【セキュアブート2026問題】古いパソコンのセキュアブート証明書を更新する方法（UEFI CA 2023対応）

古いパソコンにWindows11 25H2を入れています。

• CPU：i7-3770K
• マザーボード：P8Z77-V DELUXE

Windows11非対応パソコンを25H2にアップデートしました

Windows11非対応パソコンを24H2から25H2にアップデートしました。なぜかのアクセスが急に増えたので記事にしておきます。25H2にする基本的な手順は 23H2の場合は、まずは(上記ページを参考に)24H2にアップデートする Win...

blog.kaimonojyoz.jp

Windows11非対応パソコンを24H2にアップデートしました

今年の5月頃にWindows11非対応な古いパソコンをWindows11にアップグレードして夏頃にはバージョン23H2だったのですが、色々調査・検討した上で24H2にアップデートしました。Hyper-V上のWin11も同様に24H2にしまし...

blog.kaimonojyoz.jp

• セキュアブートの状態：有効

の場合、2026年6月以降、セキュアブート証明書の失効によりPCが安全に起動できなくなる可能性があります。

※実際には各パソコンで失効が反映される時期は6〜10月と幅があります。

ただし、2026年6月までにセキュアブート関連の更新を完了させないと、2026年6月以降は更新できない可能性が高いです。

2026年6月以降、「セキュアブート」証明書の失効に注意 ～Windowsを安全に起動できなくなる／Microsoftがサポートドキュメントで注意喚起

「セキュアブート」（Secure Boot）は、デバイスを起動するブートプロセスで読み込まれるソフトウェア（UEFIドライバーなど）が正しいものかどうかをチェックして、マルウェアが混入しないようにする仕組み。ブートプロセスがマルウェア――「...

forest.watch.impress.co.jp

この問題は「Windows UEFI CA 2011」の証明書が失効し、「Windows UEFI CA 2023」の証明書へ移行することが原因です。

当ページは何度も追記したので長文になってしまいました。
当ページの内容を大まかにまとめますと、以下の通りです。

• UEFI CA 2023対応のBIOSが公開・提供されない場合
• 比較的新しいパソコン・比較的新しいマザーボード以外、いわゆる古いパソコンの場合

は以下の通りです。

以上のことから、2026年6月までに、

• UEFI CA 2023対応のBIOSへの更新
• Windows Update による自動更新
• 当ページ記載の手動更新(ps1/cmd)

のいずれかの方法で、セキュアブート関連を更新しておくことを強く推奨します。

特に自作PCの場合、Windows上から安全に更新できるのは2026年6月までです。

以下、古いパソコンのセキュアブート証明書を手動で更新する手順です。

事前確認

【事前確認その1】まずは最新BIOSを確認してください

理論上というか理想は、メーカー製パソコン・マザーボードメーカーから

• UEFI CA 2023対応のBIOS

が公開・提供されればそのBIOSに更新するだけでセキュアブート関連はすべて解決でき、当ページ記載の手動更新を実行する必要はありません。

しかし実際は以下の通りです。

まとめると、メーカー製PCは対応BIOSが提供されない可能性が高く、自作PCは比較的新しいモデルであれば対応BIOSが提供される可能性があります。
古い自作マザーボードの場合は、当ページの手順による手動更新が必要になります。

【事前確認その2】GPTか確認する※MBRだとダメ

WindowsをインストールしてあるディスクがMBRだと、以下の手順を進めるのは無理です。
MBRではUEFIセキュアブートが使えないため、GPTである必要があります。

Winキーをクリックして「コンピューターの管理」と入力、表示された「コンピューターの管理(たぶん2つ表示あり、どちらでもOK)」をクリックして起動します。
　↓
ディスクの管理
　↓
Windows11の入っているディスク(ディスク 0　とか)を右クリックして「プロパティ」をクリック

　↓
「ボリュームタブ」にて

• パーティションのスタイル：GUID パーティション テーブル(GPT)

となっていればOKです。

GPTではなくMBRとなっている場合は、MBRをGPTに変換する必要があります。
※MBRをGPTに変換する方法・ツールは、検索すれば色々見つかると思います。

【事前確認その3】BIOS設定が「セキュアブート：有効」か、を確認する

Winキー + Rキー で「msinfo32」と入力してエンターで、システム情報が起動します。

後述のセキュアブート証明書の更新手順を進めるにあたって、

• BIOSモード：UEFI
• セキュアブートの状態：有効

にする必要があります。

• セキュアブートの状態：無効

になっている場合はBIOSで有効に変更する必要があります。

ASUSの古いマザーボードの場合、BIOSに入ったら、起動タブにて

• CSM：Disable(AutoでもOKな場合もあります)
• OS Type：Windows UEFI Mode

にして、F10キーでBIOS設定の保存をして再起動します。

■セキュアブート証明書の更新手順

ITニュース.　2026年6月にセキュアブート証明書の有効期限切れ、企業は対策が必要な場合も

Microsoftは2025年6月末、1年後に有効期限切れを迎え始めるセキュアブート証明書について、期限切れになる前に行うべき対策について説明しました。

www.say-tech.co.jp

に記載されている、以下の3つのスクリプト

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

のコードをそれぞれコピペして各「ps1」ファイルを作成し(※1)、Dドライブ直下やデスクトップに移動します。

※1 デスクトップ等で右クリック → 新規作成 → テキスト文書にてtxtファイルを作成し、上記各「ps1」ファイルの内容をコピペして保存、その後「名前の変更」で「check-securebootdb.ps1」等、それぞれのファイル名に変更します。

　↓
管理者権限のPowerShellにて

• check-securebootdb.ps1のフルパス

を実行

　↓
続けて、念の為、

• allowautoupdate-securebootdb.ps1のフルパス

を実行

　↓
続けて、

• updatenow-securebootdb.ps1のフルパス

を実行して、PCを2回再起動します。

　↓

セキュアブート証明書の有効期限がちゃんと更新されているか、確認する

再度、管理者権限のPowerShellにて

• check-securebootdb.ps1のフルパス

を実行

SecureBoot: ON

SecureBoot DB already been updated. Nothing to do any ore.

と表示されていれば、セキュアブート証明書の有効期限が更新されています。

※「any ore」は「any more」のタイプミスかと思います。

画像キャプチャし忘れました、すみません。

■その他の参考記事■

PCA2023署名されたブート マネージャーを使用するように Windows ブート可能メディアを更新する - Microsoft サポート

support.microsoft.com

ここまでの作業でセキュアブート証明書の更新作業は完了ですが、以下は念の為の確認です。

念の為さらに確認する

念の為、管理者権限のPowerShellにて

• [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

を実行

実行結果にTrue と書いてあれば、セキュアブート証明書の有効期限が更新されています。

あるいは、さらに念の為、

Windows セキュアブート証明書のバージョン・有効期限を調べる方法 | Windows 技！

PC の起動を守るセキュアブート。その証明書のバージョンや有効期限を確認する方法を解説。2026年に有効期限が切れる問題の対策状況を PowerShell や自作ツールで確認し、PC のセキュリティを未来まで保ちましょう。

windows-waza.com

の自作確認ツール「Windows セキュアブート証明書チェッカー」をダウンロードして SBCertificateChecker.exe を実行
　↓
「確認開始」をクリックするとセキュアブート証明書のチェックが自動で始まります。

結果：新しい証明書(2023年版)が見つかりました

【Windows UEFI CA 2023】 - 有効期限: 2035年6月

*【Microsoft Corporation UEFI CA 2011】 - 有効期限: 2026年6月

のように「Windows UEFI CA 2023」等の新しい証明書があればセキュアブート証明書の有効期限が更新されています。

「セキュアブートの状態：有効」の注意点

私は今までBIOS設定で

• セキュアブートの状態：無効

だったのを、今回のセキュアブート証明書の更新作業で

• セキュアブートの状態：有効

にしました。

• セキュアブートの状態：有効

にすると

• 古いハードウェアや特定のソフトウェアが利用できなくなる

などの互換性の問題が発生するみたいですが、プリンターも使えているのでひとまず

• セキュアブートの状態：有効

のままにして様子見中です。
・
・
・
と思いましたが、

• セキュアブートの状態：有効

にしたままだと、バックアップソフトで普段バックアップし続けておいて、万が一OSが入ったディスク丸ごと復元することになった場合に、

らしいです。

■2月16日 追記■セキュアブート証明書の更新だけでは不十分です。

私のパソコン(古いマザーボード)はセキュアブート：有効 のままです。
この記事のここまでの段階で、

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

を実行して、古いマザーボードにてセキュアブート証明書を更新し、2つのセキュアブート証明書
　【Windows UEFI CA 2023】 - 有効期限: 2035年6月
　*【Microsoft Corporation UEFI CA 2011】 - 有効期限: 2026年6月
がある状態です。

