Windows の Secure Boot 証明書が10月19日に期限切れ：更新を逃した PC は起動時の保護を失う

2026 年 10 月 19 日、今から八日後に、マイクロソフトが 2011 年に発行した Secure Boot（セキュアブート）証明書の最後の一枚が期限切れになります。Windows の起動プログラムそのものに署名している証明書です。新しい 2023 年の証明書を受け取っていない PC も引き続き動作し、通常の Windows 更新もインストールされますが、マイクロソフトによれば、起動段階の脆弱性に対する新しい修正はもう届かなくなります。確認に専門家は必要ありません。各 PC で「Windows セキュリティ」アプリを開き、「デバイス セキュリティ」から「セキュア ブート」に進み、アイコンの色だけでなくメッセージを読んでください。

具体的に何が、いつ期限切れになるのか？

Secure Boot は、マイクロソフトが Windows 8 とともに導入したファームウェアの機能です。電源を入れると、Windows より前に実行されるすべてのプログラムが信頼できる相手によって署名されているかを確認し、起動段階に潜り込むマルウェア（ブートキット）をブロックします。この確認は、デバイスに保存されているデジタル証明書に依存しており、それらはすべて 2011 年に発行され、すべてに有効期限があります。期限切れになる証明書に関するマイクロソフトの公式ページによると、次のとおりです。

古い証明書有効期限役割
Microsoft Corporation KEK CA 20112026 年 6 月 24 日起動を許可・禁止するリストの更新に署名する
Microsoft UEFI CA 20112026 年 6 月 27 日サードパーティ製のブートローダーと拡張カードのファームウェアに署名する
Microsoft Windows Production PCA 20112026 年 10 月 19 日Windows の起動プログラムに署名する

つまり二枚は 6 月に期限切れとなり、Windows PC にとって最も重要な三枚目は一週間後に迫っています。後継の証明書は 2023 年付けで、そのファイルは 2025 年 5 月 13 日から累積更新プログラムで配布されています。しかし、更新プログラムに含まれていることは、デバイスに書き込まれたことを意味しません。マイクロソフトは多くの PC で自動的に適用しますが、IT 担当者による操作やメーカーのファームウェア更新が必要な PC もあります。

更新されていない PC はどうなるのか？

10 月 20 日に止まることはなく、ソフトウェアが壊れることもありません。証明書の期限切れ後に何が起きるかを説明したマイクロソフトのページによると、デバイスは通常どおり起動し、通常の Windows 更新は続き、ブラウジング、アプリ、ネットワークも変わりません。止まるのは次のものです。

  • Windows ブートマネージャー（Windows Boot Manager）の更新。
  • 危険と判明している起動プログラムをブロックする失効リストの更新。
  • 起動チェーンで新たに見つかった脆弱性に対する修正。BitLocker のバイパスに対する緩和策も含まれます。

リスクは初日には表に出ません。その日以降に見つかり、修正がいつまでも PC に届かない起動の脆弱性が増えるたびに、リスクは高まります。これらの欠陥が深刻なのは、Windows より前に動くマルウェアは、ウイルス対策ソフトよりも前に動くからです。

一台の PC を一分で確認するには？

「Windows セキュリティ」アプリでの更新状態に関するマイクロソフトのページによると、2026 年 4 月から「Windows セキュリティ」アプリで証明書の状態が表示されるようになりました。アプリを開き、「デバイス セキュリティ」から「セキュア ブート」に進んで、メッセージを読んでください。それぞれの意味は次のとおりです。

  • 必要な証明書の更新がすべて適用されました：その PC は準備完了で、何もする必要はありません。マイクロソフトは、緑のチェックマークだけでは証拠にならないと注意しているので、文章を読んでください。
  • デバイスは更新が必要な古い信頼構成を使用しています：最新の Windows 更新をインストールして再起動し、PC がインターネットに接続されていることを確認してください。
  • ハードウェアまたはファームウェアの制限により、デバイスは自動更新に対応していません：メーカーからの更新が必要です。
  • デバイスは Windows の起動に必要な更新を受け取れなくなりました：古い証明書の期限が切れ、その PC は一度も更新されていません。至急の対応が必要です。

チーム内に PowerShell を使う人がいれば、管理者権限で開いたウィンドウで Confirm-SecureBootUEFI コマンドを実行すると、機能がオンの場合は True が返ります。オフの場合、その PC は今回の更新の対象外となり、マイクロソフトによれば、起動段階のマルウェアにさらされたままになります。

社内で取り残されやすいのはどの PC か？

マイクロソフトは、自社が管理し診断データを送信している PC では証明書を自動的に更新しようとしますが、そのよくある質問のページでは、最終的な責任は顧客にあると明言しています。更新が届かないケースを、中小企業向けの優先順位で並べると次のとおりです。

