2026年10月19日に、Windowsの起動を守る「セキュアブート証明書」の最後の1枚が期限を迎えました。「うちのPCは起動しなくなるのでは？」と、不安になりますよね。
結論からお伝えします。期限が切れても、PCはこれまでどおり起動します。確認はWindowsセキュリティの画面を開くだけです。
この記事では、表示の見方と色の意味、状態別のやることを3ステップで整理します。
Secure Boot証明書の期限切れで何が起きる？結論は「起動は止まらない」
最初に、いちばん気になる影響から整理します。
期限が切れてもPCは起動し、更新プログラムも届く
結論として、10月19日を過ぎてもPCは起動し、更新プログラムも届きます。
Microsoftの公式ページにも、この期限切れで起動できなくなることはないと明記されています。
ネット閲覧やアプリの利用も、これまでどおりです。ただし、新しい証明書がないPCは、起動直前の保護を更新できません。
ブートマネージャー（Windowsを起動するプログラム）の修正や、新たに見つかった脆弱性への対策が届かないためです。
今すぐ困る話ではなく、放置すると少しずつ無防備になる話といえるでしょう。
期限を迎えた3つの証明書と、後継の「Windows UEFI CA 2023」
対象は、2011年に発行された次の3つです。
「Windows UEFI CA 2023」は、10月19日に期限を迎えた証明書の後継にあたります。
| 2011年版の証明書 | 期限 | 主な役割 | 後継（2023年版） |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 2026年6月 | DB・DBXの更新権限 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 2026年6月 | 他社製ブートローダー等の署名 | Microsoft UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 2026年10月19日 | Windows起動プログラムの署名 | Windows UEFI CA 2023 |
古い証明書の「強制失効」はいつ？日付は未発表です
期限切れとは別に、Microsoftは旧証明書を失効リスト（DBX）へ追加する方針です。ただし、実施時期は決まっていません。
公式ガイダンスでは、開始の6か月以上前に告知するとされています。2026年11月2日時点で、日付の発表は確認できません。
始まると、古い回復USBやインストールUSBが起動しなくなる場合があります。今から慌てて設定を変える必要はないでしょう。
Windowsセキュリティでセキュアブート証明書の更新状態を確認する3ステップ
確認に使うのは、Windowsセキュリティの「セキュア ブート」の項目だけです。コマンド操作は必要ありません。
STEP1：「セキュア ブート」の表示を開く
スタートメニューで「Windows セキュリティ」と検索して開きます。左メニューの「デバイス セキュリティ」を選び、「セキュア ブート」の項目を見てください。
この表示は、2026年4月以降の更新プログラムで加わりました。文言が出ない場合は、先にWindows Updateを実行しましょう。
Windows 10も操作は同じですが、更新が届くのは拡張セキュリティ更新（ESU）に登録したPCです。
会社のPCは、バッジと通知が既定でオフの場合があります。
STEP2：バッジの色と文言の意味を読み取る
バッジの緑は「十分に保護」、黄は「推奨事項あり」、赤は「すぐ注意が必要」を表します。
ただし、決め手は色より文言です。緑のチェックだけでは、更新済みとは言い切れません。各文言の公式な意味は、Microsoftの解説ページで確認できます。
| 表示される文言（要点） | 意味 | やること |
|---|---|---|
| 必要なすべての証明書更新プログラムが適用されています | 更新完了 | 何もしなくてOK |
| 更新する必要がある古いブート信頼構成が使用されています | 旧証明書のまま。配信待ち | Windows Updateと再起動 |
| 既知の問題の影響で、更新が一時停止されています | Microsoftが調査中 | 待つだけ。解決後に自動で再開 |
| ハードウェアまたはファームウェアの制限で、自動更新に非対応です | PC側の制限 | メーカーに確認 |
| Windows ブート エクスペリエンスに必要な更新を受け取れなくなりました | 期限後も旧証明書のまま | aka.ms/getsecureboot とメーカー案内を確認 |