セキュアブート証明書だけに関して言えばこれでOKですが、これだけでは不十分です。

つまり、古いマザーボードで「セキュアブート：有効」のまま2026年6月以降に正常にパソコンを起動するためには、セキュアブート証明書を更新しただけでは不十分です。

古いマザーボードの場合はセキュアブート証明書の更新に加えてbootmgfw(ブートマネージャー)も更新する必要があります。

■【2026年6月まで】古いマザーボードで「セキュアブート：有効」のまま正常にパソコンを起動するための更新・全手順■

2026年6月までに古いマザーボードで「セキュアブート：有効」のまま正常にパソコンを起動するための更新・全手順、つまり「当ページ記載の手動更新」は以下の通りです。

後述のCheck Windows state.cmdにて、 bootmgfw signature CA : Windows UEFI CA 2023 と表示されれば全手順の作業完了です。

当ページ記載の手動更新(ps1/cmd)が実際にやっていること

上記の当ページ記載の手動更新が実際にやっていること（正確な動作）は以下の通りです。

つまり、当ページ記載の手動更新(ps1/cmd)は「Windows Update の署名に依存している」ため、2026年6月以降は「セキュアブート：有効」かつセキュアブート関連がCA 2023対応に更新していない場合は UEFI が受理しなくなる可能性が高いです。

Check-UEFISecureBootVariablesについて

GitHub - cjee21/Check-UEFISecureBootVariables: PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items.

PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot rela...

github.com

にて、「Code」 → 「Download ZIP」でZIPをダウンロードして解凍したフォルダ内にある

• Apply DBX update.cmd
• Apply 2023 KEK, DB and bootmgfw update.cmd
• Apply revocations.cmd

の3つは、上のほうにある

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

と同じ目的・ほぼ同じ機能みたいですが、挙動・更新方法の仕組みはかなり違うようです。

ITニュース.　2026年6月にセキュアブート証明書の有効期限切れ、企業は対策が必要な場合も

Microsoftは2025年6月末、1年後に有効期限切れを迎え始めるセキュアブート証明書について、期限切れになる前に行うべき対策について説明しました。

www.say-tech.co.jp

の

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

はOS標準に近い挙動で更新を試みるやり方です。

一方

GitHub - cjee21/Check-UEFISecureBootVariables: PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items.

PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot rela...

github.com

の

• Apply DBX update.cmd
• Apply 2023 KEK, DB and bootmgfw update.cmd
• Apply revocations.cmd

は、より直接的・強制的に変数を書き換える傾向があるやり方です。

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

はやめて最初から

• Apply DBX update.cmd
• Apply 2023 KEK, DB and bootmgfw update.cmd
• Apply revocations.cmd

だけを実行すればいいじゃん！って思う方もいるかもしれませんが、そうしてない理由があるのですが話が複雑になるので割愛します。 ←少し下の「【参考】セキュアブート証明書の・・・」の箇所に書きました。

Check Windows state.cmdを実行した際の画像キャプチャです。

bootmgfw signature CA : Windows UEFI CA 2023 と表示されれば全手順の作業完了です。

• セキュアブート証明書を更新
• bootmgfw(ブートマネージャー)を更新

この2つ両方を更新して初めて、古いマザーボードで「セキュアブート：有効」のまま2026年6月以降に正常にパソコン起動できるようになります。

もしどちらか一方でも更新できていない場合は2026年6月以降正常に起動できず、その場合は「セキュアブート：無効」にすればパソコンを起動すること自体は可能です。

なお、古いマザーボードの場合「KEK 2023のエラー」が出続ける場合がありますが、

• 古いマザーボードの制限で正常
• bootmgfwが2023年版なら問題なし

従って、KEK 2023のエラーログは無視してOKです。

【参考】セキュアブート証明書の更新とbootmgfw(ブートマネージャー)の更新の両方が必要な理由

2026年6月以降に古いマザーボードで「セキュアブート：有効」のまま正常にパソコンを起動するためには、当たり前ですがセキュアブートが正常に起動する必要があります。

bootmgfw(ブートマネージャー)が利用するのがセキュアブート証明書です。

このセキュアブート証明書を更新したのが

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

です。

比較的新しいマザーボードの場合は

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

の実行によりセキュアブート証明書を手動で更新しただけで、その後Windows Updateによりbootmgfw(ブートマネージャー)が自動更新される確率が高いです。

しかし古いマザーボードの場合は

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

の実行によりセキュアブート証明書を手動で更新しても、その後Windows Updateによりbootmgfw(ブートマネージャー)が自動更新される確率がかなり低いです。

そのため、管理者権限でCheck Windows state.cmdを実行して bootmgfw signature CA : Windows UEFI CA 2023 と表示されるかどうか確認して、表示されない場合に限り、追加で

• Apply DBX update.cmd
• Apply 2023 KEK, DB and bootmgfw update.cmd
• Apply revocations.cmd

を実行する必要があります。

まとめると、古いマザーボードの場合はWindows Updateで

• セキュアブート証明書
• bootmgfw(ブートマネージャー)

のどちらも自動では更新されない確率が非常に高いので、

最終的に
bootmgfw signature CA : Windows UEFI CA 2023
と表示されればOKです。

最終確認※私のパソコンの場合

この記事を書き始めた2025年11月頃に

• check-securebootdb.ps1
• allowautoupdate-securebootdb.ps1
• updatenow-securebootdb.ps1

を実行し、その後しばらくして「■2月16日 追記■」を書いた頃に

• Apply DBX update.cmd
• Apply 2023 KEK, DB and bootmgfw update.cmd
• Apply revocations.cmd

を実行した私のパソコンでは、2月20日時点で以下のようになっています。

繰り返しますが、最終確認は管理者権限でCheck Windows state.cmdを実行して

• bootmgfw signature CA : Windows UEFI CA 2023

が表示されるかどうか、だけでOKです。

この記事の手順にて無事更新できることを願っています。

【3月11日 追記】EFI パーティション・セキュアブート・セキュアブート回復メディアの補足説明

以下、

• セキュアブート証明書の更新作業
• bootmgfw(ブートマネージャー)の更新作業

には不要な内容です。

更新にトラブルがあった場合やセキュアブートの仕組みにご興味ある場合のみ、お読みください。

EFI パーティションに bootmgfw.efi や bootx64.efi がないように見えても正常です。

セキュアブートの情報を調べていると、

• \EFI\Microsoft\Boot\bootmgfw.efi がないのはおかしい、危険
• \EFI\Boot\bootx64.efi の署名も確認すべき

といった書き込みを見かけることがあります。

しかし、これは全てのWindows環境に当てはまるわけではありません。

結論から言うと、

• EFI パーティションに bootmgfw.efi や bootx64.efi が見えなくても完全に正常です。

Windowsには2種類のブート構成があり、どちらもMicrosoftが正式にサポートしている正常な構成です。

以下、少し補足説明します。

mountvol S: /S
dir S:\EFI\Microsoft\Boot\bootmgfw.efi
dir S:\EFI\Boot\bootx64.efi

\EFI\Microsoft\Boot\bootmgfw.efi
\EFI\Boot\bootx64.efi（フォールバック）

C:\Windows\Boot\EFI\bootmgfw.efi

\EFI\Boot\bootx64.efi

bcdboot C:\Windows /l ja-jp

■誤解されやすいポイント

• EFI パーティションに bootmgfw.efi がない → 正常です。
• bootx64.efi がない → 正常です。
• C:\Windows\Boot\EFI に bootmgfw.efi がある → 正常です。
• 前述のパターン1・パターン2のどちらの構成でもセキュアブートの動作に違いはない

