セキュアブート証明書の確認方法 — 2023年版に更新済みかを3つの画面で調べる手順
2026年10月19日、Windowsの起動を守る「セキュアブート」の証明書のうち、Windowsのブートローダーに署名しているMicrosoft Windows Production PCA 2011が有効期限を迎えました。6月にはほかの2011年版の証明書も期限を過ぎています。「自分のパソコンは新しい2023年版に切り替わっているのか」が気になっている方も多いのではないでしょうか。
結論から言うと、マイクロソフトの説明ではほとんどのWindowsデバイスは更新された証明書をWindows Update経由で自動的に受け取ります。この記事では、2026年10月時点のマイクロソフト公式サポート情報とDellの公式手順をもとに、更新済みかどうかをWindows セキュリティ・システム情報・PowerShellの3つの画面で確かめる手順と、表示ごとにやることを整理します。
期限を迎える2011年版の証明書と後継の2023年版
セキュアブートは、パソコンの電源を入れてからWindowsが立ち上がるまでの間に、信頼できる署名付きのプログラムだけを動かす仕組みです。その「信頼できるかどうか」の判断に使われるのが、パソコンのファームウェアに登録されたマイクロソフトの証明書です。
マイクロソフトのサポート記事「Windows セキュア ブート証明書の有効期限と CA の更新」によると、2011年に発行された証明書と、その後継となる2023年版の証明書は次のとおりです。
| 2011年版の証明書 | 有効期限 | 後継の2023年版 | 役割 |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 2026年6月24日 | Microsoft Corporation KEK 2K CA 2023 | セキュアブートのデータベース（DB・DBX）の更新に署名 |
| Microsoft UEFI CA 2011 | 2026年6月27日 | Microsoft UEFI CA 2023 | 他社製のブートローダーやEFIアプリに署名 |
| Microsoft UEFI CA 2011 | 2026年6月27日 | Microsoft Option ROM UEFI CA 2023 | 他社製のオプションROMに署名 |
| Microsoft Windows Production PCA 2011 | 2026年10月19日 | Windows UEFI CA 2023 | Windowsのブートローダーに署名 |
2023年版では、2011年版の「Microsoft UEFI CA 2011」が担っていた役割が、ブートローダー用とオプションROM用の2つの証明書に分かれました。Dellの公式手順でも、Windowsの起動にとって重要な証明書はMicrosoft Windows Production PCA 2011とWindows UEFI CA 2023だと説明されています。つまり、個人のパソコンで確かめるべき中心は「Windows UEFI CA 2023が入っているか」です。
更新されていないとどうなるのか
まず安心してよい点から。マイクロソフトは、新しい2023年版の証明書を受け取っていないデバイスも引き続き正常に起動して動作し、通常のWindows更新プログラムもインストールされると説明しています。期限の日を境にパソコンが起動しなくなるわけではありません。
ただし、更新されていないデバイスは次のような影響を受けます。
- Windows ブート マネージャーやセキュアブートのデータベース、失効リストなど、起動プロセスを守る新しいセキュリティ保護を受け取れなくなる
- 新しく見つかった起動段階の脆弱性への対策が届かない
- BitLockerの強化や他社製ブートローダーなど、セキュアブートの信頼に依存する機能に影響する可能性がある
- セキュアブートに依存する新しいOS・ファームウェア・ハードウェア・ソフトウェアの読み込みに失敗し、互換性の問題が起きる可能性がある
すぐに困ることは少ないものの、そのままにしておくと「起動まわりの守り」だけが古いまま止まってしまう、というのがマイクロソフトの説明の要点です。
確認方法1 ― Windows セキュリティで更新状態を見る
いちばん手軽なのが、Windowsに最初から入っている「Windows セキュリティ」アプリです。マイクロソフトのサポート記事（KB5087130）によると、2026年4月以降、このアプリにセキュアブート証明書の更新状態が表示されるようになりました。機能は毎月の更新プログラムを通じて段階的に配信されています。
- スタートメニューからWindows セキュリティを開きます。
- デバイス セキュリティを選びます。
- セキュア ブートの欄で、アイコンのバッジの色と、その下に表示されるメッセージを確認します。
バッジの色の意味は次のとおりです。
