元の発行日: 2026 年 10 月 22 日
KB ID: 5132953
2026 年 10 月 19 日の時点で、2011 年に最初に発行された Microsoft セキュア ブート証明書は 15 年間の有効期限に達しています。 この有効期限によってコンピューターの電源が入らなくなったり、Windows が起動できなくなったりすることはありません。 既存のデバイスは引き続き正常に起動し、Windows を実行します。 証明書の有効期限が Windows デバイスに与える影響の詳細については、「 Windows デバイスでセキュア ブート証明書の有効期限が切れた場合」を参照してください。 広範な 2026 年セキュア ブート証明書の有効期限スケジュールと置換権限の背景については、「 Windows セキュア ブート証明書の有効期限と CA 更新プログラム」を参照してください。
対象プレイヤー
この記事は、物理 Windows フリート、サーバー ワークロード、仮想マシン、およびインストール メディアを管理する IT プロフェッショナル、エンタープライズ管理者、および展開エンジニアを対象としています。
デバイスが Windows Update を通じて自動的に更新される自宅またはパーソナル コンピューター ユーザーの場合は、この記事で説明されている操作を実行する必要はありません。 Windows Update は、個人用デバイスの証明書とスタートアップ ファイルの更新を自動的に管理します。 コンシューマー向けのガイダンスについては、「 Microsoft が管理する更新プログラムを使用したホーム ユーザー、企業、学校向けの Windows デバイス」を参照してください。
変更点とは?
プリブート マルウェアや無許可の改ざんからシステムを保護するために、Windows 実行可能ファイルは、次の 2 つの異なる運用段階で検証されたデジタル署名に依存しています。
プリブート セキュア ブートの確認:Windows が読み込まれる前に、UEFI ファームウェアは、ファームウェアの許可された署名データベース (DB) 内の信頼された機関に対して、Windows ブートローダー (
bootmgfw.efiやcdboot.efiなど) のデジタル署名を検証します。Windows オペレーティング システムでのランタイム検証: Windows の起動後、オペレーティング システムのカーネルとセキュリティ機能は、ドライバー (
.sys)、システム サービス、およびアプリケーション バイナリ (.exe、.dll) の Authenticode デジタル署名を確認します。
2026 年 10 月 19 日の時点で、Microsoft Windows Production PCA 2011 証明書は予定されている有効期限に達し、Microsoft は両方の署名ドメインを最新の証明機関に移行しました。
セキュア ブートとブートローダーの更新 (プリブート)
ブートローダーが静的なバイナリ形式でフリーズします。 2011 証明書で署名された Windows ブート マネージャーの最終リリースは、サポートされているすべての Windows サービス ブランチで静的なバイナリ形式で凍結され、今後のコード サービスやセキュリティ パッチは受信されません。
将来のブートローダーの更新プログラムには、Windows UEFI CA 2023 が必要です: Windows ブートローダーの後続のすべてのセキュリティ パッチは、Windows UEFI CA 2023 証明書チェーンでのみ署名されます。 一般的なブートローダー サービス、デバイスステータス チェック、レジストリ追跡の詳細については、「Windows セキュリティ アプリのセキュア ブート証明書の更新状態」、「セキュア ブートのレジストリ キー更新プログラム」、および「Windows セキュア ブート証明書の有効期限と CA 更新」を参照してください。
インストール メディア ブートローダーの移行: 今後の更新プログラム メディア リリースでは、Microsoft が配布するインストール メディアは、メディア上の凍結された 2011 ブートローダーを保持したまま、既定で 2023 署名付きブートローダーを使用したブートに移行します。 メディア復帰スクリプトは、それを必要とするシステムのために、フリーズされた 2011 ブートローダーで起動するようにメディアを構成するために提供されます。 メディア プランと復帰ツールの詳細については、「 ブート メディアと OS 内セットアップの動作 」セクションで説明します。
