Windows 11のSecure Boot証明書、期限切れまで残り3ヶ月

あなたのPCの起動を守っている「鍵」に有効期限があることを、どれだけの人が知っているだろうか。その期限が、2026年6月に迫っている。

静かに届き始めたアップデートの正体

Windows Updateに「Secure Boot Allowed Key Exchange Key（KEK）Update」という見慣れない更新が表示されるPCが増えている。ダウンロードは2分足らず、インストールも数分。再起動が1回必要だが、OSのビルド番号は変わらず、パフォーマンスへの影響もない。

地味な更新だ。だが、この地味さの裏にMicrosoftがWindows史上最大規模のセキュリティ保守作業と呼ぶ問題が隠れている。

15年前の「鍵」が期限を迎える

Secure Bootとは、PCの電源を入れた瞬間から動き出す認証の仕組みだ。UEFI（Unified Extensible Firmware Interface）ファームウェアに格納された証明書が、ブートローダーやドライバの署名を検証し、信頼できるソフトウェアだけを起動させる。Windowsが立ち上がる前の段階で、悪意あるコードを排除する最初の防衛線にあたる。

この防衛線を支えてきたのが、2011年に発行された3つのMicrosoft証明書だ。KEK CA 2011とUEFI CA 2011は2026年6月に、Windows Production PCA 2011は同年10月に期限を迎える。2012年以降に製造されたすべてのWindows PCに、これらの証明書が搭載されている。

PCは動く。だが守りが凍結される。新たなブートレベルの脅威が発見されても、修正パッチを適用できない。それが、この期限切れの本当の意味だ。

BlackLotusが証明した「起動の脆弱さ」

この証明書更新が急がれる背景には、理論ではなく実在の脅威がある。

2023年に発見されたBlackLotusは、Secure Bootを有効にした最新のWindows 11でさえ突破できる、初の実用的なUEFIブートキットだった。

CVE-2022-21894（通称「Baton Drop」）を悪用し、起動プロセスの最初期段階に入り込む。一度感染すると、BitLockerやWindows Defenderを無効化し、通常のウイルス対策ソフトでは検出が極めて困難になる。

NSA（アメリカ国家安全保障局）が専用の対策ガイドを公開したほどだ。ハッキングフォーラムで販売され、実際に悪用が確認されている。「いつかの脅威」ではなく、すでに現実に存在するリスクだ。

Microsoftが2023年版の証明書を段階的に配布しているのは、単なる期限切れ対策ではない。BlackLotusのような攻撃に対する防御を、根本から再構築する取り組みでもある。

新証明書は何が変わったのか

2011年版では、1つの証明書がブートローダーもオプションROMも、すべてをまとめて署名していた。2023年版ではこの構造が見直された。

役割ごとにWindows UEFI CA 2023（Windowsブートローダー用）、Microsoft UEFI CA 2023（サードパーティ用）、Microsoft Option ROM UEFI CA 2023（拡張カード用）と分離された。信頼の範囲をより細かく制御できるようになり、オプションROMを信頼する必要がないシステムは、その証明書を追加しなくて済む。

一般ユーザーは何をすべきか

Windows 11を使っていて、Windows Updateを通常通り受け取っているなら、基本的には自動で対応される。Microsoftは段階的にKEK更新を配布しており、今週さらに多くのPCに展開が拡大した。3月11日（日本時間）に予定されている月例パッチとあわせて、さらに広がる見込みだ。

証明書が適用済みかどうかは、PowerShellで確認できる。管理者権限で以下のコマンドを実行し、「True」が返ればすでに更新されている。

「False」でも、まだ順番が来ていないだけだ。慌てる必要はない。ただし、6月までには確実に適用しておきたい。

見落とされがちな落とし穴

OEMファームウェアの壁

Microsoftの更新だけでは完結しないケースがある。マザーボードメーカーが提供するファームウェア更新が先に必要な場合があり、これがなければ証明書の書き込みに失敗することがある。Dell、HP、Lenovo、ASUSなど主要メーカーは対応BIOSを公開しているが、製造から5〜6年以上経過したPCでは、メーカーがサポートを終了している可能性がある。

行き場を失ったPCは、期限切れの証明書を抱えたまま使い続けるしかない。更新への道が閉ざされたハードウェアが、どれだけの台数に上るかは誰にも分からない。

古いGPUに潜むリスク

Redditで警告が上がった問題も見逃せない。2023年以前に製造されたNVIDIA GeForceカードの一部は、UEFI GOP（起動時の画面出力を担うプロトコル）の証明書も2011年版で署名されている。

この証明書が期限切れになると、Secure Boot有効時にGPUが起動時の画面出力を行えなくなる可能性がある。内蔵グラフィックスを持たないCPUの場合、BIOS画面すら表示されない「ソフトブリック」状態に陥りかねない。RTX 30シリーズ以前のカードが影響を受ける可能性が指摘されており、NVIDIAやAIBパートナーによるVBIOS更新が求められている。AMDのカードにも同様のリスクがある。

Windows 10ユーザーの置き去り

Windows 10は2025年10月にサポートを終了した。延長セキュリティ更新（ESU）に加入していないWindows 10 PCは、新しい証明書を受け取れない。

3ヶ月後の現実

期限切れの日、PCが突然動かなくなるわけではない。だが、「動くから安全」という思い込みは、セキュリティにおいて最も危険な誤解だ。