- 緑：十分に保護されていて、推奨される操作はない
- 黄：安全に関する推奨事項がある
- 赤：すぐに注意が必要なことがある
ここで大事なのが、マイクロソフト自身が「緑色のチェックマークだけでは、証明書が更新されていることを確認できない」と注意している点です。色ではなく、その下のメッセージの文面で判断します。表示されるメッセージと、公式が示している対処は次のとおりです。
| 表示されるメッセージ（要旨） | 公式の対処 |
|---|---|
| セキュア ブートがオンで、必要なすべての証明書更新プログラムが適用されている | 対処は不要 |
| オンだが、更新が必要な古いブート信頼構成を使っている | 最新のWindows更新プログラムを入れ、求められたら再起動 |
| オンだが、既知の問題の影響を受けるため更新を一時停止している | 対処は不要。問題が解決すると自動で再開 |
| 古いブート信頼構成で、自動更新のための分類データがまだ足りない | 追加の検証が必要な場合あり。aka.ms/getsecureboot を参照 |
| ハードウェアまたはファームウェアの制限で、自動更新に対応していない | パソコンの製造元に問い合わせ |
| Windowsの起動に必要な更新プログラムを受け取れなくなった | 期限切れ後も古い証明書を使用中。aka.ms/getsecureboot を参照 |
会社や学校が管理しているパソコンでは、セキュアブートのバッジの変化やアプリ通知が既定で無効になっています（状態のテキストはすべての対応バージョンで表示されます）。会社のパソコンでバッジが変わらなくても、それだけで「更新済み」とは言えないので、管理部門の案内に従ってください。
確認方法2 ― システム情報でセキュアブートが有効か見る
そもそもセキュアブートが無効になっていると、証明書の話以前の状態です。マイクロソフトの技術文書では、セキュアブートの状態はMsinfo32.exe（システム情報）またはPowerShellで確認できると案内されています。
- Windowsキー＋Rを押し、
msinfo32と入力してEnterを押します。 - 「システムの要約」の右側で、BIOS モードとセキュア ブートの状態の行を探します。
- BIOS モードが「UEFI」、セキュア ブートの状態が「有効」になっていれば、セキュアブートは動いています。
ここで分かるのは「セキュアブートがオンかオフか」までです。2011年版か2023年版かは表示されないので、証明書そのものは次のPowerShellで確かめます。BIOSのバージョンやマザーボードの情報も同じ画面で見られるので、メーカーに問い合わせる前に控えておくと話が早くなります。手順はPCスペックの確認方法 — Windows 11でCPU・メモリ・BIOSを3つの画面で調べるでも紹介しています。
確認方法3 ― PowerShellで2023年版が入っているか調べる
証明書が実際に入っているかどうかは、PowerShellで調べられます。Dellの公式手順（文書番号 000385747）で紹介されている方法で、メーカーを問わず同じコマンドが使えます。アクセスの問題を避けるため、PowerShellは管理者として実行します。
- スタートボタンを右クリックし、ターミナル（管理者）またはWindows PowerShell（管理者）を選びます。
- まずセキュアブートが有効かを確認します。
Confirm-SecureBootUEFI
結果がTrueなら有効、Falseなら無効です。 - 次に、実際の起動に使われるデータベース（Active DB）にWindows UEFI CA 2023があるかを調べます。
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
結果がTrueなら2023年版が入っています。Falseならまだ入っていません。 - 必要なら、予備のデータベース（Default DB）も同じように調べます。
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
Active DBとDefault DBの違いは、Dellの説明では次のとおりです。
- Active DB（db）：パソコンが実際に起動するときに使うデータベース。Windowsがセキュアブートで使う証明書が入っています。
- Default DB（dbdefault）：Active DBの予備のコピー。BIOSのリセットなどでActive DBを上書きするときに使われます。
判定に使うのはActive DB（db）の結果です。Default DBだけがTrueでも、いま起動に使われているデータベースに2023年版が入っていることにはなりません。
結果別にやること
3つの確認結果を組み合わせると、やることは次のように整理できます。
- Windows セキュリティが「必要なすべての証明書更新プログラムが適用されている」、dbの結果がTrue：更新済みです。何もする必要はありません。