In-Windows オペレーティング システムのバイナリ署名とカタログ署名 (ランタイム)
代替署名機関への移行: Windows オペレーティング システムのコンテンツ (埋め込み Authenticode 署名を含むバイナリと署名された Windows セキュリティ カタログによって認証されたコンポーネントを含む) は、廃止される Windows Production PCA 2011 から代わりの Microsoft 証明機関に移行します。 署名証明機関は、暗号化標準と署名慣行の進化に合わせて、今後変更される可能性があることに注意してください。
PCA 2011 バイナリ署名の停止: 2026 年 10 月 19 日以降、Microsoft は 2011 PCA 証明書を使用してバイナリ カタログまたはセキュリティ カタログにデジタル署名しなくなりました。 システムに既にインストールされている既存のバイナリは通常どおりに実行されますが、2011 証明書で署名されたそれ以上の更新プログラムは受信されません。
アプリケーション制御と検証ツールへの影響: 信頼を PCA 2011 機関にピン留めする Custom App Control for Business (WDAC) ポリシー、署名済みセキュリティ カタログ、または CI/CD 検証ツールは、更新されたバイナリをブロックする可能性があります。 ポリシーの確認とサード パーティ製ソフトウェアの検証に関するガイダンスについては、「 運用上の考慮事項と潜在的な影響」 セクションに記載されています。
運用上の考慮事項と潜在的な影響
完全に更新された Windows のインストールはサポートされていますが、スムーズに移行できますが、カスタムのアプリケーション制御ポリシー、ビルド検証パイプライン、または特定の署名証明書チェックを適用する組織は、次の運用領域を評価する必要があります。
アプリケーション制御ポリシー (App Control for Business / WDAC)
organization で App Control for Business または署名付きセキュリティ カタログを使用している場合は、特定の証明機関、発行者、または拇印 (Microsoft Windows Production PCA 2011 など) によって Microsoft 署名コードが承認されているルールのポリシーを確認します。 更新された Windows バイナリとセキュリティ カタログは、2011 PCA 証明書ではなく代替証明機関によって署名されるため、ファイルはこれらの規則と一致しない可能性があり、強制されたときにブロックされる可能性があります。 バイナリ署名証明機関は今後変更される可能性があることに注意してください。
考えられる現象: 累積的なセキュリティ更新プログラムのインストール失敗、起動中のサービスの失敗、アプリケーションの実行可能ファイルまたは DLL ブロック、イベント ログのコード整合性イベント 3077。
証明書の俊敏性と今後の変更: 更新された Windows バイナリとセキュリティ カタログは代替機関に移行しますが、署名証明書と証明機関は、暗号化標準の進歩に応じて今後変更されます。 このため、アプリ コントロール ポリシーとセキュリティ カタログは、特定の証明機関、サブジェクト、または拇印にピン留めせず、代わりに、Microsoft が時間の経過と共に証明書に署名する際に互換性を維持する、既知の発行元ルールまたはポリシー継承を使用する必要があります。
必要な操作: ポリシー XML で、Microsoft CA を参照する署名者ルール (基本ポリシーの例から継承されたルールを含む) を検索します。 最初に監査モードでポリシー変更を展開し、適用する前に結果を確認します。 ポリシー レビューの手順とエコシステム ガイダンスの詳細については、「 次世代コード署名のための Windows エコシステムの準備」を参照してください。
カスタム証明書検証、CI/CD パイプライン、セキュリティ ソフトウェアを備えたアプリケーション
ほとんどの Windows アプリケーションは影響を受けません。 アプリケーションがリスクにさらされるのは、特定の Microsoft 証明書または署名アルゴリズムに関連付けられたカスタム検証を使用する場合、またはプライベート信頼ストアを維持している場合のみです。 Windows アプリケーション、CI/CD パイプライン、またはサード パーティのセキュリティ ツールを管理する組織は、次の領域を評価する必要があります (バイナリ署名証明機関は今後変更される可能性があることに注意してください)。
