Windows セキュア ブート証明書の有効期限
重要 ほとんどの Windows デバイスで使用されるセキュア ブート証明書の有効期限は、2026 年 6 月に開始されました。 Microsoft は、過去数か月間、PC と管理されていないビジネス デバイスでこれらの証明書を更新してきました。 新しい証明書を受け取っていないデバイスは引き続き起動し、標準の Windows 更新プログラムは引き続きインストールされます。 今後数か月間、Windows 更新プログラムを通じて新しい証明書のインストールを続けます。
概要
この記事では、この累積的なセキュリティ更新プログラムに含まれるセキュリティの問題と品質強化の一覧を示します。
適用対象:Windows 10 ESU
重要EKB KB5015684 を使用して、Windows 10 バージョン 22H2 に更新します。
このセキュリティ更新プログラムには、次の更新プログラムの一部である修正プログラムと品質強化が含まれています。
以下は、この更新プログラムをインストールしたときにこの更新プログラムによって対処される問題の概要です。 新機能がある場合は、それらを一覧表示します。 角かっこ内の太字は、文書化する変更の項目または領域を示しています。
- [バックアップ] ファイル履歴 サーバー メッセージ ブロック (SMB) を使用したネットワーク共有への自動バックアップは、正しくない「無効な資格情報」エラーで失敗する可能性があります。 この問題が発生すると、スケジュールされたバックアップではファイルはコピーされません。 この更新プログラムで問題が解決されます。
- [セキュア ブート] この更新プログラムには、追加の高信頼度デバイス ターゲット データが含まれており、新しいセキュア ブート証明書を自動的に受信する対象となるデバイスのカバレッジが拡大します。 Windows 更新プログラムによる証明書の展開は、今後数か月間、サポートされている PC と管理されていないビジネス デバイス間で継続されます。
以前の更新プログラムをインストール済みであれば、このパッケージに含まれる新しい更新プログラムのみがダウンロードされ、デバイスにインストールされます。
セキュリティの脆弱性の詳細については、新しいセキュリティ更新プログラム ガイドの Web サイトと August 2026 Security Updates を参照してください。
Windows Update に関する用語については、 Windows 更新プログラムの種類 と 毎月の品質更新プログラムの種類に関する記事を参照してください。 Windows 10、バージョン 22H2 の概要については、更新履歴のページを参照してください。
この更新プログラムの既知の問題
推奨されない BitLocker グループ ポリシー構成のデバイスでは、BitLocker 回復キーの入力が必要になる場合があります
現象
この更新プログラムをインストールした後、推奨されていない BitLocker グループ ポリシー構成を伴う一部のデバイスは、初回の再起動時に BitLocker 回復キーの入力が必要になる場合があります。
この問題は、次のすべての条件が当てはまる限られた数のシステムにのみ影響します。 これらの条件は、IT 部門によって管理されていない個人用デバイスで該当する可能性はほとんどありません。
- OS ドライブで BitLocker が有効になっている。
- グループ ポリシー「ネイティブ UEFI ファームウェア構成用に TPM プラットフォーム検証プロファイルを構成」が設定されており、PCR7 が検証プロファイルに含まれている (または同等のレジストリ キーが手動で設定されている) 。
- システム情報 (msinfo32.exe) が、セキュア ブート状態の PCR7 バインドを「不可能」と報告している。
- Windows UEFI CA 2023 証明書がデバイスのセキュア ブート署名データベース (DB) に存在し、2023 年署名の Windows ブート マネージャーを既定に設定できる状態になっている。
- デバイスが 2023 年署名の Windows ブート マネージャーをまだ実行していない。
このシナリオでは、BitLocker 回復キーは 1 回だけ入力する必要があります。グループ ポリシーの構成が変更されていない限り、以降の再起動では BitLocker 回復画面はトリガーされません。 BitLocker 回復キーを見つける方法については、「BitLocker 回復キーを見つける」を参照してください。
企業は、この更新プログラムをインストールする前に、BitLocker グループ ポリシーを監査して PCR7 が明示的に含まれているか確認し、msinfo32.exe の PCR7 バインド状態をチェックすることを推奨します。
Resolution
この問題の解決策は、今後の Windows 更新プログラムで計画されています。
この問題を回避するには、更新プログラムをインストールする前にグループ ポリシー構成を削除します。 手順は次のとおりです。
- グループ ポリシー エディター (gpedit.msc) またはグループ ポリシー管理コンソールを開きます。
- [コンピューターの構成] > 管理用テンプレート > Windows コンポーネント > BitLocker ドライブ暗号化 > オペレーティング システム ドライブに移動します。
- [ネイティブの UEFI ファームウェア構成の TPM プラットフォーム検証プロファイルを構成する] を [未構成] に設定 します。
- 影響を受けるデバイスでコマンド 'gpupdate /force' を実行して、ポリシーの変更を反映します。
- 次のコマンドを実行して BitLocker を一時停止します (C: ドライブで BitLocker が有効になっている場合): 'manage-bde -protectors -disable C:'
- 次のコマンドを実行して BitLocker を再開します (C: ドライブで BitLocker が有効になっている場合): 'manage-bde -protectors -enable C:'
- これにより、Windows が選択した既定の PCR プロファイルを使用するように BitLocker バインドが更新されます。
Windows 10 サービス スタック更新プログラム (KB5104021) - バージョン 19041.7546
Microsoft では、お使いのオペレーティング システム用の最新のサービス スタック更新プログラム (SSU) を最新の累積更新プログラム (LCU) と組み合わせて提供するようになりました。 SSU は更新プロセスの信頼性を向上させ、Windows 更新プログラムのインストールを実行するコンポーネントであるサービス スタックの修正プログラムを含みます。