EFI パーティションの構成はパソコンメーカーやマザーボードメーカー、あるいは Windows のセットアップ方式によって異なります。
＆
Windows は複数のブート構成をサポートしていて、セキュアブートの起動時に確認するのは、「実際に使われる bootmgfw の署名 CA」だけです。

つまり確認すべき箇所は、管理者権限のCheck Windows state.cmdにて

• bootmgfw signature CA : Windows UEFI CA 2023

のみでOKです。

セキュアブートの起動の仕組みについて

ついでなので、セキュアブートの起動の仕組みについて簡単に説明します。

セキュアブートの仕組み・流れを簡略化すると

という流れになっています。

bootmgfw が 2023 CA で署名されていても、UEFIはDBの証明書で検証しています。

つまり重要なのは

• bootmgfw が誰に署名されているか

ではなく

• その署名が DB に存在する証明書で検証できるか

です。

多くのブログ記事では

• bootmgfw signature CA : Windows UEFI CA 2023

これを「2023に変わった = 安全」と説明しています。

もちろんこれは正しいのですが、実はセキュアブートの本質はそこではありません。

セキュアブートの本質は

• bootmgfw の署名 CA：Windows UEFI CA 2023 が DB に登録されていることが重要
• Microsoft UEFI CA 2023 は Option ROM 用であり、多くの環境では Windows の起動には必須ではない

です。

例えば

• bootmgfw signature CA : Microsoft Windows Production PCA 2011

のままでもDBX(失効リスト)に「CA 2011」が登録されていなければセキュアブートは正常に通ります。
※DBに「CA 2011」が残っており、かつ、DBXに「CA 2011」が登録されていない場合」に限る

セキュアブートでは「bootmgfw.efi の署名」が直接重要なのではなく、

• UEFI の DB(許可証明書データベース)に、その署名を検証できる証明書が登録されているかどうか

が重要です。

そのため、bootmgfw が 2011 署名のままでも DBX によって失効されていない限り、セキュアブート自体は正常に動作します。
※DBに「CA 2011」が残っており、かつ、DBXに「CA 2011」が登録されていない場合」に限る

なので、厳密に言うと

• CA:2011のままでも起動する場合もある
• でもMicrosoftはCA:2023移行を推奨

という少しややこしい状態になっています。

管理者権限のCheck UEFI PK, KEK, DB and DBX.cmdにて

となっていれば、DBに「Windows UEFI CA 2023」がある状態で、セキュアブート的には完全に2023対応済みです。

さらに管理者権限のCheck Windows state.cmdにて

となっていれば実際の bootmgfw.efi も 2023署名という状態で、理想の状態です。

つまり、

および

となっていれば、セキュアブート2026問題は完全に回避されています。

なお、Check Windows state.cmdの実行結果にある

• WindowsUEFICA2023Capable : Windows UEFI CA 2023 cert is in DB, system is starting from 2023 signed boot manager

これは実は「Windows側の最終判定フラグ」です。

つまり

• Windows的には「このパソコンは2023 Secure Boot対応済み」

という意味です。

「セキュアブート回復メディア」の作成は不要です。

色々調べていると「セキュアブート回復メディア」の作成を推奨しているブログ記事がありますが、Microsoft の公式文書

Windows セキュア ブート証明書の有効期限と CA 更新プログラム - Microsoft サポート

support.microsoft.com

には

• DBに2023 CAを入れる
• bootmgfwを2023の署名に更新する

これだけで十分とされています。

企業環境向けに「セキュアブート回復メディア」の作成が紹介されているだけで、一般のパソコンに対して「回復メディアを作れ」とは一切書かれていません。

つまり、「セキュアブート回復メディア」の作成を推奨しているわけではありません。

セキュアブートの各証明書(PK/KEK/DB/DBX)は

• マザーボードの NVRAM（不揮発メモリ）

または

• SPI フラッシュ

に保存されており、BIOS初期化(BIOSリセット)では消えません。

※(おおよそ2014年以降のマザーボードであれば)マザーボードのボタン電池が切れても、これらの証明書データが消えることはありません

BIOS初期化(BIOSリセット)はBIOSの「設定値」が消えるだけで、

• 自分で「Clear Secure Boot Keys」や「Restore Factory Keys」を実行した場合
• BIOSアップデートで Secure Boot Keys が初期化される特殊な機種
  ※BIOSアップデート時に Secure Boot Keys を初期化するかどうかはメーカー依存ですが、Secure Boot Keys が初期化される BIOS アップデートは“稀”であり、一般的ではありません。
• マザーボードの故障で NVRAM が飛ぶケース(極めて稀)

を除き、セキュアブートの証明書ストアは消えません。

• Secure Boot：Enabled → Disabled に戻ることはある

しかし

• DB/DBX の中身はそのまま残る

つまり、

BIOS初期化(BIOSリセット)でWindowsが起動しなくなったとしたら、それは証明書が消えたからではなく、CSM（互換モード）が勝手に有効になったせいであることがほとんどです。
その場合は、BIOS画面でCSMを無効（OFF）に戻すだけで解決します。

以上です。

当ページの内容に従って

• セキュアブート証明書の更新
• bootmgfw(ブートマネージャー)の更新

をすれば、古いパソコンでも2026年6月以降も セキュアブート：有効 のままWindows11を起動できます。
＆
最悪の場合「セキュアブート：無効」にすればWindows11 自体は起動できます。

・
・
・
ここで記事終了でしたが、さらに追記しました。

■3月16日 追記■【医療現場向け】セキュアブート2026問題：Windows8・8.1・10の注意点まとめ

薬局・歯科・クリニックなどの医療現場では医療系レセコン・調剤システム・その他医療ソフトが古いWindowsに依存しているため、今でもWindows8・8.1・10のパソコンが多く使われています。

そのため、2026年6月に発生する可能性があるセキュアブート証明書の失効問題(通称、セキュアブート2026問題)の影響を受けるケースがあります。

ここでは、医療現場で特に多いWindows8・8.1・10のパソコンについて、状況別に 起動できなくなる可能性 を整理します。

医療現場ではネット非接続のパソコンが多いため、この2つの条件に当てはまる場合はセキュアブート2026問題を放置・無視しても基本的にはOKです。

「Secure Boot：有効」かつネット接続ありの場合

「Secure Boot：有効」かつネット接続ありの場合は2026年6月以降に該当パソコンが起動できなくなる可能性があります。
特に古いUEFIのパソコンでは注意が必要です。

その理由は、Windows UpdateによりUEFIの失効リスト(DBX)が更新され、古い証明書のままではWindowsの起動が拒否されるためです。

運が良い悪いはパソコンを購入した時期およびマザーボードの種類によって異なり、個別の対応・別途の対応が必要となった場合の解決手順はこのページ記載の解決手順になります。

「Secure Boot：有効」かつ一切ネット接続なしの場合

一切ネット接続なしの場合は、2026年6月を過ぎても勝手に起動しなくなることは基本的にはありません。

ただしUSBなどでWindows Updateを適用している場合は、2026年6月以降にパソコンを起動できなくなる可能性が高く、その場合の解決手順はこのページ記載の解決手順になります。

「Secure Boot：無効」の場合

「セキュアブート：無効」であればセキュアブートの署名チェック自体が無効になるため、今のままでも2026年6月以降も”一応”問題なく起動できます。

ただし、「セキュアブート：無効」の場合はセキュリティ的にはかなり脆弱となります。

Windows10かつネット接続ありの場合

Windows10かつネット接続ありの場合は、2026年6月以降に起動できなくなる可能性があります。

Windows10はサポート終了していますが、サポート終了前にWindows Updateで「Secure Boot 2023」関連の更新が適用済みの場合は問題ない可能性があります。

ただし古いUEFIのパソコンでは更新が正しく適用されず、2026年6月以降に起動不能になるケースもあります。
その場合は個別の手動対応が必要で、解決手順はこのページ記載の手順となります。

【最悪の場合】どうしても対処できない場合

医療現場の場合

医療現場では鉄壁のセキュリティよりも “業務継続” が優先されるケースも多いです。
そのため、やむを得ず「セキュアブート：無効」で運用するケースもあり、(セキュリティは弱くなりますが)無理にセキュアブート関係の更新をする必要はありません。