カスタム アプリケーション証明書の検証: カスタム検証を実行し、PCA 2011 の存在を想定したり、特定の証明書チェーンを検証したり、証明書のサブジェクトにピン留めしたり、固定署名特性に依存したりするアプリケーションまたはサービスでは、エラーが発生したり、Windows が信頼済みと認識した Microsoft 署名ファイルを拒否したりする可能性があります。 固定された証明書や署名アルゴリズムに関連付けられたカスタム チェックではなく、サポートされている Windows 信頼 API (WinVerifyTrust など) を使用するようにアプリケーション検証を更新します。
プライベート トラスト ストアを使用するソフトウェア: プライベート トラスト ストアを維持するアプリケーション、コンテナー、またはサービスに、正当な Microsoft 証明書のローテーションを認識するプロセスがあることを確認します。
検証と CI/CD パイプラインのビルド:予想される証明機関の静的許可リストを強制する自動ビルド ゲートと静的スキャナーは、新しく更新された Windows コンポーネントで検証エラー (ポリシーの不一致エラーなど) を報告する場合があります。 静的署名者の許可リストを更新して代替の Microsoft 証明機関を認識し、署名標準の進化に伴う将来の証明機関のローテーションに対応する検証プロセスを確立します。
サード パーティ製のセキュリティおよびウイルス対策ソフトウェア: サード パーティのウイルス対策製品、Endpoint Protection 製品、アプリケーション保護製品によっては、Authenticode 署名が直接検査されます。 ソフトウェア ベンダーが、代替の Microsoft 署名証明書との互換性を確認し、テスト済みであることをソフトウェア ベンダーに確認します。 技術検証ツールのガイダンスについては、「 次世代コード署名のための Windows エコシステムの準備」を参照してください。
古いハードウェアでのブート メディアの展開
今後の更新プログラム メディア リリースでは、公式インストール メディアは、Windows UEFI CA 2023 ブート マネージャーを使用した既定のブートに移行します。
考えられる現象: UEFI ファームウェアの許可された署名データベース (DB) に 2023 証明書がない物理ハードウェアで更新されたメディアを起動すると、セキュア ブート違反で失敗します。
必要な操作: 2023 証明書を信頼する更新された OEM BIOS がない古いハードウェアの場合は、フリーズされた 2011 ブートローダーを使用して起動するようにメディアを構成するためのメディア復帰スクリプトが提供されます。
ブート メディアと OS 内セットアップの動作
インストール メディアの移行とオペレーティング システムのセットアップは、既存の Windows バージョンと将来の Windows リリースの間で異なります。
既存の Windows バージョンのインストール メディア
インストール メディアの既定のブート パス: 現在サポートされているバージョンの Windows の今後のインストール メディア リリースでは、ブート メディアの既定のスタートアップ ファイルとして \EFI\Boot\bootx64.efi にある 2023 署名済み Windows ブート マネージャーがステージングされます。
古いファームウェアのメディア復帰: インストール メディアは、2023 署名済みと 2011 署名済みの両方のブート バイナリをパッケージ化し、メディアとターゲット EFI システム パーティション (ESP) 上の既存のディレクトリ構造を保持します。 2011 ブート ファイルを必要とするハードウェアの場合、固定された 2011 ブート マネージャーを使用してブートするようにメディアを構成するためのメディア復帰スクリプトが提供されます。
インプレース アップグレードの動作: インプレース アップグレードを実行すると、Windows セットアップによってファームウェアの許可された署名データベース (DB) が検査されます。 ファームウェアが既に Windows UEFI CA 2023 を信頼している場合、セットアップは 2023 署名付きブート マネージャーを使用してターゲット EFI システム パーティション (ESP) をプロビジョニングします。 ファームウェアが PCA 2011 のみを信頼している場合、セットアップは 2011 署名付きブート マネージャーをプロビジョニングしてスタートアップ機能を保持します。 アップグレード後、標準の Windows サービスによってファームウェア DB への証明書の更新が管理され、後続の品質更新プログラムによって、ファームウェアの信頼が確立されると、ESP が 2023 ブートローダーに移行されます。
