【2026年最新版】WindowsのSecure Boot証明書が期限切れ・エラーになる原因と対処法

※本ページにはプロモーション(広告)が含まれています

2026年6月、Windowsのセキュアブート証明書が期限切れを迎えます。この問題に対処しないまま放置すると、最悪の場合PCが起動できなくなる可能性があります。

「セキュアブートってそもそも何？」「自分のPCは大丈夫？」「今すぐ何かしないといけないの？」と不安に思っている方も多いのではないでしょうか。

この記事では、セキュアブート証明書の期限切れ問題とは何かを初心者にもわかりやすく解説し、影響を受けるPCの確認方法から具体的な対処手順まで、すべてをステップ形式でご紹介します。Windows Updateを普段から適用している方であれば心配は少ないですが、念のため確認しておくことを強くおすすめします。

セキュアブートとは？初心者向けにわかりやすく解説

セキュアブートの基本的な仕組み

セキュアブート（Secure Boot）とは、PCの電源を入れてからWindowsが起動するまでの間に、不正なプログラムが実行されないようにする安全機能です。

通常、PCの起動時には以下の順序でプログラムが実行されます。

1. UEFI/BIOS（PCの基盤に組み込まれた基本プログラム）が起動
2. ブートローダー（Windowsを読み込むためのプログラム）が実行される
3. Windows OSが起動する

セキュアブートは、この「2.ブートローダー」の段階で、Microsoftが電子署名した正規のプログラムだけを許可する仕組みです。万が一、ウイルスやマルウェアがブートローダーに偽装して起動しようとしても、正規の電子署名がなければ実行が拒否されます。

電子証明書の役割

セキュアブートが「正規のプログラムかどうか」を判断するために使っているのが電子証明書（CA証明書）です。簡単に言えば、Microsoftが発行した「この起動プログラムは安全ですよ」というお墨付きのようなものです。

この電子証明書には有効期限が設定されており、期限が切れると「安全かどうか判断できない」状態になります。その結果、セキュアブートがWindowsの起動プログラムをブロックしてしまう可能性があるのです。

セキュアブートに関連する主なデータベース

データベース名	略称	役割
Allowed Signature Database	DB	起動を許可するプログラムの証明書リスト
Forbidden Signature Database	DBX	起動を禁止するプログラムのリスト（ブラックリスト）
Key Enrollment Key	KEK	DBやDBXを更新するための鍵（管理者用の鍵）
Platform Key	PK	最上位の鍵（PCメーカーが設定）

なぜ2026年に証明書が期限切れになるのか

2011年に発行された証明書の15年問題

現在多くのPCで使われているセキュアブート証明書は、2011年にMicrosoftが発行したものです。これらの証明書には15年間の有効期限が設定されており、2026年にその期限を迎えます。

具体的に期限切れとなる証明書とスケジュールは以下のとおりです。

証明書名	用途	有効期限
Microsoft Corporation KEK CA 2011	KEK（証明書データベースの管理鍵）	2026年6月24日
Microsoft Corporation UEFI CA 2011	DB（サードパーティ製ブートローダーの署名）	2026年6月24日
Microsoft Windows Production PCA 2011	DB（Windowsブートローダーの署名）	2026年10月19日

Microsoftの対応：2023年版の新証明書

Microsoftはこの問題に対応するため、2023年に新しい証明書（Windows UEFI CA 2023）を発行しています。この新しい証明書への移行が、Windows Updateを通じて段階的に進められています。

2024年以降に製造されたPCの多くには、最初から新しい2023年版の証明書がインストールされているため、基本的に問題ありません。一方で、それ以前に購入したPCは、Windows Updateによる証明書の更新が必要です。

どのような場合に起動できなくなるのか

以下の3つの条件すべてに該当する場合、2026年6月以降にPCが起動できなくなるリスクがあります。

1. Windows 8以降（Windows 10、Windows 11を含む）を使用している
2. セキュアブートが有効になっている
3. 2025年6月以降のWindows Updateが適用されていない（＝新しい2023年証明書が未適用）