一般的なパソコンの場合

それ以外の一般的なパソコンでは「セキュアブート：無効」はセキュリティ上おすすめできません。

可能であれば「セキュアブート：有効」にして、(古いパソコンではWindows Updateでセキュアブート関係の更新が正しく適用されない場合があるため)このページ記載の手順で

• セキュアブート証明書の更新
• bootmgfw(ブートマネージャー)の更新

の両方を行うことを推奨します。

このページ記載の手順を上から順に実行して、最終的に管理者権限のCheck Windows state.cmdにて、

• bootmgfw signature CA : Windows UEFI CA 2023

となれば、セキュアブート関係の更新は全て完了です。

■3月27日 追記■2026年6月以降にセキュアブート証明書の更新あるいはbootmgfw(ブートマネージャー)の更新をする場合

2026年6月までにセキュアブート関係の更新が全て完了していて2026年6月以降も特に問題ない場合は、これ以降の記事を読む必要はありません。

今まで何度も追記を繰り返してきましたが、この記事の最後の追記として、

について書きます。
おそらく最後の追加文章です。

疑問に思いますよね？
2026年6月までに更新しなかった場合、後から更新できるのか？

• 2026年6月までに更新しない(更新できない)場合
• 2026年6月までに更新した内容が2026年6月以降に何らかの理由で消えてしまった場合

そのような場合は、2026年6月以降は セキュアブート：無効 で運用するしか方法はないのか？

ざっくりと書きますと、基本的には、

ということになります。

手動登録と手動更新の違い

2026年6月以降にBIOS更新あるいはWindows Updateで自動更新する以外の本来の更新手順、つまりBIOSでSecure Boot Keys（PK/KEK/DB/DBX）を手動で登録するやり方(＝ 手動登録)は作業の難易度が高く、Windows上で手動で更新するやり方(＝ 手動更新と比べると)格段に難しくなります＞＜

セキュアブート関連に関して、メーカー製PCと自作PCの違いについて説明する前に、「Custom Mode」について少し説明します。

それでは話を戻して、セキュアブート関連に関して、メーカー製PCと自作PCの違いについて説明します。

メーカー製PCは

• Custom Mode がないため手動登録は不可
• Secure Boot：OFF → ON に戻せない機種があるため、2026年6月以降に手動更新は不可

かと思います。

自作PCの場合は、

• BIOSに Custom Mode があるマザーボードがほとんどなので手動登録は可能ですが、手動登録は難易度が非常に高く、失敗すると起動不能（文鎮化）になるリスクがある上に、2026年6月までに CA 2023 に更新していないPCで2026年6月以降に手動登録しても登録できるのは古い CA 2011 だけなので、セキュアブートの更新手段としては無意味です。
• 2026年6月までは、Windows Updateで自動更新されるか、あるいは古いマザーボードの場合は手動登録しなくても手動更新だけで対応できるマザーボードが比較的多いかと思います。
• 2026年6月以降は、手動更新は失敗する確率が高いです。

■メーカー製PCの例外について■
一般的にメーカー製PC（NEC・富士通・HP・Dellなど）はSecure Boot Keys の手動登録や Custom Mode に対応していない機種が多く、後からセキュアブート関係を再構成できないケースがあります。

ただし、以下のような 例外的に柔軟な機種も存在します。

• HP・Dellの一部ビジネス向けモデル
• 富士通「ESPRIMO」の一部
• NEC「Mate」「VersaPro」の一部

これらの機種では、Secure Boot Keys の手動登録や Custom Mode が利用でき、自作PCに近い柔軟性を持つ場合があります。

■注意その3■
先ほど

と書きましたが、BIOSのUEFIの Custom Mode を使った Secure Boot Keys の手動登録は、

• 当ページで紹介しているセキュアブート証明書の更新(ps1)およびbootmgfw(ブートマネージャー)の更新(cmd)はWindows上で行う作業

と比べて、遥かに難易度が高いです。

簡単に言えば、手動更新つまりWindows上での ps1/cmd 実行による更新は安全性が高いですが、手動登録つまりBIOS上の UEFI の Custom Mode でSecure Boot Keysを登録するやり方は 失敗＝起動不能、というリスクがあります。

ここまで手動登録と手動更新の違いを慎重に説明してきましたが、最悪の状況を回避するために、

• 2026年6月を過ぎると、セキュアブートのON/OFFに関わらず、手動更新は一切成功しなくなる
• 2026年以降に手動更新が成功したらラッキー

と考えてください。

なぜなら、マザーボード（UEFI）が「古い署名（CA 2011）」を完全に拒否するモードに入るためです。

「セキュアブート：無効」にしてもおそらくダメで、 Windowsは起動できますが、マザーボードの「セキュアブート関係の諸々の書き換え」をしようとした瞬間に、UEFI側が古い署名のデータを「偽物」と判断してブロックします。

つまり、2026年6月以降にセキュアブート関連を更新・復旧できる唯一の方法は、OSを介さない手動登録だけになる可能性がかなり高いです。

• メーカー製PC：Custom Modeがないため、当サイト記載の手動更新が拒否された時点で「詰み（復旧不能）」となります。
• 自作PC：Custom Modeがあるため、USBメモリから直接鍵を流し込んで救出できる手動登録が成功する可能性もわずかにありますが、手順および失敗するリスクが高いのでこの上なくオススメしません。

ケース1・2・3はそれぞれ少し長文なので、先に簡単なまとめを書いておきます。

■当ページ最大の注意点■

2026年6月以降の自作PCにて、前述の ■【2026年6月以降】自作PCでの更新・復旧・再更新の共通手順■ の手順つまり

• 一度セキュアブートをオフにしてWindowsを起動し、当ページ記載の手動更新(ps1/cmd)を実行してから、再度セキュアブートをオンにする

の手順の成功の可否は機種依存です。

手動更新はうまくいくマザーボード・失敗するマザーボードがある可能性があります。
おそらく2026年6月以降の手動更新は、失敗する確率が高くなると予想しています。

また、後述の手動登録は難易度が非常に高く、失敗すると起動不能（文鎮化）になるリスクがある上に、セキュアブートの更新手段つまり一般的な「セキュアブート更新（CA 2011 → CA 2023）」の手段としては無意味です。

私がネットで可能な限り調べ、その上で複数のAIに聞いた限りでは、Copilotのみ、

という意見です。

Copilot以外のGemini・Claude・ChatGPT・Google AI Studio・Grok・Perplexityの全てのAIおよび私は、「機種依存で成功する場合もある」という立場であり、「絶対に不可能」と断言するのは強すぎるという点で一致しています。

• 私がネットで調べまくった限りの情報
• Copilotのアドバイス
• Copilot以外の複数のAIのアドバイス

の全てを考慮した私の意見は

となります。

2026年6月以降は、セキュアブートのON/OFFに関わらず、当ページ記載の手動更新(ps1/cmd)はUEFI側で拒否される可能性が非常に高く、安定した方法ではありません。
※一部のマザーボードでは成功する可能性も否定できませんが、現時点では再現性のある手段とは断定できません。

冒頭に書いた通り、2026年6月までに、

• UEFI CA 2023対応のBIOSへの更新
• Windows Update による自動更新
• 当ページ記載の手動更新(ps1/cmd)

のいずれかの方法で、セキュアブート関連を更新しておくことを強く推奨します。

「Windows UEFI CA 2011」失効時期が6～10月と幅がある理由

「Windows UEFI CA 2011」の証明書の失効は2026年6月に開始されますが、実際には各パソコンで失効が反映される時期は6〜10月と幅があります。

これは、セキュアブートの失効が

• Windows Update による DBX 更新
• マザーボードメーカー・OEMメーカーによる UEFI 更新
• OS 側のポリシー変更

など複数の経路で段階的に適用されるためです。

そのため、パソコンによって失効のタイミングが異なり、2026年6月〜10月の間に「Windows UEFI CA 2011」が信頼されなくなる可能性があります。

■Microsoftの公式文書が “6〜10月” と幅を持たせている理由
Microsoftの説明は以下のようになっています。

• 2026年6月以降に失効プロセスが始まる
• 2026年後半（6〜10月）にかけて段階的に適用される
• マザーボードメーカー・OEMメーカーによって配布時期が異なる
• Windows Update の適用タイミングもユーザーごとに違う