  • 拡張セキュリティ更新プログラム（ESU）のない Windows 10 PC：マイクロソフトによると、新しい証明書を受け取れるのはサポート対象の Windows バージョンだけです。これらの PC の状況は、業務用 PC の Windows 10 サポート終了に関する記事で確認してください。
  • 診断データをブロックするファイアウォールの内側にある PC：ネットワークがそのデータをマイクロソフトに届かないようにしている場合、自動更新はいつまでも届かない可能性があります。
  • 古いハードウェア：一部のモデルにはメーカーのファームウェア更新が必要で、それはまだサポート期間内のデバイス向けにしか提供されていない場合があります。マイクロソフトは各メーカーへのリンクを一つのページにまとめています。
  • サーバーと仮想マシン：Windows Server 2016 から 2025 までが対象バージョンに含まれます。仮想マシンには、Hyper-V、VMware、Azure、AWS など、これらの証明書の更新に対応したプラットフォーム、またはプラットフォーム提供者からの更新が必要です。
  • POS 端末、デジタルサイネージの画面、業務用 PC：何週間も再起動せずに動き続けることがありますが、更新の最後のステップは再起動の後にしか完了しません。

避けるべき三つの間違い

  • 警告を消すために Secure Boot をオフにしないでください。マイクロソフトは、無効にすることは回避策にならないとしています。起動を狙うマルウェアに対する保護がなくなり、新たなセキュリティとコンプライアンスのリスクが生じます。
  • 更新後に BIOS を工場出荷時の設定に戻さないでください。メーカーがファームウェアを更新している場合は別です。Windows がすでに 2023 年の証明書で署名されたブートマネージャーに切り替わっていて、工場出荷時の設定にそれが含まれていない場合、PC は起動を拒否し、修復には回復用 USB ドライブが必要になります。
  • 赤い警告を「リスクを受け入れる」ボタンで閉じないでください。この選択肢は存在し、管理者権限が必要ですが、問題を解決せずに隠すだけです。

良い知らせもあります。期限を過ぎても道が閉ざされるわけではありません。マイクロソフトによると、PC が起動して更新を受け付ける限り、古い証明書の期限が切れた後でも新しい証明書を含む更新を適用できます。

10 月 19 日までの一週間の計画

  1. 1 日目：すべての Windows マシンをリストアップします。デスクトップ、ノート PC、サーバー、POS 端末、仮想マシンについて、メーカー、モデル、Windows のバージョンを記録します。
  2. 2 日目と 3 日目：「Windows セキュリティ」アプリで一台ずつ確認するか、IT 担当者に、すでに使っている Intune などの管理ツールで状態を自動収集してもらいます。
  3. 4 日目：遅れているすべての PC に最新の Windows 更新をインストールし、再起動します。更新タスクは 12 時間ごとに実行され、最後のステップは再起動を待ちます。
  4. 5 日目：自動更新を受け付けられないと報告する PC には、メーカーのサイトからファームウェア更新をインストールします。
  5. 6 日目と 7 日目：残ったものを書き出します。対象外の Windows 10 PC と、メーカーのサポート外のハードウェアです。これらは入れ替え計画に入れます。会社のデバイスを一度にではなく優先順位に沿って入れ替える方法についても記事を書いています。

Origami の見解

これは画面に一切表示されず、業務の一日にも何の変化ももたらさない更新です。だからこそ、多くの企業が見逃してしまいます。更新されていない PC はまったく健全に見え、違いが表れるのは、新しい起動の欠陥が見つかり、その修正がその PC に届かないときだけです。デバイスの一覧を持たない企業は、どの PC が無防備なまま残ったのかを知ることができません。

あなたの組織が国家サイバーセキュリティ庁（NCA）の基本サイバーセキュリティ管理策 ECC-2:2024の対象である場合（対象は政府機関、その傘下の企業、そして重要な国家インフラを所有、運用、またはホストする民間部門の組織です）、管理策 2-3-3-3 はシステム、アプリケーション、デバイスのパッチ管理を求めており、NCA はそれ以外のすべての組織にも同じ管理策を適用するよう強く推奨しています。ある種類の修正をまるごと受け取れなくなった PC は、たとえ他の更新がすべて予定どおりでも、そのパッチ管理における穴です。

まとめ

2026 年 10 月 19 日までに、社内のすべての Windows マシンに 2023 年の証明書が入っていることを確認してください。各 PC で「Windows セキュリティ」アプリを開いてメッセージを読み、更新をインストールして再起動し、必要な場合はファームウェア更新を入手し、Secure Boot は決してオフにしないでください。更新できないものは入れ替え計画に入れます。デバイスの棚卸しと状態の追跡を任せられる相手が必要な場合は、お問い合わせください。

出典