAssist」とは独立したサービスで、SupportAssist OS Recovery Toolsに含まれる。バックグラウンドで動くため、クラッシュの原因として気づきにくい。4月30日にこのバージョンが配信されて以降、ブルースクリーンと再起動ループの報告がDellおよびAlienware製PCで相次いだ。ユーザーの報告では、エラーコードはCRITICAL_PROCESS
セキュアブート期限切れを放置したPCはどうなるか

Windows 11

セキュアブート期限切れを放置したPCはどうなるか

2026年6月、PCの起動を15年間支えてきたセキュアブート証明書が期限切れを迎える。更新しなくてもPCは動く。だが、その先に待っているのは「動くけど守られない」状態だ。 6月24日から始まる証明書の連鎖失効 Windows 8時代の2011年に発行されたセキュアブート証明書が、2026年6月から順次期限切れを迎えている。最初に失効するのはKEK CA 2011で、6月24日。続いてUEFI CA 2011が6月27日、Windows起動ローダーの署名に使うWindows Production PCA 2011が10月19日に続く。 セキュアブート証明書の失効スケジュール 2026年 6月24日 KEK CA 2011 セキュアブートDBの更新に使う鍵。失効するとDB/DBXの更新が困難に 2026年 6月27日 UEFI CA 2011 サードパーティ製UEFIドライバー・ブートローダーの署名用証明書 2026年 10月19日 Windows Production PCA
CIHから27年、ハードウェア故障を起こすマルウェアが減った技術的理由

セキュリティ

CIHから27年、ハードウェア故障を起こすマルウェアが減った技術的理由

27年前の昨日、わずか1KBのコードが世界中で数十万台のPCを使用不能にした。データを消すだけでなく、BIOSチップごと焼損させる稀有なマルウェア、CIHだ。現代マルウェアは進化したが、PCを物理破壊する手口は逆に消えかけている。 1KBのコードが起こした「ハードウェア破壊」 1999年4月26日、台湾の大学生が書いたわずか1KBのウイルスがWindows 9x環境で発作を起こした。CIHは数十万台のPCのハードディスク先頭を0埋めし、マザーボードのBIOSチップにゴミデータを書き込んだ。BIOSが破壊されたPCは電源すら入らなくなり、復旧にはチップ交換かマザーボード自体の交換が必要だった。 被害規模については情報源によって乖離が大きい。英語版Wikipediaが記録する被害額は2億5000万ドル超、感染が確認されたPC数は最大6000万台、実際に発作で破壊されたPC数は数十万台と推定される。これはメリッサや後のILOVEYOUと並ぶ、当時としては最悪規模のサイバー被害だった。 CIH被害の規模（1999年4月26日発作）
Windows 11、セキュアブート証明書の更新状況を可視化へ

Windows 11

Windows 11、セキュアブート証明書の更新状況を可視化へ

2026年6月から古いセキュアブート証明書が順次失効する中、Windows 11の4月更新で「Windows セキュリティ」アプリが証明書の更新状況を信号色で示すようになる。技術者しか見えなかった状態が、一般ユーザーの目の前に降りてきた。 6月の期限切れに向けて、ようやく可視化される セキュアブートの証明書は、PCの起動時に読み込まれるソフトウェアが正規のものかを検証するための鍵だ。2011年にMicrosoftが発行した証明書が今も広く使われているが、2026年6月から順次失効する。 失効後にそのまま使い続けるとどうなるか。Microsoftが公開している説明はこうだ。 セキュア ブートが提供するブートレベル機能の低下という影響がある。新しいブートレベルの攻撃をブロックできなくなり、新しい証明書で署名されたOSやドライバーが読み込めなくなる。 最悪の場合、BlackLotusのような「ブートキット（bootkit）」と呼ばれるマルウェアに起動プロセスを乗っ取られる余地が広がる。OS起動前の段階で仕込まれるため、Windowsが立ち上がってからアンチウイルスを走らせても検知
See all