ニュース
Windows Update、Secure Boot新証明書の自動配信対象を拡大
2026年9月9日 12:51
Windowsの新しいSecure Boot証明書を自動受信できるデバイスの対象判定データが追加された。Microsoftが9月8日(米国時間)に公開した月次Windows Updateに盛り込まれた内容の1つだ。
既報の通り、2011年発行のSecure Boot証明書は2026年6月から順次失効しており、10月19日に「Microsoft Windows Production PCA 2011」の期限切れを控える。
失効後もPCの起動には影響しないが、ブートマネージャーの更新や失効リスト(DBX)など、起動プロセスを守る新たなセキュリティ保護が受け取れなくなるため、2023年世代の証明書への移行が急がれている。
今回のWindows Updateはその対応を拡大するもの。証明書そのものの新規配布ではなく、段階的ロールアウトの対象デバイスを広げるためのターゲティング更新となる。
Secure Bootの鍵は階層構造になっており、頂点のPK(Platform Key)はマザーボードメーカーが保持している。今回の移行で必要になるKEK(Key Exchange Key)の入れ替えは、PKで署名された更新でなければファームウェアが受け付けない。
そのため、メーカー独自のPKを採用していることが多い自作PC向けマザーボードでは、Windows Updateだけでは完結せず、UEFI(BIOS)の更新が必要になる機種が存在する。
自作PCならではの注意点として、CMOSクリアやUEFI更新の際にSecure Bootの鍵を工場出荷状態に戻すと、追加済みの2023年世代証明書が消えて2011年世代に巻き戻ってしまう点がある。古いUEFIのデフォルト鍵には新証明書が含まれないため、鍵を初期化した場合は再適用が必要だ。
ASUS、GIGABYTE、MSI、ASRockといった主要ベンダーは順次対応UEFIを公開しているが、対応状況はチップセット世代や機種によって異なるため、各社のサポートページで自分のマザーボードの更新情報を確認しておきたい。
証明書が更新されているかを確認する場合は、msinfo32を実行し、「セキュア ブートの状態」が「有効」になっていることを確かめる。その上で、管理者権限のPowerShellで以下のコマンドを実行し、「True」となっているかを確認する。
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
このほか今回の更新には、Arm64 PCでTeamsとOutlookが予期せず終了する問題などの修正も含まれる。