Azure Marketplace メディアの移行: Azure ファーストパーティ VM ギャラリー イメージとホスト デプロイ パイプラインは、2023 年の既定のブート メディア スケジュールに合わせて調整されます。
将来の Windows バージョン用のインストール メディア
今後、Windows の主要なクライアントおよびサーバー リリースでは、インストール メディアは 2023 署名付きブート バイナリのみを保持し、2011 署名付きブート バイナリはメディアから完全に削除されます。
今後のリリースのファームウェア信頼要件: Windows の今後のメジャー リリースでは、ファームウェアに Windows UEFI CA 2023 証明書が必要です 許可された署名データベース (DB) でインストール メディアを起動し、Windows セットアップを完了できます。
メディア生成およびフォールバック スクリプト
異なるハードウェア世代間のメディア管理は、次のスクリプトによってサポートされています。
ダウンレベル メディアの更新: 既定で 2011 ブートローダーが使用されている既存のインストール メディアの場合は、 Make2023BootableMedia.ps1を使用してメディアを既定で 2023 ブートローダーに更新します。 完全なスクリプト パラメーターとダウンロード手順については、「 PCA2023署名付きブート マネージャーを使用するように Windows 起動可能メディアを更新する」を参照してください。
古いファームウェアのメディア復帰スクリプト: 2023 証明書の OEM 更新を待機しているファームウェアを使用してシステムにメディアを展開する場合、前述のメディア復帰スクリプトは、凍結された 2011 ブートローダーを使用して起動するようにメディアを構成する場合があります。
よく寄せられる質問
ブートローダーを更新すると BitLocker 回復がトリガーされますか?
Windows サービスは更新中のプラットフォーム測定を調整しますが、デバイス プロテクターの構成、ファームウェアの動作、およびシステム状態によっては、予期しない BitLocker 回復プロンプトが発生する可能性があります。 管理者とデバイス所有者は、毎月の Windows 品質更新プログラムを含むブート チェーン、ファームウェア、またはセキュア ブート更新プログラムを適用する前に、BitLocker 回復キーが安全にバックアップされていることを確認する必要があります。Hyper-V、Azure、VMware の仮想マシンはどのような影響を受けますか。
第 2 世代 Hyper-V VM は、標準の累積的な Windows 更新プログラムを介して更新された証明書を受け取ります。 Azure Trusted Launch と Confidential VM は、Azure プラットフォーム サービスを介して更新プログラムを受け取ります。 VMware vSphere の場合は、ESXi ホストと VM ハードウェアのバージョンが、ゲスト UEFI テンプレートに 2023 証明書を含むリリースに更新されていることを確認します。 詳細については、「Azure のトラステッド ローンチ VM と機密 VM」を参照してください。デバイスが 2023 証明書を受信しない場合はどうなりますか?
デバイスは、凍結された 2011 署名付きブートローダーを使用して引き続きブートしますが、将来のブート レベルの脆弱性が検出された場合、新しいブートローダーのセキュリティ修正プログラムを受け取ることはありません。 さらに、Windows の今後のメジャー リリースでは、許可された署名データベース (DB) の 2023 証明書が必要になり、インストール メディアは証明書がないデバイスへのインストールをブロックします。
関連項目
変更ログ
| 日付の変更 | 変更の説明 |
|---|---|
| 2026 年 10 月 22 日 | 2026 年 10 月 19 日の Windows Production PCA 2011 の有効期限、ブートローダーのフリーズ、今後のインストール メディアの更新プログラム、アプリケーション制御の影響、およびフォールバック変換ツールに関する最初の公開。 |