セキュアブート証明書期限切れおよび証明書更新について（2026年）

★OS側：

Windowsブートマネージャー

Windowsのブートマネージャーに適用されている証明書です。
ブートマネージャーの証明書がパソコンのDB（UEFI側）に登録されている場合のみOSが起動できます。

★パソコン側（UEFI）：

DBへの証明書の追加、リスクのある証明書をDBXに登録することで、
セキュリティーを維持することができます。

KEK：

DB/DBXを更新するためのキー
期限が切れるとDB/DBXの更新ができなくなります。

DB：

許可されたセキュアブート署名が登録されているデータベース

DBX：

失効されたセキュアブート署名が登録されているデータベース

証明書の有効期限を過ぎても、Windowsはそのまま使用できます。また、Windows Updateで品質更新プログラムも適用されます。
ただし、証明書が更新されてない状態が続くと、将来的な新しいセキュリティーリスクに対応できなくなる可能性があります。

＜Windows セキュリティで確認する＞

セキュアブート証明書の更新状態は、「Windows セキュリティ」アプリの「セキュア ブート」項目で確認することができます。

詳しくは、下記マイクロソフト社のWebページをご覧ください。
　Windows セキュリティ アプリのセキュア ブート証明書の更新状態

＜「証明書チェックツール」で確認する＞

証明書チェックツールは、お使いのパソコンのセキュリティー証明書の状態をチェックして、対処方法をアドバイスします。

ツールの使用方法は、こちら をご覧ください。

＜PowerShellで確認する＞

WindowsでPowerShellを管理者権限で実行して、証明書が更新されているか確認することができます。

1. スタート画面で「PowerShell」で検索し、「Windows PowerShell」が表示されたら右クリックして[管理者として実行] を選択します。
2. 「Windows PowerShell」画面が表示されたら、証明書を確認します。

 

3. 「Microsoft Corporation KEK 2K CA 2023」が適用されているか確認します。以下をコピーして入力し「Enter」キーを押します。

 ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI -Name KEK).Bytes) -match 'Microsoft Corporation KEK 2K CA 2023')

証明書が適用されている場合は「true」と表示されます。

 

4. 引き続きDBに「Windows UEFI CA 2023」が適用されているか確認します。以下をコピーして入力し「Enter」キーを押します。

 ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

証明書が適用されている場合は「true」と表示されます。

BlackLotus UEFI ブートキットを使用したセキュア ブートセキュリティー機能のバイパスに対する脆弱性(CVE-2023-24932）への対策とは、セキュアブート証明書をCA2023証明書に変更するとともに、DBXにCA2011証明書を移動することです。

脆弱性の詳細や実施方法については、下記マイクロソフト社のWebページをご覧ください。
　CVE-2023-24932 に関連付けられているセキュア ブートの変更に対する Windows ブート マネージャー失効を管理する方法