つまり、Windows Updateを普段から適用していれば、基本的には問題ありません。ただし、企業でWSUS（Windows Server Update Services）を使って更新を管理している場合や、Windows Updateを長期間停止しているPCでは注意が必要です。

自分のPCが影響を受けるか確認する方法

確認方法1：セキュアブートの有効/無効を確認する

まず、お使いのPCでセキュアブートが有効になっているかどうかを確認しましょう。セキュアブートが無効の場合は、証明書の期限切れの影響を受けません。

手順：

1. キーボードで Windowsキー + R を押して「ファイル名を指定して実行」を開く
2. 「msinfo32」と入力して「OK」をクリック
3. 「システム情報」画面が表示されたら、右側の一覧から「セキュアブートの状態」を探す
4. 「有効」と表示されていれば、セキュアブートが有効です

確認方法2：現在の証明書バージョンをPowerShellで確認する

次に、セキュアブートの証明書が新しい2023年版に更新済みかどうかを確認します。

手順：

1. スタートメニューを右クリックし、「Windows ターミナル（管理者）」を選択
2. PowerShellが開いたら、以下のコマンドをコピーして貼り付け、Enterキーを押す

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

結果の見方：

表示結果	意味	対応
True	新しい2023年証明書が適用済み	対応不要。安心してください
False	まだ2011年の旧証明書のまま	Windows Updateを適用して更新が必要

確認方法3：レジストリで更新ステータスを確認する

より詳細な情報を確認したい場合は、以下のPowerShellコマンドを実行します。

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status').UEFICA2023Status

結果の見方：

• 0：まだ更新プロセスが開始されていない
• 1：証明書の配信が完了し、次回再起動時に適用される
• 2：DB（証明書データベース）の更新が完了

確認方法4：KEK証明書も確認する

DBだけでなく、KEK（Key Enrollment Key）の証明書も更新されているか確認しておくとより安心です。

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'

こちらもTrueと表示されれば、KEK証明書も最新版に更新済みです。

対処法：証明書を最新版に更新する手順

対処法1：Windows Updateを最新まで適用する（最も簡単）

最も簡単で確実な対処法は、Windows Updateをすべて適用することです。Microsoftは2025年から2026年6月にかけて、段階的に新しい証明書を配信しています。

Windows 10の場合：

1. 「スタート」→「設定」→「更新とセキュリティ」をクリック
2. 「Windows Update」を選択
3. 「更新プログラムのチェック」をクリック
4. 利用可能な更新プログラムがあれば、すべてダウンロードしてインストール
5. 「再起動が必要です」と表示されたら、PCを再起動
6. 再起動後、再度「更新プログラムのチェック」を実行して、追加の更新がないか確認

Windows 11の場合：

1. 「スタート」→「設定」→「Windows Update」をクリック
2. 「更新プログラムのチェック」をクリック
3. すべての更新プログラムをダウンロード・インストール
4. PCを再起動し、もう一度チェックして「最新の状態です」と表示されるまで繰り返す

対処法2：手動でセキュアブート証明書を更新する（PowerShell）

Windows Updateで証明書が配信されていない場合や、早急に更新したい場合は、PowerShellから手動で更新を実行できます。

手順：

1. スタートメニューを右クリックし、「Windows ターミナル（管理者）」を選択
2. 以下のコマンドを実行して、スケジュールされた更新タスクを手動で開始する

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. コマンド実行後、PCを2回再起動する
4. 再起動後、以下のコマンドで更新が成功したか確認する

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Trueと表示されれば、更新は成功です。

対処法3：BIOS/UEFIの更新を確認する

PCメーカーによっては、BIOS/UEFIのアップデートを通じてセキュアブート証明書の更新を行う場合があります。これはWindows Updateとは別の経路での更新です。

