Microsoft、UEFI Secure Bootで使用されてきたデジタル証明書が2026年6月下旬から順次有効期限を迎える|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年02月13日更新日時: 2026年02月13日

Microsoftは、UEFI Secure Bootで使用されてきた2011年に導入されたデジタル証明書が2026年6月下旬から順次有効期限を迎えることを受け、月

例のWindows更新プログラムを通じて新しい証明書の配布（ローテーション）を開始しました。Secure Bootは、OS起動前の段階で信頼できる署名済みブートローダーのみを実行させ、ルートキットなどの起動時攻撃を防ぐ基盤機能です。

1 何が起きるのか
2 対象：基本は「サポート対象Windows」が中心、Windows 1oは注意
3 OS更新だけでなくファームウェアの事情が絡む

何が起きるのか

Microsoftは、期限までに新証明書へ更新できない端末でも直ちにPCが動かなくなるわけではないと説明しています。

一方で、更新に失敗した端末は低下したセキュリティ状態）に入り、将来のブートレベル保護（新たな緩和策）を受け取りにくくなるため、起動プロセスを狙う新種の脆弱性・攻撃への耐性が落ちていきます。加えて、将来的にOS・ファームウェア・ハードウェアやSecure Boot依存ソフトが更新されるにつれ、互換性問題が顕在化する可能性も示されています。

対象：基本は「サポート対象Windows」が中心、Windows 1oは注意

証明書更新は、サポート対象のWindowsデバイスに対し、月例アップデートで順次提供されます。Microsoftは、Windows UpdateをMicrosoft側で管理している家庭・学校・企業の端末では、原則として自動的に新証明書がインストールされるとしています。

一方でMicrosoftは、サポート終了（または非サポート）OSでは新証明書が届かない点も明確にしています。

特にWindows 10については、記事側では「対象に含める計画」などの表現も見られますが、Microsoft公式の説明では、サポート対象外のバージョン（Windows 10以前、※ESU加入を除く）は更新を受け取れないとされています。組織としては、Windows 10端末の扱い（ESUの有無、移行計画）を前提に、証明書更新の可否を棚卸しする必要があります。

関連：Windows 10がサポート終了-Windows11へ移行すべき理由

OS更新だけでなくファームウェアの事情が絡む

今回の証明書更新はOSレイヤーのパッチ適用に留まらず、UEFIファームウェアに保存される信頼の根（Root of Trust）に関わるため、Microsoftは「Windowsエコシステム全体での大規模な協調メンテナンス」と位置づけています。OEM各社も準備を進めており、Microsoftは2024年以降に製造されたPCや、2025年出荷端末の大半は既に更新済み証明書を搭載していると説明します。

ただし一部端末では、Windows Updateで証明書を入れる前に、メーカー提供のファームウェア更新が別途必要になる可能性があります。ユーザー／管理者はOEMのサポートページで最新ファームウェア提供状況を確認するよう促されています。