PCの電源を入れた瞬間から、OSが起動するまでのわずかな数秒間。この「空白の時間」を悪意あるプログラムから守り続けてきた技術、セキュアブート（Secure Boot）が今、15年に一度の大きな転換期を迎えている。

Microsoftは、2011年の導入以来使用されてきた初代セキュアブート証明書の有効期限が2026年6月に迫っていることを受け、全世界のWindowsデバイスに対して新しいデジタル証明書への差し替え作業を本格化させている。これはPCの最も深い階層であるファームウェア（UEFI）レベルでの信頼の根幹（Root of Trust）を更新する、エコシステム全体を巻き込んだ巨大なセキュリティ・メンテナンスだ。

この記事では、なぜ今この更新が必要なのか、アップデートを怠った場合にPCがどのような「脆弱な状態」に陥るのか、そしてユーザーが自らの環境を守るために取るべき具体的なアクションについて、技術的な背景を交えて解説したい。

AD

セキュアブート証明書の「15年寿命」という時限爆弾

セキュアブートは、2011年のWindows 8開発サイクル中に初めて導入された仕組みだ。その役割は、PCの起動プロセスにおいて、検証済みのデジタル署名を持つブートローダーのみが実行されるように制限し、ルートキットなどの高度なマルウェアがOS起動前にシステムを支配することを防ぐことにある。

この検証の鍵となるのが、PCのファームウェア内にあらかじめ保存されている「デジタル証明書」である。しかし、セキュリティの世界において、いかなる強力な暗号化技術や証明書も永久ではない。暗号化アルゴリズムの進化や計算能力の向上に伴い、古い証明書は時間の経過とともに脆弱になるリスクを孕む。

MicrosoftのWindows Servicing and Delivery部門でパートナー・ディレクターを務めるNuno Costa氏によれば、2011年に発行された初代証明書は15年の計画ライフサイクルを終えようとしており、2026年6月末から順次期限切れとなる。これに伴い、Microsoftは2023年に発行された新しい「Windows UEFI CA 2023」証明書への移行を、数年にわたるフェーズ制で進めてきたのだ。

2026年6月以降、未更新のPCに何が起きるのか

「証明書が切れる」と聞くと、多くのユーザーはOSが起動しなくなるような致命的なエラーを想像するかもしれない。しかし、Microsoftの説明によれば、期限が切れたからといってPCが突然動作を停止することはない。既存のソフトウェアはそのまま動作し続ける。

真の脅威は、その後の「セキュリティの形骸化」にある。証明書が更新されていないデバイスは、Microsoftが定義するところの「セキュリティ低下状態」に陥る。

  1. 新たな脅威への無防備化: 今後、セキュアブートを回避するような新しい脆弱性が発見された際、最新の証明書がなければ、それらを修正するための新しいブートローダーやセキュリティパッチを適用することができなくなる。
  2. 将来の互換性欠如: 今後登場する新しいOSやファームウェア、ハードウェアは、新しい2023年版の証明書に基づいた署名を要求するようになる。古い証明書しか持たないPCは、これらの新しいシステムを「信頼できない」と判断し、インストールや起動ができなくなる互換性問題に直面する可能性が高い。

業界を挙げた大規模な「信頼の刷新」プロジェクト

今回の証明書更新は、Microsoft一社で完結するものではない。PCの起動に直結するファームウェアレベルの変更であるため、世界中のデバイスメーカー（OEM）との密接な連携が必要となる。Microsoftはこれを「Windowsエコシステム全体における最大級の協調的なセキュリティ・メンテナンス」と位置づけている。

OEM各社の動向と対応状況

Dell、HP、Lenovoといった主要メーカーは、すでにMicrosoftと協力してこの移行を計画的に進めている。

  • 2024年以降のモデル: 2024年に製造されたPCの多く、および2025年に出荷されたほぼすべてのデバイスには、すでに出荷段階で新しい証明書が組み込まれている。これらの最新PCを持つユーザーは、特別な対応を必要としない。
  • 既存モデルへの対応: 2023年以前のモデルについては、Windows Updateを通じて自動的に新しい証明書が配信される。ただし、PCの構成によっては、証明書を適用する前に各メーカーが提供する「ファームウェア（BIOS）アップデート」の適用が必要になるケースがある。

DellのCTOセキュリティ担当であるRick Martinez氏は、規制の厳しい業界のフリート管理からエッジシステムに至るまで、ダウンタイムを最小限に抑えるための移行パスを準備したと述べている。

AD

自分のPCは安全か？ PowerShellで確認する手順

多くのユーザーにとって、この更新は毎月のWindows品質更新プログラムの一部として自動的に行われるため、意識する必要はない。しかし、特に古いハードウェアを使用している場合や、組織のIT管理者の場合は、手動で状態を確認することが推奨される。