手順：

1. お使いのPCメーカーのサポートサイトにアクセス
2. お使いの機種名・型番を入力して検索
3. 「ドライバー・アップデート」のページから、BIOSアップデートが提供されているか確認
4. アップデートがある場合は、メーカーの指示に従ってインストール

対処法4：回復ドライブを事前に作成しておく（強く推奨）

万が一、証明書の問題でPCが起動できなくなった場合に備えて、今のうちに回復ドライブを作成しておくことを強くおすすめします。

回復ドライブの作成手順：

1. 32GB以上のUSBメモリを用意する（中のデータはすべて消去されます）
2. Windowsの検索バーに「回復ドライブ」と入力し、「回復ドライブの作成」を開く
3. 「システム ファイルを回復ドライブにバックアップします」にチェックを入れて「次へ」
4. 接続したUSBメモリを選択して「次へ」→「作成」をクリック
5. 作成が完了するまで待つ（30分～1時間程度かかることがあります）

回復ドライブの作成には32GB以上のUSBメモリが必要です。まだお持ちでない場合は、以下のような信頼性の高いUSBメモリを1本用意しておくと安心です。

証明書期限切れでPCが起動できなくなった場合の回復手順

もし証明書の問題でPCが起動できなくなってしまった場合でも、いくつかの方法で回復できる可能性があります。

方法1：BIOSでセキュアブートを一時的に無効にする

最も手軽な応急処置は、BIOS/UEFI画面からセキュアブートを無効にすることです。

手順：

1. PCの電源を入れた直後に、F2キー（メーカーによってはF10、Del、Escキー）を連打してBIOS/UEFI画面に入る
2. 「Security」タブまたは「Boot」タブを探す
3. 「Secure Boot」の項目を見つけて「Disabled」に変更
4. 設定を保存して再起動する（通常はF10キーで保存＆終了）

PCメーカー	BIOS起動キー	備考
Dell	F2	電源投入直後に連打
HP	F10	Escキーでメニュー表示後にF10の機種もあり
Lenovo	F2（ノート）、F1（デスクトップ）	Novoボタンがある機種はそちらも利用可
Dynabook（東芝）	F2	電源ボタン直後に連打
VAIO	F3またはF4	ASSISTボタンがある機種はそちらを使用
ASUS	F2またはDel	電源投入直後に連打
自作PC（マザーボード）	Del	メーカーによってF2の場合もあり

方法2：回復ドライブから起動して修復する

事前に回復ドライブを作成してあった場合は、そこからPCを起動して修復できます。

1. 回復ドライブ（USBメモリ）をPCに挿入
2. PCの電源を入れ、ブートメニューを表示（F12、F9、Escなどメーカーによって異なる）
3. USBメモリを選択して起動
4. 「トラブルシューティング」→「詳細オプション」を選択
5. 「スタートアップ修復」を実行

方法3：Windowsインストールメディアから修復する

回復ドライブがない場合は、別のPCでWindowsのインストールメディア（USBメモリ）を作成し、そこから起動して修復を試みます。

1. 別の正常に動作するPCで、Microsoftの公式サイトからメディア作成ツールをダウンロード
2. 8GB以上のUSBメモリを使ってインストールメディアを作成
3. 起動できないPCにUSBメモリを挿入し、ブートメニューから起動
4. 「コンピューターを修復する」→「トラブルシューティング」→「詳細オプション」を選択
5. 「コマンドプロンプト」を選択し、修復コマンドを実行

インストールメディア作成用のUSBメモリは、8GB以上であれば基本的に使えますが、余裕を持って32GBのものを用意しておくと、回復ドライブとしても兼用できるため便利です。

メーカー別の対応情報まとめ

主要PCメーカーの対応状況をまとめました。各メーカーともサポートページで注意喚起を行っています。

Dynabook（ダイナブック）

Dynabookは2026年2月にセキュアブート証明書の有効期限切れに関する専用サポートページを公開しています。

• 影響を受けない機種：Windows 11 25H2プリインストールモデル、一部のWindows 11 24H2プリインストールモデル（dynabook BA/ZY、BA86/VA、RA/ZY、RA73/V、XA/ZY、XA74/VYなど）は出荷時に新しい証明書が適用済み
• 対応方法：Windows Updateを最新まで適用する。BIOSアップデートも併せて確認することを推奨