つまり

• 2026年6月に始まり、10月頃までに世界中のパソコンに行き渡る

という意味です。

セキュアブートの失効は、以下の3つの経路で配布されます。

これらが同じ日に起きることは絶対にないため、世界中のパソコンでの「Windows UEFI CA 2011」の証明書の失効日はバラバラになります。

以下、2026年6月以降に想定されるケースごとに分けて詳しく解説します。

【ケース1】2026年6月までに一切更新しなかった場合に、「セキュアブート：有効」のまま後から更新する方法

2026年6月までに

• Windows Updateでの自動更新が行われなかった
• 当ページ記載の手動更新(ps1/cmd)も実行しなかった

という場合に、2026年6月以降も「セキュアブート：有効」のまま正常にパソコンを起動するためには、

• セキュアブート証明書の更新
• bootmgfw(ブートマネージャー)の更新

を2026年6月以降に後から実行する必要があります。

ただし、後から更新できるかどうかはパソコンの種類(メーカー製PCか自作PCか)によって大きく異なります。

メーカー製PCの場合(NEC・富士通・HP・Dellなど)

結論から言うと、メーカー製PCでは

• 「Secure Boot：有効」のまま後から更新できる可能性は非常に低い

です。

理由は以下の通りです。

■参考■
UEFI が bootmgfw を検証するとき、以下の手順で判断します。

bootmgfw の署名を確認する
　↓
bootmgfw の署名に使われたセキュアブート証明書(CA)がDBX（禁止リスト）に登録されていないか？ をチェック
　↓
bootmgfw の署名に使われたセキュアブート証明書(CA)がDB（許可リスト）に登録されているか？ をチェック

この2段階（DBX → DB）のチェックを通過した場合のみ、bootmgfw が実行され、Windows が起動します。

つまり、メーカー製PCの場合は2026年6月までに更新できなかった場合は、それ以降は

• 「Secure Boot：無効」での運用が現実的な選択肢となる機種が多い

ということになります。

自作PCの場合(ASUS・Gigabyte・MSI・ASRockなど)

自作PCの場合は、「Secure Boot：有効」のまま後から更新できる可能性もあります。

理由は以下の通りです。

■ケース1のまとめ

●メーカー製PC

• 「Secure Boot：有効」のまま後から更新できる可能性は低い
• 「Secure Boot：無効」での運用が現実的

●自作PC

• 「Secure Boot：有効」のまま後から更新できる可能性もある
• 【後から更新する手順】Secure Boot を一時的に無効 → Windows 起動 → 当ページ記載の手動更新(ps1/cmd)を実行）→ Secure Boot を再度有効に戻す

【ケース2】2026年6月以降に Secure Boot Keys（PK/KEK/DB/DBX）が初期化・削除された場合の復旧方法

2026年6月以前にセキュアブート証明書（PK/KEK/DB/DBX）を更新していた場合でも、その後

• BIOS設定の初期化
• CMOSクリア※マザーボード電池切れを含む
• BIOSアップデート
• メーカー製PCの仕様による強制リセット
• 工場出荷状態へのリセット

などの理由で、Secure Boot Keys（PK/KEK/DB/DBX）が初期化・削除されてしまう場合があります。

2026年6月までにセキュアブート証明書とbootmgfw(ブートマネージャー)の両方を更新しておいたのに、その後何らかの理由でセキュアブート証明書（PK/KEK/DB/DBX）だけ初期化・削除されると、

という可能性があります。

ケース2では、2026年6月以降にSecure Boot Keys（PK/KEK/DB/DBX）を再度 2023対応に戻す必要がありますが、復旧できるかどうかはパソコンの種類によって大きく異なります。

メーカー製PCの場合(NEC・富士通・HP・Dellなど)

結論から書くと、メーカー製PCでは

• 「Secure Boot：有効」のまま復旧できる可能性は非常に低い

です。

理由は以下の通りです。

そのためメーカー製PCの場合は、「セキュアブート：無効」での運用しか選択肢が残らない可能性があります。

自作PCの場合(ASUS・Gigabyte・MSI・ASRockなど)

自作PCの場合は、Secure Boot Keys が初期化・削除された場合でも、「Secure Boot：有効」のまま復旧できる可能性もあります。

理由は以下の通りです。

■注意■
ただし自作PCの場合でも、Custom Mode が存在しないモデルや SecureBootRecovery.efi（Secure Boot の復旧処理を行う Microsoft 純正の EFI）が起動しない環境では復旧できません。

■ケース2のまとめ

●メーカー製PC

• 「Secure Boot：有効」のまま後から復旧できる可能性は非常に低い※一部のビジネスモデルは復旧可能な場合もあります。
• 「Secure Boot：無効」での運用が現実的

●自作PC

• 「Secure Boot：有効」のままSecure Boot Keys（PK/KEK/DB/DBX） を後から再更新できる可能性もある
• 【復旧手順】Secure Boot を一時的に無効 → Windows 起動 → 当ページ記載の手動更新(ps1/cmd)を実行）→ Secure Boot を再度有効に戻す

どちらの場合も、2026年6月以前に更新しておくのが最も安全です。

【ケース3】2026年6月以降に bootmgfw（ブートマネージャー）が初期化・削除された場合の再更新方法

2026年6月以前にセキュアブート証明書（PK/KEK/DB/DBX）および bootmgfw（ブートマネージャー）を更新していた場合でも、その後

• Windowsのクリーンインストール
• Windowsの修復インストール
• bootmgfw の破損・削除
• ブート領域の初期化
• メーカー製PCの仕様による強制リセット

などの理由で、bootmgfw（ブートマネージャー）が初期化・削除されてしまうことがあります。

この場合、2026年6月以降に「Secure Boot：有効」のまま正常にパソコンを起動するためには、

• bootmgfw（ブートマネージャー）の再更新
• (必要に応じて)Windows側の DB/DBX の再更新

を行う必要があります。

ただしケース1・ケース2と同様に、後から再更新できるかどうかはパソコンの種類(メーカー製PCか自作PCか)によって大きく異なります。

メーカー製PCの場合(NEC・富士通・HP・Dellなど)

結論から言うと、メーカー製PCでは

• 「Secure Boot：有効」のまま bootmgfw を後から再更新できる可能性は非常に低い

です。

理由は以下の通りです。

自作PCの場合(ASUS・Gigabyte・MSI・ASRockなど)

自作PCの場合は、「Secure Boot：有効」のまま bootmgfw を後から再更新できる可能性もあります。

理由は以下の通りです。

■ケース3のまとめ

●メーカー製PC

• 「Secure Boot：有効」のまま bootmgfw を後から再更新できる可能性は低い
• 「Secure Boot：無効」での運用が現実的

●自作PC

• 「Secure Boot：有効」のまま bootmgfw を後から再更新できる可能性もある
• 【再更新手順】Secure Boot を一時的に無効 → Windows 起動 → 当ページ記載の手動更新(ps1/cmd)を実行）→ Secure Boot を再度有効に戻す

■特殊ケース専用・非推奨■【手動登録】UEFI Custom Mode を使って Secure Boot Keys（PK/KEK/DB/DBX）を復旧する方法

ここから説明する内容は、BIOS に「Custom Mode」が存在するマザーボード・機種に限り使用できる、Secure Boot Keys（PK/KEK/DB/DBX）の“復旧専用”の手順です。
※「Custom Mode」は Secure Boot Mode：Custom を意味しています。「Custom Mode」についての詳細は、「Custom Mode」とは をお読みください。

■重要■
一般的な「セキュアブート更新（CA 2011 → CA 2023）」の手段としては一切使用できません。

2026年6月以降に Secure Boot Keys を確実に更新できるのは UEFI Custom Mode です。

ただし、手動登録の難易度および失敗するリスクは非常に高く、通常のユーザー向けの方法ではありません。

また、以下の点に注意が必要です。

つまり後述の「■手動登録の大まかな流れ（概要）」の手順は、すでに CA 2023 が導入済みの特殊な環境で Secure Boot Keys を復旧する必要がある場合のみ参考になります。

