何台か使っているPCのうち1台にセキュアブート証明書の更新がダウンロードされてきました。Microsoftでは2025年の6月ごろから2026年の6月にかけて段階的にセキュアブート証明書の更新を展開しているそうです。

セキュアブートについて

セキュアブートはWindows8から導入された技術で、PCの起動時にファームウェアによってOSや起動時に読み込まれるソフトウェアが正当なものかどうかを検証する仕組みです。これによって起動時に不正なプログラムを読み込ませてOS外から行う攻撃を防ぐ機能があります。

今回更新される証明書

セキュアブートの際に使用されるのがセキュアブートデータベースです。これは以下の3つの要素で構成されているということです。

• KEK:dbとdbxを更新するために使用されるデータベース
• db:起動時に実行を許可されているソフトウェアの署名やハッシュ値を格納しているデータベース
• dbx:有効期限切れなどにより起動時に実行を許可されていないソフトウェアの署名やハッシュ値を格納しているデータベース

今回更新されるのはKEK内の証明書、db内のWindowsブートローダー用の証明書、同じくサードパーティ製のブートローダー用の証明書、オプションROM用の証明書の合計で4種ということです。

家庭で運用されているWindows11であれば特に何も意識せずWindows Updateをすればいいそうですが、更新後まれにPCがセキュアブート有効で起動しなくなったり、Bitlockerの復号キーを要求されたりすることがあるようです。

Windows セキュア ブート証明書の有効期限と CA 更新プログラム

[Microsoft サポート]