マイクロソフトは、Windows 11で2026年に期限切れとなるセキュアブート証明書のセキュリティリスクについて説明している。

• 2011年に導入されたセキュアブート証明書は、2026年6月下旬に有効期限が切れます。
• 有効期限が切れた後も、コンピュータは通常通り起動し続けます。
• 証明書が更新されていないデバイスは、セキュリティが低下した状態になります。
• 対応するWindows 11およびWindows 10デバイスは、Windows Updateを通じて自動的にアップデートを受信します。
• ESUが適用されていない2025年10月以降のWindows 10など、サポート対象外のシステムには、新しい証明書は発行されません。

マイクロソフトは、2011年に導入されたオリジナルのセキュアブート証明書を搭載したデバイスが2026年6月下旬に有効期限切れとなり、ほぼすべての最新コンピューターに影響を与える大規模なセキュリティアップデートが実施されることを確認した。

セキュアブートは、オペレーティングシステムがロードされる前に起動時に実行される、UEFI（Unified Extensible Firmware Interface）ファームウェアに搭載されたセキュリティメカニズムです。この機能の目的は、起動時に信頼できるデジタル署名付きコードのみが実行されることを検証し、ブートキットや起動中にシステムを侵害しようとするその他の低レベルの脅威をブロックすることです。過去15年間、このプロセスはデバイスファームウェアに組み込まれた証明書に依存してきましたが、これらの証明書は現在、計画されたライフサイクルの終わりに近づいています。

あなたのコンピューターは2026年に動かなくなりますか？

簡潔に言うと、答えはノーです。元の証明書の有効期限が切れても、コンピューターは引き続き起動し、Windows 11（または10）も正常に起動します。アプリケーションが突然動作しなくなることもなく、すぐに何らかの不具合が発生することもありません。

しかし、更新されたセキュアブート証明書を受信しないシステムは、セキュリティが低下した状態になります。ただし、これはコンピュータが直ちに危険になるという意味ではありません。単に、デバイスが今後セキュアブートの信頼チェーンの更新を受け入れられなくなるという意味です。

時間の経過とともに、新たなブートレベルの脆弱性が発見されるにつれ、これらのシステムは新たな対策をインストールできなくなる可能性がある。マシンは動作し続けるものの、起動時の保護機能は進化しなくなり、この長期的な制約こそが真の懸念事項となる。

マイクロソフトがセキュアブート証明書を置き換える理由

セキュリティ証明書は永久に有効なものではありません。セキュリティ基準が進化するにつれて、暗号化キーと信頼アンカーを更新し、古い認証情報が脆弱性となるのを防ぐ必要があります。2011年のセキュアブート証明書の有効期限切れは、当初から計画されていました。

この移行が重要な意味を持つのは、その規模にある。セキュアブートはオペレーティングシステム自体の中だけでなく、ファームウェアレベルで動作する。そのため、アップデートには、世界中の数百万もの異なるデバイス構成において、Windows 11（および10）のサービス、デバイスのファームウェア、ハードウェアメーカー間の連携が必要となる。

マイクロソフトはこれを、Windowsエコシステム全体にわたる最大規模の協調的なセキュリティメンテナンス活動の一つと位置付けている。

アップデートの配信方法

このソフトウェア大手は、Windows 11や10を含むサポート対象バージョンに対し、毎月の定期アップデートを通じて新しいセキュアブート証明書の展開を既に開始している。同社によるアップデート管理を許可しているほとんどの一般家庭ユーザーや企業では、アップデートはバックグラウンドで自動的に実行されるはずだ。

場合によっては、特に古いハードウェアでは、新しい証明書を正常に適用する前に、デバイスメーカーによるファームウェアのアップデートが必要になることがあります。マイクロソフトは、移行に向けてデバイスを準備するため、主要なコンピューターメーカー（デル、HP、レノボなど）と緊密に連携してきたと述べています。

2024年以降に製造されたほぼすべてのデバイスには既に更新された証明書が含まれており、2025年に出荷されるほぼすべてのシステムには、出荷時からこれらの証明書がプロビジョニングされています。

サポート対象外のWindowsバージョンについてはどうでしょうか？

サポート対象外バージョンのオペレーティングシステムを実行しているデバイスは、Windows Update を通じて新しいセキュアブート証明書を受け取ることができません。これには、2025 年 10 月にサポートが終了した後の Windows 10 も含まれます。ただし、デバイスが拡張セキュリティ更新プログラムに登録されている場合は除きます。

これらのシステムは2011年の証明書の有効期限が切れた後も引き続き機能しますが、将来のブートレベルのセキュリティ改善を受け入れる能力は永久的に制限されたままとなります。プラットフォームの進化に伴い、新たな脅威への脆弱性や、新しいファームウェア、ハードウェア、またはWindowsリリースとの互換性の問題が徐々に増加する可能性があります。

今、あなたは何をすべきですか？

ほとんどの人にとって最も安全な対処法は単純明快です。Windows 11（および10）を常に最新の状態に保ち、製造元のサポートページを確認してデバイスのファームウェアが最新であることを確認してください。Microsoftは、証明書の更新に関する追加のステータス情報が今後数か月以内にWindowsセキュリティアプリに表示され、更新プロセスに関する可視性が向上すると述べています。

これらの手順に従えば、セキュアブート証明書を手動で確認および更新できます。

多数のコンピュータを管理する組織は、これを単なるパッチチューズデーのアップデートとしてではなく、検証と展開計画の演習として捉えるべきです。