一般的な「セキュアブート更新（CA 2011 → CA 2023）」の手段としては全く意味がなく参考にはなりません。

■補足■
多くの Custom Mode 対応マザーボードでは、Secure Boot Keys（PK/KEK/DB/DBX）を登録する際、USBメモリ内の証明書ファイル（.cer / .auth など）を直接読み込む方式になっています。

そのため、USBメモリが使用できない環境や、UEFI が外部メディアからの読み込みに対応していない機種では、手動登録が実質的に不可能となる場合があります。

■手動登録に失敗した場合、BIOS フラッシュバックで復旧できる？

結論から言うと、BIOS フラッシュバックでは Secure Boot Keys（PK/KEK/DB/DBX）の破損は基本的には復旧できません。

セキュアブートの鍵情報は、BIOS本体（ファームウェア）ではなく、UEFI の NVRAM（不揮発メモリ） に保存されています。
BIOS フラッシュバックが書き換えるのはあくまで「BIOS ROM」のみであり、NVRAM 内の Secure Boot Keys には一切触れません。

そのため、手動登録の手順で Secure Boot Keys（PK/KEK/DB/DBX） のいずれかを誤って書き換えたり、未完成の状態で保存してしまった場合、Secure Boot が正しく動作せず、起動不能になる可能性があります。
このような状態になっても、BIOS フラッシュバックでは鍵の破損は基本的には元に戻りません。

手動登録ではセキュアブート関連の更新（CA 2011 → CA 2023）はできませんので、OS 上からの更新を最優先してください。

当ページで繰り返し述べているように、2026年6月までに、

• UEFI CA 2023対応のBIOSへの更新
• Windows Update による自動更新
• 当ページ記載の手動更新(ps1/cmd)

のいずれかの方法で、セキュアブート関連を更新しておくことを強く推奨します。

CMOSクリア（電池抜き）で鍵は元に戻る？

CMOSクリアを行うと、セキュアブートが「Setup Mode（鍵が空の状態）」に戻る機種もあります。

しかし、これは「消えた鍵が元通りになる」わけではなく、単に「もう一度最初から鍵を登録し直せる状態になる」だけです。

電池を抜いても、書き換わってしまった鍵データ（NVRAM）そのものが初期状態に復元されるわけではない ため、セキュアブート関連の問題でCMOSクリアしても問題解決にならない、つまり「OSが起動しない状態の根本解決にはならない」という点に注意してください。

手動登録とは何をする作業なのか？

手動登録とは、BIOS（UEFI）の Secure Boot Mode：Custom を使い、USBメモリに保存した Secure Boot Keys（PK/KEK/DB/DBX）を 1 つずつ読み込んで登録する作業です。

登録する鍵は以下の4種類です。

• PK（Platform Key）
• KEK（Key Exchange Key）
• DB（許可リスト）
• DBX（禁止リスト）

これらを正しい順番・正しい形式で登録しないと、OS が起動しなくなります。

【参考】Secure Boot Keys（PK/KEK/DB/DBX）について

セキュアブートの鍵は、UEFI NVRAM に「Secure Boot Variables」として保存されています。
これらは一般的には Secure Boot Keys（PK/KEK/DB/DBX） と呼ばれ、Secure Boot の信頼モデルを構成する重要な要素です。

手動登録が難しい理由

以前にも書きましたが、BIOSのUEFIの Custom Mode を使った Secure Boot Keys の手動登録は、

• 当ページで紹介している手動更新、つまりWindows上で行うセキュアブート証明書の更新(ps1)およびbootmgfw(ブートマネージャー)の更新(cmd)の作業

と比べて、遥かに難易度が高いです。

■手動登録の大まかな流れ（概要）

実際の操作はマザーボードごとに異なるため、ここでは “概要” のみ説明します。

仮にネットに Secure Boot Keys（PK/KEK/DB/DBX）があったとしても、絶対使わないでください！

ネット上の CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）をDLして使うのは絶対NGです。
最悪の場合、ハッキングし放題でパスワードその他全て盗まれるだけではなく、あなたのパソコンが他者への不正アクセス・サイバー攻撃の踏み台になります！

USB:\PK.cer
USB:\KEK.cer
USB:\db.cer
USB:\dbx.cer

手動登録が必要になるケースは“極めて限定的”

2026年6月までに当ページ記載の手動更新(ps1/cmd)を済ませていれば、手動登録が必要になるケースはほぼありません。

手動登録が必要になるのは、例えば以下のような “最悪のケース” です。

• Secure Boot Keys（PK/KEK/DB/DBX）が完全に消えた
• マザーボードの CMOS クリアでSecure Boot Keys（PK/KEK/DB/DBX）が初期化された
• bootmgfw がブロックされ、DB/DBX の整合性が崩れた
• 「Secure Boot：Enabled」に戻すと OS が起動しない

これらは通常の運用ではほぼ起きません。
※Secure Boot Keys が完全に消えた場合、Windows Update は Secure Boot Keys（PK/KEK/DB/DBX）を新規作成できないため復旧できません。

■結論■手動登録は“復旧専用の特殊手段”であり、一般ユーザーには不要

ここまで読めばわかるように、手動登録は非常に難しく失敗した場合のリスクも大きい上に、一般的な「セキュアブート更新（CA 2011 → CA 2023）」の手段としては全く意味がなく参考にはなりません。

手動登録が必要になるのは、すでに CA 2023 が導入済みの特殊な環境で Secure Boot Keys が破損した場合など、ごく限られた復旧ケースのみです。

そのため、セキュアブートを更新したい一般ユーザーにとっての結論としては、

なお、私は当ページ記載の手動更新を実行しただけで手動登録は実行していません。

3月29日時点で私のマザーボード「P8Z77-V DELUXE」で「Check UEFI PK, KEK, DB and DBX.cmd」で全ての “Current” がチェックON(有効)になっているのは、当ページ記載の手動更新およびその後の Windows Update によるものです。

3月29日時点
↓

よくある質問

古いグラフィックボードのBIOS(VBIOS)が原因で2026年6月以降に Windows が起動できなくなる？

ネット上で

• 古いグラフィックボードのBIOS(VBIOS)が原因で、2026年6月以降に Windows が起動できなくなる

という情報を見かけることがありますが、結論として、

• 古いグラフィックボードのBIOS(VBIOS)が原因で Windows 自体が起動できなくなるというケースは、現在 Secure Boot が正常に動作してOSが正常に起動できている環境であれば現実的にはほとんどありません。

今回のセキュアブート証明書問題（CA 2011 → CA 2023）は、

• bootmgfw.efi（Windows Boot Manager）の署名
• UEFI 内部の DB/DBX の更新状態

が原因です。

GPU の BIOS（VBIOS）は環境によっては Secure Boot の検証対象ですが、今回の OS 起動用証明書の失効スケジュール（CA 2011 → CA 2023）の影響は受けません。

なぜなら、Secure Boot が検証する VBIOS の署名は、OS 起動ファイル（bootmgfw.efi など）で使用される Microsoft UEFI CA 2011/2023 とは用途や検証対象が異なり、今回の 2026 年問題の影響を受けないためです。

なお、古いグラフィックボードに関して、

• 今回のセキュアブート2026年問題が原因で画面が映らなくなることはありません。
• GOP 非対応の古いグラフィックボードで画面が映らないケースは昔からある別の問題であり、今回の2026年問題とは無関係です。

■ただし、「セキュアブート：有効」時に限り、別の問題が起こる可能性はあります。
以下のような Secure Boot とは別の要因 により、

• 画面が映らない
• POSTが通らない
• 初期化に失敗する

といった症状が出る場合があります。

■参考■
GPU-Z

窓の杜

「GPU-Z」ビデオカードの情報を取得できるツール

forest.watch.impress.co.jp

の「UEFI」チェック箇所は

• GOP（Graphics Output Protocol）対応かどうか

を示すだけで、2026年のセキュアブート証明書失効とは無関係です。

 

GOP非対応の古いグラフィックボードでは「セキュアブート：有効」にすると画面が映らないことがありますが、これは昔からある別問題です。

 

