Windows

Windows 11の更新後に複数回再起動、Microsoftが「仕様」と認める

月例更新でPCが2回、3回と再起動を繰り返す。Microsoftはこれを不具合ではなく、2011年から使われてきたセキュアブート証明書の差し替え作業だと説明している。期限切れまで残り1か月強、静かに進む信頼の刷新。

情報の灯台

情報の灯台

Windows 11の更新後に複数回再起動、Microsoftが「仕様」と認める

月例更新でPCが2回、3回と再起動を繰り返す。Microsoftはこれを不具合ではなく、2011年から使われてきたセキュアブート証明書の差し替え作業だと説明している。期限切れまで残り1か月強、静かに進む信頼の刷新。

「壊れていない」と言われても安心できない再起動

毎月の更新で、PCが2回、ときには3回も再起動を繰り返す。画面に何の説明もなく、20分以上待たされる。多くの人が「ついに壊れたか」と疑ったはずだ。Microsoftはこれを正面から否定した。意図された動作であり、原因はセキュアブート証明書の更新だという。

通常、月例更新の再起動は1回で済む。年に一度の機能更新でなければ、2回以上の再起動はほぼ起きないとされてきた。ところがWindows Latestの調査でも、複数のユーザー報告でも、ここ数か月の月例更新で2回・3回の再起動が観測されている。

公式サポート文書の更新でMicrosoftは、「ここ数か月の最近および今後のWindows更新プログラムにおいて、限られた数の一般向けおよび業務用デバイスで、インストール中に1回多く再起動が発生する場合がある」と説明した。追加される再起動は1回限りで、セキュアブート証明書の更新工程の一部として発生するという。

「壊れていない」と言われても、何の予告もなく再起動が増えれば、ユーザーは不安になる。普段なら「もしや」と疑ってしまう挙動を、Microsoftは月例更新に静かに混ぜ込んだ。

2011年の証明書、2026年6月から失効が始まる

なぜいま、再起動の回数が増えるのか。背景にあるのは、PCの起動を信頼で守る仕組みの土台が、世代交代を迎えていることだ。

セキュアブートは、PCの電源を入れた直後の最も無防備な瞬間を守るための機能だ。ファームウェア（UEFI）が、起動するソフトウェアの署名を検証し、信頼できる相手にだけ実行を許す。署名の正しさを判定する基準が、ファームウェアの中に保管された証明書である。

Microsoftが用意したセキュアブート関連の証明書は、いずれも2011年に発行されたものだ。2026年6月から失効が始まり、10月までに順次期限切れになる。失効した証明書のままでは、新しい起動コンポーネントに対する署名検証ができなくなり、新たに見つかったブートレベルの脆弱性への防御も止まる。

セキュアブート証明書の有効期限切れは、ある日突然PCが起動しなくなる類の話ではない。Microsoftの説明によれば、証明書が古くてもデバイスは起動し、通常のWindows更新も届く。ただし、起動プロセスへの新たな保護は、その時点で止まる。

止まるのは「未来への防御」だ。BlackLotusなどのUEFIブートキットは、CVE-2023-24932として追跡されるセキュアブートのバイパス脆弱性を悪用する。今後その亜種が見つかっても、古い証明書のままでは新しい失効リストや軽減策を受け取れない。今すぐは何も起きない。けれど、時間が経つほど無防備になっていく。

月例更新に紛れた「証明書の差し替え」

新しい証明書は、2023年に発行された。古い2011年証明書を置き換え、ブートレベルの保護を維持するためのものだ。Microsoftはこれを「更新失効」ではなく、月例更新の一部として静かに配信している。

具体的に何が差し替わるのか。Microsoftの管理者向けドキュメントによれば、Windows UEFI CA 2023がDB（署名データベース）に追加され、必要に応じてMicrosoft Option ROM UEFI CA 2023とMicrosoft UEFI CA 2023も追加される。続いてKEK（鍵交換鍵）の更新が行われ、最後にWindows UEFI CA 2023で署名された新しいWindowsブートマネージャーが適用される。