STEP3：表示に合わせて、やることを決める
やることは、次の3パターンに絞れます。
- 「必要なすべての証明書更新プログラムが適用されています」と出たら、何もしなくて大丈夫です。Windows Updateは有効のままにしておきましょう。
- 「古いブート信頼構成」と出たら、「設定」→「Windows Update」→「更新プログラムのチェック」を実行します。再起動を促されたら、そのまま再起動してください。更新を一時停止していないかも確認しましょう。実行前に、後述のBitLocker回復キーの確認を済ませておくと安心です。
- 「ファームウェアの制限」や赤の表示なら、メーカーの案内ページでBIOS更新の有無を調べます。
OSのバージョンが古いと、更新が届かない場合があります。Windows11 24H2サポート終了はいつ？期限一覧と25H2/26H2へ移行で、期限を確認しておきましょう。
「Windows」キー＋「R」キーで「msinfo32」を開くと、「セキュア ブートの状態」を確認できます。「オフ」なら、設定を変える前にメーカーへ確認してください。
更新の進み具合は、イベントビューアーの記録からも読み取れます。「システム」ログのTPM-WMIで、1808は更新完了、1801はファームウェア未適用、1802は更新のブロックを示します。見方は、イベントビューアーのエラーログの見方｜対処すべきIDと無視できる基準が参考になるでしょう。
更新前の準備と避けたい操作｜BIOS更新・BitLocker・自作PC
多くのPCは、Windows Updateだけで完了します。ただ、一部のPCには事前の準備が必要です。
BIOS更新の確認先｜メーカー製PCと自作PC
「ファームウェアの制限」の表示や、Windows Updateで進まないPCは、メーカーのBIOS更新が必要な場合があります。
確認先は、NEC、dynabook、ASUS、エプソンダイレクトなどのサポートページです。機種によっては、先に最新BIOSを入れないと新しい証明書を適用できません。自作PCは、マザーボードメーカーのページで型番を検索してください。
ASUSは、手動のBIOS更新を「Windows Updateで解決しない場合」の手段と案内しています。
BIOS更新後にBitLockerの回復画面が繰り返される不具合も報告されているため、案内ページに告知がないかも確認しましょう。
なお、更新はサポート期間内の機種に限られることもあるでしょう。
BitLocker回復キーを、先に確認しておく
証明書やBIOSの更新後に、BitLockerの回復画面が出る場合があります。
Microsoftも、更新前に回復キーをバックアップするよう案内しています。
個人のPCなら、別のスマホやPCでaka.ms/myrecoverykeyを開きましょう。
Microsoftアカウントでサインインし、自分のPCのキーが表示されるか確認します。
キーが見つからない場合は、BIOS更新に進まず、保存先を確認してからにしましょう。
会社のPCは、情報システム部門に確認してください。すでに回復画面が出たなら、【Windows11】BitLocker回復キーを突然求められる原因と直し方｜勝手にロックされる時の対処法をご覧ください。
セキュアブートのオフと、BIOS初期化は避ける
期限切れを避ける目的で、セキュアブートをオフにする方法を見かけるかもしれません。
Microsoftは、この方法をすすめていません。起動時のマルウェアへの保護が、大きく下がるためです。
もう1つの注意点が、BIOSの初期化です。新しい証明書を含まない初期値に戻すと、起動しなくなる場合があります。
NECは、修理でマザーボードを交換した場合も同様だと案内しています。
起動しなくなったら、自己判断で設定を触らず、メーカーの手順を確認してください。再起動を繰り返す場合は、Windows電源が勝手に落ちる・再起動を繰り返す原因と症状別の直し方【2026】も役立ちます。
Q&A【よくある疑問まとめ】
まとめ
2026年10月19日の期限切れで、PCが起動しなくなることはありません。ただし、新しい証明書がないと、起動直前の保護が更新されなくなります。
確認はWindowsセキュリティの「セキュア ブート」で行えます。緑でも文言を読み、「古いブート信頼構成」と出たらWindows Updateです。
「ファームウェアの制限」が出たときや、更新が進まないときは、メーカーのBIOS案内を確認しましょう。
更新前には、BitLocker回復キーを控えておくと安心です。セキュアブートのオフや、新しい証明書を含まない初期化は避けてください。