GPU-Zにて「UEFI」がチェックONになっていれば、GOP非対応で画面が映らない問題には該当しません。

• 古いグラフィックボードのBIOS(VBIOS)：UEFI GOP 非対応
• Option ROM の実装差異

が原因ですがこれは今回のセキュアブート2026年問題とは無関係であり、GOP非対応で画面が映らない場合は「セキュアブート：無効」にすれば起動できるケースがほとんどです。

ただし、

• 「セキュアブート：無効」にするとセキュリティ的にかなり脆弱になる

という点には注意が必要です。

2026年6月以降に Windows をクリーンインストールしても大丈夫？

結論として、2026年6月以降のクリーンインストールは基本的に避けるべきです。

理由は、Windows のインストールメディアに含まれる bootmgfw.efi が古い「Windows UEFI CA 2011」で署名されている場合があり、2026年6月以降は CA 2011 が DBX により失効扱いとなるため、Secure Boot がブロックして Windows が起動できなくなる可能性があるためです。

特にメーカー製PCでは、

• Custom Mode がない
• Secure Boot Keys の手動登録ができない
• Windows から UEFI に書き込む権限も 2026年6月以降は失われる

ため、クリーンインストール後に復旧不能となるリスクがあります。

自作PCの場合は、Secure Boot を一時的に無効にして起動し、手動更新（ps1）を実行してから Secure Boot を再度有効にすることで復旧できる可能性がありますが、成功率は環境依存であり、一般的には推奨できません。

以上の理由から、2026年6月以降は

• クリーンインストールを避ける
• 既存環境を維持し、事前に Secure Boot 関連を更新しておく

ことを強く推奨します。

CA2023対応済みの状態でバックアップソフトでハードディスクをフルバックアップ復元した場合、CA2023対応は維持される？（同一ディスク／別ディスク）

結論として、バックアップからの復元では CA 2023 対応は維持されます。
セキュアブートの成否に関わる情報の多くはマザーボード側（UEFI）に保存されており、ディスクのバックアップとは無関係だからです。

セキュアブート2026問題の本質は、

• bootmgfw.efi（Windows Boot Manager）の署名（CA 2011 → CA 2023）
• UEFI 内部の DB/DBX（CA 2023 の登録、CA 2011 の失効）

の2点ですが、このうちDB/DBX は UEFI（マザーボード）側に保存されているため、バックアップの復元では消えません。

■同一ハードディスクに復元した場合、CA 2023 対応のままで復元できます。
理由：

• バックアップに含まれている bootmgfw.efi は CA 2023 署名のまま
• UEFI DB/DBX はマザーボードに残っている

そのため、復元後もセキュアブートは正常に通ります。

■別のハードディスクに復元した場合も、基本的にはCA 2023 対応のままで復元できます。
理由は同じで、

• 復元された bootmgfw.efi は CA 2023 署名
• UEFI DB/DBX はマザーボード側に保持されている

ディスクが変わってもセキュアブートの判定には影響しません。

■ただし同一ハードディスク・別のハードディスクに復元する場合、唯一の例外があります。
バックアップを作成した時点で、

• bootmgfw.efi がまだ CA 2011 署名のままだった

という場合は、2026年6月以降は CA 2011 が DBX に順次登録され次第、 CA 2011 が失効扱いとなるため、

• Secure Boot がブロック
• 結果、Windows が起動できない

という状態になります。

バックアップソフトでバックアップする前に管理者権限でCheck Windows state.cmdを実行して

• bootmgfw signature CA : Windows UEFI CA 2023

が表示されていれば、この例外には該当しません。

BIOS上書きで Secure Boot Keys や bootmgfw は復旧できる？

2026年6月までにセキュアブート関連（CA 2023 や bootmgfw）が正常に更新できていた場合、その時点の BIOS をバックアップして手元に残しておけば、

• 2026年6月以降に Secure Boot Keys が初期化された場合
• 2026年6月以降に bootmgfw が削除された場合

などのトラブル時に、

• 「BIOS を上書き → その後に手動更新」 という手順で復旧できるのでは？

と疑問に思う方もいるかもしれません。

ここでは、Secure Boot Keys（CA 2023） と bootmgfw（ブートマネージャー） の両方について、BIOS上書きで復旧できるのかどうかを整理します。

Secure Boot Keys（CA 2023 および PK/KEK/DB/DBX）は復旧できる？

2026年6月までにセキュアブート関連（CA 2023 や bootmgfw）が正常に更新できていた場合、その時点の BIOS をバックアップ・上書きにて、Secure Boot Keys（CA 2023 および PK/KEK/DB/DBX）は復旧できるかどうか？

結論から言うと、
✔ 一部のマザーボードでは復旧できる可能性があります（ただし機種依存）

理由は以下の通りです。
● 一部メーカーの BIOS は Secure Boot Keys を内包している

ASUS・Gigabyte・MSI・ASRockなどの一部モデルでは、

• BIOS 内に Secure Boot Keys（特に KEK / DB）を内包している
• BIOS 更新時に NVRAM に再展開する挙動がある

という仕様が確認されています。

そのため、「2026年6月までに CA 2023 に更新済みの BIOS」で再度上書きすると、CA 2023 が NVRAM に再展開されて復旧できる場合があります。

● ただし、全てのマザーボードで保証される挙動ではないことに注意が必要です。

• BIOS に鍵を内包していない機種
• NVRAM を初期化しない機種
• Secure Boot Keys を再展開しない機種

では、BIOSの上書きでは復旧できません。

bootmgfw（Windows ブートマネージャー）は復旧できる？

2026年6月までにセキュアブート関連（CA 2023 や bootmgfw）が正常に更新できていた場合、その時点の BIOS をバックアップ・上書きにて、bootmgfw（Windows ブートマネージャー）は復旧できるかどうか？

こちらは非常に明確で、
❌ BIOS上書きでは絶対に復旧できません。

理由は以下の通りです。
● bootmgfw.efi は BIOS ではなく Windows 側のファイルだからです。

bootmgfw.efi は、EFI\Microsoft\Boot\bootmgfw.efi にあります。
これは EFI System Partition（ESP）内にあり、BIOS ROM とは完全に別領域です。

BIOS を書き換えても ESP の内容は一切変わりません。

そのため、

• BIOS上書き
• BIOS初期化
• BIOS Flashback

いずれでも bootmgfw.efi は 1 バイトも変わりません。

■まとめ■
BIOS上書きで復旧できるのは Secure Boot Keys のみ（しかも機種依存）です。
bootmgfw（ブートマネージャー）は BIOS とは無関係なので、BIOS上書きでは復旧できません。

ただし、2026年6月までに CA 2023 への更新（自動更新／手動更新）が一度でも正常に完了している PC であれば、bootmgfw が破損した場合でも、2026年6月以降に手動更新スクリプト（ps1/cmd）が成功する機種もあります。

※これはあくまで機種依存であり、すべてのPCで成功するわけではありません。

また、BIOS上書きによって bootmgfw が復旧するわけではないという点に注意が必要です。

2026年6月までに更新済みなら、バックアップ復元や BIOS上書きでセキュアブート関連を再更新(復旧)できる？

2026年6月までにセキュアブート関連（CA 2023 や bootmgfw）が正常に更新できていた場合、その時点で

• バックアップソフトでバックしておく
• 念のためBIOSもバックアップ

しておけば、2026年6月以降に万が一の場合

• 「セキュアブート：無効」にしてバックアップソフトで復元 → 「セキュアブート：有効」に戻す
• BIOSを復元して、再度当ページ記載の手動更新をする

のどちらかでセキュアブート関係の全てを復旧(あるいは再更新)できるのか？
疑問に思いますよね？

結論から言うと、Secure Boot の復旧方法は「確実にできるもの」と「機種依存のもの」に分かれます。

以下は、2026年6月までにセキュアブート証明書の更新およびbootmgfw(ブートマネージャー)の更新のどちらも正常に完了しているPCを前提にした、2026年6月以降の復旧方法です。

■まとめ■
✔ バックアップソフトでのバックアップ復元（「セキュアブート：無効」 → バックアップファイルから復元 → 「セキュアブート：有効」）
→ 最も確実。Secure Boot Keys も bootmgfw も復旧できます。