- 「古いブート信頼構成」と表示される、またはdbの結果がFalse：設定アプリのWindows Updateで更新プログラムを確認してすべて入れ、再起動を求められたら再起動します。マイクロソフトは、インターネットに接続して最新の更新プログラムを入れておくよう案内しています。
- 「一時停止」と表示される：マイクロソフトが互換性の問題を調べている間、特定の構成で更新を止めている状態です。解決すると自動で再開されるので、待つだけで大丈夫です。
- 「ハードウェアまたはファームウェアの制限」と表示される：Windows Updateだけでは更新できないパソコンです。メーカーのサポートに問い合わせます。マイクロソフトは、多くのOEMが必要に応じてファームウェアの更新を提供するとしています。問い合わせの際は型番が必要なので、マザーボードの型番の調べ方も参考にしてください。
- Confirm-SecureBootUEFIがFalse、またはセキュア ブートの状態が「無効」：セキュアブート自体がオフです。Windows セキュリティにも「セキュア ブートがオフになっている」という趣旨の表示が出ることがあります。BIOS（UEFI）の設定を変える前に、メーカーの説明書で手順を確認してください。
警告を「無視」する前に知っておきたいこと
Windows セキュリティのセキュア ブート欄には、警告を無視するボタンがあります。黄色の状態では「無視」、赤の状態では「リスクを受け入れる、通知しない」（管理者権限が必要）を選ぶと、バッジが既定の状態に戻り、状態が変わるまでそのパソコンでのアプリ通知が止まります。状態のテキストは引き続き表示されます。
ただし、マイクロソフトは更新された証明書がまだ届いていない場合に警告を無視することは勧めないとしています。古い証明書とブートローダーのままのパソコンは、Windowsの起動を守る今後のセキュリティ更新を受け取れない可能性があるためです。通知がわずらわしく感じても、まずは前の章の「結果別にやること」を一度試してから判断するのがおすすめです。
なお、更新プログラムを入れたあとに起動の調子がおかしくなった場合に備えて、日ごろから復元ポイントを作っておくと安心です。どこまで戻せるかはパソコンの復元は何日前まで戻せるのかで確認できます。
よくある質問
何か操作をする必要がありますか
多くの場合は不要です。マイクロソフトによると、セキュアブート証明書の更新プログラムは個人向けのパソコンにWindows Update経由で自動的に配信されます。インターネットに接続し、最新の更新プログラムを入れておけば十分です。
証明書の期限が切れるとパソコンは起動しなくなりますか
起動しなくなるわけではありません。マイクロソフトは、2023年版の証明書を受け取っていないデバイスも引き続き正常に起動して動作すると説明しています。ただし、起動プロセスを守る新しいセキュリティ保護は受け取れなくなります。
Windows セキュリティに証明書の状態が出てきません
この表示は2026年4月から毎月の更新プログラムを通じて段階的に配信されています。まだ表示されないときは、PowerShellのコマンドでdbにWindows UEFI CA 2023があるかを確認する方法が確実です。
緑のチェックが付いていれば更新済みですか
緑のチェックだけでは判断できません。マイクロソフトも、緑のチェックマークだけでは証明書の更新を確認できないと注意しています。「必要なすべての証明書更新プログラムが適用されています」というメッセージが出ているかを確認してください。
PowerShellでFalseと出たらどうすればよいですか
まずWindows Updateで最新の更新プログラムを入れ、再起動してからもう一度確認します。Windows セキュリティに「ハードウェアまたはファームウェアの制限」と出ている場合は、パソコンの製造元に問い合わせてください。
まとめ
Windowsのブートローダーに署名していた2011年版の証明書は2026年10月19日に期限を迎え、後継のWindows UEFI CA 2023への切り替えが進んでいます。確認はWindows セキュリティの「デバイス セキュリティ」→「セキュア ブート」のメッセージを見るのが手軽で、確実に知りたいときはPowerShellでdbにWindows UEFI CA 2023があるかを調べます。Falseなら、まずWindows Updateと再起動。ハードウェアやファームウェアの制限と表示されたら、メーカーに相談するのが近道です。
Microsoft サポート · Windows セキュア ブート証明書の有効期限と CA の更新
Microsoft サポート · Windows セキュリティ アプリのセキュア ブート証明書の更新状態
Microsoft Learn · Windows セキュア ブート キーの作成と管理のガイダンス