VAIO

VAIOもセキュアブート証明書データベースの更新に関するFAQページを公開しています。

• Windows Updateが正常に適用されていれば、自動的に証明書が更新される
• VAIO独自のBIOSアップデートによる証明書更新も順次提供

Dell

Dellはセキュアブート移行に関するFAQページと、BIOSからのDB更新手順を詳しく公開しています。

• Dell製PCでは、BIOS設定画面から直接セキュアブートのDB（証明書データベース）を更新できるオプションが用意されている機種がある
• PowerShellコマンドによる証明書確認手順も詳細に解説
• BitLocker利用時は回復キーの事前確認を推奨

HP

HPもセキュアブート証明書に関するサポートドキュメントを公開しています。

• Windows Updateの適用を最優先の対処法として推奨
• HP製PCのBIOSアップデートによる対応も順次提供
• 企業向けPCについては管理者向けの詳細ガイドも公開

Lenovo

• LenovoもWindows Updateを通じた証明書更新を推奨
• Lenovo Vantage（サポートアプリ）からBIOSアップデートの確認が可能
• ThinkPad、ThinkCentre、IdeaPadなど各シリーズごとに対応BIOSを提供予定

メーカー別対応まとめ表

メーカー	専用サポートページ	BIOSでの更新対応	備考
Dynabook	公開済み	あり	一部モデルは出荷時に対応済み
VAIO	公開済み	順次提供	FAQ形式で手順を詳細解説
Dell	公開済み（複数ページ）	あり（BIOS画面から直接更新可能な機種あり）	サーバー向けガイドも公開
HP	公開済み	順次提供	企業向け管理者ガイドあり
Lenovo	公開済み	順次提供	Lenovo Vantageからの確認を推奨

企業・法人ユーザーが注意すべきポイント

WSUS環境での対応

企業でWSUS（Windows Server Update Services）を使ってWindows Updateを管理している場合は、セキュアブート証明書の更新プログラムが自動配信されていない可能性があります。

以下の点を確認してください。

• WSUSでKB5036210（Windows UEFI CA 2023証明書のDB展開）が承認・配信されているか
• 関連するセキュアブート更新プログラムがWSUSのフィルターでブロックされていないか
• クライアントPCにWindows Updateが適切に配信・適用されているか

仮想マシン（Hyper-V等）の対応

Hyper-Vなどの仮想マシンでもセキュアブートが有効になっている場合があります。仮想マシンのセキュアブート設定も忘れずに確認してください。

BitLockerの回復キー管理

セキュアブート証明書の更新に伴い、BitLockerの回復キー入力が求められるケースが報告されています。特に大量のPCを管理している企業では、以下の対策が重要です。

• Active Directoryに保存されたBitLocker回復キーを確認・エクスポートしておく
• Azure ADを使っている場合は、Entra ID上の回復キーを確認
• ユーザーに対して、個人のMicrosoftアカウントに紐づいた回復キーの保存場所を周知

よくある質問（FAQ）

まとめ

2026年6月に迫るWindowsのセキュアブート証明書の期限切れ問題について解説しました。最後に、今すぐやるべきことをまとめます。

Windows Updateを普段から適用していれば、ほとんどの方は心配する必要はありません。ただし、「確認したら安心できた」という状態を作っておくことが大切です。

特に企業のIT管理者の方は、WSUS環境での更新プログラムの配信状況や、BitLocker回復キーの管理状況を早めに確認しておくことを強くおすすめします。

この記事の手順に沿って確認・対処していただければ、2026年6月の期限切れを安心して迎えることができるはずです。不安な点があれば、お使いのPCメーカーのサポート窓口にも相談してみてください。