✔ BIOS上書き → 当ページ記載の手動更新
→ Secure Boot Keys が復旧できる可能性はありますが機種依存であり、確実に成功するとは限りません。
また、BIOS上書きでは bootmgfw は復旧しません。

セキュアブートを維持するための保全策・注意点

セキュアブートを維持するための保全策・注意点は以下の通りです。

バックアップソフトでディスク丸ごとバックアップさえしておけば、万が一の時でもCA 2023対応した状態で復元できます。

なお、「Secure Boot Keys（PK/KEK/DB/DBX）を絶対に削除しない」に関しては、注意点がたくさんあります。

■注意点

セキュアブートを維持するための注意点は数が多いですが、基本的には「余計なことはしない」でOKかと思います。

■参考■
CMOS電池（CR2032）の寿命は 5〜10年 が目安です。
実際には

• 新品マザーボード：7〜10年持つことが多い
• 中古・古いマザーボード：3〜5 年で切れることがある
• Z77（2012 年世代）なら、ほぼ確実に寿命が近い

という傾向があります。
私(マザーボード：P8Z77-V DELUXE)の場合は、確か2年くらい前に一度CMOS電池（CR2032）を交換しました。

■注意■
CMOS電池を外すと、現在のBIOS設定もクリアされる可能性が高いです。

CMOS 電池を外すと、マザーボードは CMOS RAM の保持ができなくなるため、

• BIOS設定（時刻・ブート順・Secure Boot 設定など）が初期化される
• 古い UEFI（2011〜2013 世代）では NVRAM も初期化される設計がある

その場合 Secure Boot Keys（PK/KEK/DB/DBX）が消える可能性があります。

特に Z77世代（および 2011〜2013 の初期 UEFI 世代）は CMOS と NVRAM が連動している個体が存在するため、

• CMOS 電池外し＝Secure Boot Keys 消失のリスク

と考えるべきです。

「外さない」「いじらない」「操作しない」をまとめると以下のようになります。

セキュアブートを維持するための保全策・注意点は以上です。
注意点は数が多いのでご注意ください。

「よくある質問」は以上です。

■4月18日 追記■【未確定】自作PCは、2026年6月以降もセキュアブートを更新できる可能性が(わずかに)あります。※Custom Mode 搭載のマザーボードのみ

※本項目は現時点では未確定情報を含む補足であり、通常の更新手順として利用できるものではなく、現時点では推奨できる手段ではありません。

2026年6月以降、Microsoftによって CA 2011 が DBX（拒否リスト）に登録されると、CA 2011 署名の Secure Boot Keys は実質的に無効化され、当ページ記載の手動更新(ps1/cmd)およびその後のWindows Updateによる従来のセキュアブート更新手段は利用できなくなります。

ただし、自作PC（ASUS・Gigabyte・MSI・ASRockなど）の多くはUEFI の Custom Mode（PK/KEK/DB/DBX を手動で書き換える機能）を備えており、

• Microsoft Corporation KEK 2K CA 2023
• Windows UEFI CA 2023

などの Microsoft公式の Secure Boot Keys（PK/KEK/DB/DBX） をUSBメモリから手動登録できる可能性があります。

そのため、Custom Mode が使える自作PCであれば、2026年以降もセキュアブートを更新できる可能性があります。

Microsoftが後述の CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）の4ファイル全て を一般ユーザー向けに公開する可能性は現時点では不透明であり、これに依存した対策は現実的ではありません。

そのため、変な期待を持たず、2026年6月までに

• UEFI CA 2023対応のBIOSへの更新
• Windows Update による自動更新
• 当ページ記載の手動更新(ps1/cmd)

のいずれかの方法で、セキュアブート関連を更新しておくことを強く推奨します。

大事なことなので再度書いておきますが、

くれぐれも淡い期待は持たないよう、お願いします。

自作PCの場合

2026年6月以降に自作PCでセキュアブートを更新するには、Microsoft公式の CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）の4ファイル全て が必要です。

しかし、2026.5.19時点で Microsoft が公開しているのはKEK/DBのみで、以下の4つのみです。

• microsoft corporation kek 2k ca 2023.crt（KEK）
• microsoft uefi ca 2023.crt（DB）
• windows uefi ca 2023.crt（DB）
• microsoft option rom uefi ca 2023.crt（DB）

つまり、CA 2023 に対応した Microsoft公式の PK や DBX を含む完全な更新用ファイルはまだ公開されていません。

そのため現時点では、「2026年以降も確実に更新できる」と断定できる状況ではありません。

万が一将来Microsoft公式の CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）の4ファイル全て が公開されてダウンロードできるようになったら、

の変換手順を(場合によっては)ここに書くかもしれません。

その後に手動登録すればセキュアブート更新が可能になるはずです。
ただし以前にも書きましたが、手動登録は失敗したら起動不能（文鎮化）になりますので、注意が必要です。

メーカー製PCの場合

NEC・富士通・HP・Dellなどのメーカー製PCは Custom Mode が存在せず、USBメモリから Secure Boot Keys を登録する機能もありません。

そのため、2026年6月以降はユーザー自身によるセキュアブートの更新は基本的に行えなくなります。
※メーカーが BIOS アップデートで対応する可能性は(理論上は)あります。実際はほぼないと思います。

■注意■Microsoft OEM PK（windows oem devices pk.cer）は自作PCでは絶対に使ってはダメです！

Secure Boot の最上位キーである PK（Platform Key） は、

• そのPCの Secure Boot を誰が管理するか？

を定義する重要な鍵です。

ここでいう「OEM（メーカー製PC）」とは、NEC・富士通・HP・Dell などの完成品PCメーカーを指します。

ASUS や MSI などのマザーボードメーカーは、

• 完成品を販売する場合は OEM に分類され
• 普通にマザーボード単体を販売している場合は OEM ではなく、自作PCカテゴリに分類されます。

ここで説明している PK が、（Windows OEM Devices PK）つまり windows oem devices pk.cer です。

なお、自作PCの場合、PK（Platform Key）はマザーボードメーカーが工場出荷時に最初から登録しているため、ユーザーが自分で PK を用意したり取得したりする必要はありません。

ただし先ほど書いた通り、 Microsoft OEM PK つまり windows oem devices pk.cer を自作PCに登録することは仕様上不適切であり、Secure Boot の所有者が Microsoft OEM になってしまうため推奨できません。

現時点（2026/4/18）では、CA 2023 対応の PK や DBX は公開されておらず、おそらく一般ユーザーが CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）の4ファイル全て を揃えることはできません。

そのため、

• 自作PC向けの CA 2023 対応 PK を提供できるのはマザーボードメーカーのみ

となります。

将来 CA 2023 対応の Secure Boot Keys（PK/KEK/DB/DBX）の4ファイル全て を揃えられる可能性がゼロではないので

• ■4月18日 追記■【未確定】自作PCは、2026年6月以降も・・・

を追加しましたが、現実的にはその可能性は極めて低いため、あくまで“補足情報”として捉えてください。

淡い期待を抱くのはやめたほうが無難です。

大事なことなので再度書いておきます。

したがって、「自作PCなら2026年以降も更新できるかも」という淡い期待は持たないでください！

2026年6月までに、

• UEFI CA 2023対応のBIOSへの更新
• Windows Update による自動更新
• 当ページ記載の手動更新(ps1/cmd)

のいずれかの方法で、セキュアブート関連を更新しておくことを強く推奨します。

以上でセキュアブート関連に関して全て完了です。

くどいようですが最終確認は、管理者権限でCheck Windows state.cmdを実行して

• bootmgfw signature CA : Windows UEFI CA 2023

が表示されるかどうか、だけでOKです。

この記事の手順にて無事更新できることを願っています。

参考サイト

■Microsoft：セキュアブート関連の更新とお知らせ

Updatesとお知らせ - Microsoft サポート

support.microsoft.com

■Microsoft：セキュア ブート更新プロセスに関してよく寄せられる質問

セキュア ブート更新プロセスに関してよく寄せられる質問 - Microsoft サポート

support.microsoft.com

■Microsoft：セキュア ブート証明書の更新: IT プロフェッショナルと組織向けのガイダンス

セキュア ブート証明書の更新: IT プロフェッショナルと組織向けのガイダンス - Microsoft サポート

support.microsoft.com