ここで再起動が複数回必要になる理由が見えてくる。ブートマネージャーの更新は、再起動が発生するまで遅延される。Windowsは「再起動が必要だ」と検出し、月例更新のような自然なタイミングで再起動を待ち、そこで初めて新しいブートマネージャーを適用する。証明書の追加と、それを使う新しいブートマネージャーの適用。この2段階の間に再起動が挟まる。

月例更新でWindowsの新ビルドを適用するための再起動とは別に、セキュアブートの工程を完了させるためにもう1回再起動が必要になる。これが「2回、3回」の正体だ。

Microsoftは2026年4月の更新、特に4月30日のオプション更新で展開が拡大したと説明している。手元のPCで急に再起動回数が増えたと感じた人は、おそらくこのタイミングで証明書の差し替えが進行している。

「仕様」と「不具合」の境界線が曖昧になっていく

ここで気になるのが、Microsoftが「これは既知の不具合ではない」と扱っていることだ。仕様であり、想定通りの挙動である、と。

不具合なら修正される。仕様なら、ユーザーや管理者は計画して付き合うしかない。月例更新の所要時間が読めなくなる、業務PCが想定外のタイミングで20分以上使えなくなる、サーバーの再起動枠が足りなくなる──これらはすべて「仕様」の側に分類される。

Microsoftの説明は理屈としては筋が通る。期限切れが迫る証明書を放置できないし、再起動を増やさずにこの工程を完了する手段もない。けれど、ユーザーへの予告と説明があまりに少ない。

Microsoftは更新前に通知を出すこともできたはずだ。「次回の月例更新では、セキュアブート証明書の更新により再起動が1回追加されます」と。それをせず、ユーザーが画面の前で困惑したあとから、サポート文書をひっそり書き換える。透明性の運用としては、決して褒められたものではないと思う。

自分のPCで確認する手段は用意されている

幸い、確認手段はある。Windowsセキュリティアプリの「デバイス セキュリティ」タブにある「セキュア ブート」セクションで、証明書の更新状況を確認できる。緑、黄、赤の3色のバッジで現在のステータスが示される仕組みだ。

緑のチェックマークは、証明書の更新が完了している状態を示す。ただし「セキュア ブートはオンで、必要なすべての証明書更新が適用済みです」というテキストの確認も推奨されている。色だけで判断すると、表示の解釈を誤るおそれがあるためだ。

黄色は警告。古い信頼構成のままで、Windows Updateが新しい証明書の適用を試みている途中という意味になる。何もしなくても自動で進む。一方、赤は要対応。Windowsだけでは新しい証明書を適用できない状態を示す。

赤のバッジが出るのは、ファームウェア側の問題が原因であることが多い。OEMのBIOS更新が未提供か、更新してもセキュアブート関連の機能が不十分といった事情だ。Windows Updateだけでは越えられない壁が、ハードウェア側にある。

Windows Latestは、数千台規模の古いPCで、ファームウェアの制約により証明書更新が失敗していることを確認したと報告している。古いPCは引き続き起動し、通常のWindows更新も入る。けれど、新しい証明書だけは届かない。OEMからのBIOS更新が出ない限り、その状態は固定される。

6月までの猶予と、その後の風景

Microsoftは「現代的なPCについては全力で取り組む」としつつ、OEMのサポートが切れた古いマシンでは新しい証明書が届かない可能性がある、とも認めている。

2026年6月から始まる証明書の失効は、PCが起動不能になるイベントではない。けれど、その日を境に「未来の脅威への防御」を受け取れるPCと、受け取れないPCが分かれる。Windowsのハードウェア要件が一度引いた線が、ファームウェアの側からもう一度引き直される。

古いハードウェアを長く使い続けるという選択肢は、今後さらに静かに狭まっていく。動くから使い続ける、で済まなくなる日が、思ったより早く来るかもしれない。

月例更新で2回、3回と再起動するPCを見ながら考える。これは更新工程の煩雑さではなく、PCの起動を守る信頼の土台が、世代交代を始めた合図なのかもしれない。

参照元

他参照

関連記事

この記事を共有する
Windows Windows 11 セキュリティ Microsoft セキュアブート UEFI Windows Update ファームウェア BIOS BlackLotus CVE-2023-24932
HOME

Read more