注釈このサービス スタック更新プログラム (SSU) には、検証のために更新された証明書チェーンを利用して、デバイスが Azure でホストされているかどうかを確認する拡張ロジックが含まれています。 証明書の更新プログラムを正常にダウンロードしてインストールするために、デバイスが必要な証明書更新プログラム ドメインにアクセスできるようにするには、「証明書のダウンロードと失効のリスト」と 「Azure 証明機関の詳細」を参照してください。 SSU の詳細については、「 サービス スタック更新プログラム」を参照してください。
この更新プログラムの入手方法
この更新プログラムをインストールする前に
重要 最新のサービス スタック更新プログラム (SSU) がインストールされている必要があります。 Windows 更新プログラムを適用する前に最新の SSU をインストールしないと、最新の SSU がインストールされるまで Windows 更新プログラムが提供されない可能性があります。
展開
この更新プログラムを展開する場合は、インストール シナリオに基づいて次のいずれかを選択してください。
- オフラインの OS での画像サービスの場合: イメージに 2023 年 7 月 25 日 (KB5028244) 以降の LCU がない場合は、この更新プログラムをインストールする前に、特別なスタンドアロン 2023 年 10 月 13 日 SSU (KB5031539) をインストールする必要があります。
- Windows Server Update Services (WSUS) 展開の場合、または Microsoft Update カタログからスタンドアロン パッケージをインストールする場合は、次の手順を実行します。 デバイスに 2021 年 5 月 11 日 (KB5003173) 以降の LCU がない場合は、この更新プログラムをインストールする前に、特別なスタンドアロン 2021 年 8 月 10 日の SSU (KB5005260) をインストールする必要があります。
この更新プログラムなどの動的更新を既存の Windows イメージに展開する場合は、 boot.stl ファイルがインストール メディアの一部として含まれていることを確認します。 ファイルを含めないと、インストール メディアからデバイスが正常に起動せず、エラー コード 0xc0430001が発生する可能性があります。
注
boot.stl ファイルはセキュア ブート検証中に使用され、更新するイメージの Windows バージョンおよびアーキテクチャと一致する必要があります。
boot.stl ファイルがインストール メディアの一部として含まれるようにするには、次のいずれかの手順を実行します。
- Update WinPE スクリプトを使用して、既存の Windows イメージを更新します。 (推奨)
- 更新プログラムを展開する前に、 boot.stl ファイルをデバイスの Windows\Boot\EFI フォルダーからインストール メディア上の対応するフォルダーに手動でコピーします。
既存の Windows イメージに動的更新プログラム パッケージを適用する方法については、「 動的更新による Windows インストール メディアの更新」を参照してください。
この更新プログラムを入手してインストールする
この更新プログラムを入手してインストールするには、次のいずれかの Windows および Microsoft リリース チャネルを使用してください。
| 使用可能 | 次の手順 |
|---|---|
|
この更新プログラムは、Windows Update から自動的にダウンロードおよびインストールされます。 |
ファイル情報
この更新プログラムに含まれているファイルの一覧は、CSV (コンマ区切り) (*.csv) ファイルにまとめられています。 ファイルは、メモ帳などのテキスト エディターまたは Microsoft Excel で開くことができます。
注釈このソフトウェア更新プログラムの英語 (米国) 版には、他の言語のファイルが含まれている可能性があります。
この 累積的な更新プログラム KB5120249のファイル情報をダウンロードします。
SSU (KB5104021) - バージョン 19041.7546 更新プログラムのファイル情報をダウンロードします。
関連情報
Microsoft Store アプリケーションの更新
Windows 更新プログラムでは、Microsoft Store アプリケーションの更新プログラムはインストールされません。 エンタープライズ ユーザーの場合は、「Microsoft Store アプリ - Configuration Manager」を参照してください。 一般ユーザーの場合は、「 Microsoft Store でアプリやゲームの更新プログラムを入手する」を参照してください。Windows セキュア ブート証明書の有効期限
重要: ほとんどの Windows デバイスで使用されるセキュア ブート証明書は、2026 年 6 月に有効期限が切れ始めています。 これは、特定の個人用デバイスとビジネス デバイスが時間内に更新されていない場合に安全に起動する機能に影響する可能性があります。 中断を回避するために、ガイダンスを確認し、証明書を事前に更新するためのアクションを実行することをお勧めします。 詳細と準備手順については、「Windows セキュア ブート証明書の有効期限と CA 更新プログラム」を参照してください。
サポート終了
以下の終了日をもって、Microsoft は Windows Update を介した無料ソフトウェア更新プログラム、テクニカル サポート、セキュリティ修正プログラムの提供を終了します。 Windows 10 の重要かつ重要なセキュリティ更新プログラムを引き続き受信するには、「Windows 10 Extended Security Updates (ESU) を参照してください。 それ以外の場合は、新しいバージョンの Windows にアップグレードすることをお勧めします。
- Windows 10 バージョン 21H2: サポートは 2023 年 6 月 13 日に終了しました
- Windows 10 バージョン 22H2: サポートは 2025 年 10 月 14 日に終了しました
- Windows 10 Enterprise LTSC 2021: 2027 年 1 月 12 日。 Extended Security Updates (ESU) プログラムの詳細については、「Windows 10 Enterprise LTSC 2021 のサポート終了の計画」を参照してください。
- Windows 10 IoT Enterprise LTSC 2021: 2032 年 1 月 13 日
変更ログ
| 日付の変更 | 変更の説明 |
|---|---|
| 2026 年 8 月 17 日 |
|