PCが新しい「Windows UEFI CA 2023」証明書を認識しているかどうかは、管理者権限で起動したPowerShellから以下のコマンドを実行することで判別できる。

1. 現在有効な証明書の確認（Active db）

現在PCが起動に使用している証明書データベースの中に、新しい証明書が含まれているかを確認するコマンドだ。

PowerShell

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
  • True と表示されれば、あなたのPCはすでに新しい証明書を受け取っており、2026年以降も保護される状態にある。
  • False の場合は、まだ更新が適用されていない。Windows Updateが最新であるかを確認し、必要に応じてオプションの更新プログラムをチェックすべきだ。

2. ファームウェア側の対応確認（Default db）

PCのBIOS/UEFI自体に、デフォルトで新しい証明書が組み込まれているか（リセットしても新証明書が維持されるか）を確認するコマンドだ。

PowerShell

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
  • True であれば、ファームウェアレベルで完全に刷新されている。
  • False の場合（特に古いPC）、OSレベルでは更新されていても、BIOSの設定を工場出荷時に戻すと古い証明書に戻ってしまう可能性がある。これを解決するには、メーカーが提供する最新のBIOSアップデートを適用する必要がある。

Windows 10ユーザーに突きつけられた「最後の選択」

今回の発表において、最も注目すべき、かつ厳しい現実が突きつけられたのがWindows 10ユーザーだ。

Microsoftは、今回のセキュアブート証明書の更新パッチを配信するのは「サポート期間内のWindows」に限ると明言している。つまり、Windows 11（24H2、25H2など）は対象となるが、2025年10月にサポート終了を迎える標準的なWindows 10は、この証明書更新を受け取ることができない。

唯一の例外は、有償の「拡張セキュリティ更新プログラム（ESU）」に加入しているデバイスだ。ESUに加入していないWindows 10搭載PCは、2026年6月の期限切れとともに、もれなく「セキュリティ低下状態」へと移行することになる。これは、MicrosoftがWindows 11への移行を強力に促す戦略的なマイルストーンの一つとも言えるだろう。

AD

移行プロセスを阻む「技術的なハードル」

順風満帆に見える更新計画だが、いくつかの技術的な懸念点も報告されている。

  1. NVRAMの容量不足: UEFIの設定を保存するNVRAM（不揮発性メモリ）の容量が極めて小さい、あるいは断片化している古いPCでは、新しい証明書を書き込むスペースが足りず、更新に失敗することがある。この場合、BIOS設定からセキュアブートキーを「工場出荷時のデフォルト」にリセットすることで解決する場合があるが、BitLockerを使用しているユーザーは、回復キーを紛失しているとデータにアクセスできなくなるリスクがある。
  2. 「高信頼性デバイス」からの段階的配信: Microsoftは、アップデートの失敗による起動不可（文鎮化）を避けるため、過去に正常な更新実績がある「高信頼性デバイス」から優先的に配信を行っている。そのため、同じ機種であっても更新時期が異なる場合がある。
  3. サーバー・IoTデバイスの特殊性: 常に稼働し続けるサーバーや産業用IoTデバイスは、通常のWindows Updateとは異なる管理プロセスが必要になるため、IT管理者は手動でのデプロイメント（registry keyやGroup Policyを用いた配信）を検討する必要がある。

私たちが今すべきこと

2026年6月はまだ先の話に思えるかもしれないが、ファームウェアが関わる更新は一朝一夕には終わらない。ユーザーおよびIT管理者が今すぐ実行すべきリストは以下の通りだ。

  • Windows Updateを最新に保つ: 最も基本的で重要な対策だ。特にKB5074109以降の更新プログラムが含まれているかを確認しよう。
  • メーカー公式サイトでファームウェア（BIOS）の更新を確認: OSレベルのパッチだけでなく、ハードウェアレベルの耐性を高めるために、最新のBIOS/UEFIを適用しておくことが強く推奨される。
  • BitLocker回復キーのバックアップ: ファームウェアの更新やセキュアブートのリセットを試みる前に、必ず回復キーがMicrosoftアカウントや物理的な媒体に保存されているかを確認すべきだ。
  • Windows 10からの卒業計画: 2025年10月のサポート終了と、2026年6月のセキュアブート期限切れ。この二つの期限を考慮すれば、現行PCをWindows 11へアップグレードするか、最新のハードウェアへ買い替えるかの決断を遅らせる理由はもはやない。

セキュアブートの刷新は、私たちが普段意識することのない「PCの根源的な信頼」を、次の15年へと繋ぐための重要なバトンタッチである。この「目に見えない壁」を最新の状態に保つことこそが、進化を続けるサイバー攻撃から自らのデジタル資産を守るための第一歩となる。

Sources