『2026年6月証明書期限切れについて』のクチコミ掲示板

[CapLock]

まだまだB550M Pro4 マザーボード売れてますね。

ところで2025/9にBIOS3.9で「セキュアブートキー (2023 KEK/DB/PK)」更新来てました。

これ2026年6月の証明書期限切れ対策ですよね
てっきりwindowsアップデートで更新できるかと思ってたのですがこれBIOS更新しなきゃならないのでしょうか？

windows11で普段はセキュアブートオンにしてます。

書込番号：26401195　スマートフォンサイトからの書き込み

[あさとちん]

＞CapLockさん

下記のとおりです。

Home、Pro、または Educationエディションを実行するWindows 10またはWindows 11デバイスを使用していて、Microsoft（Windows Update）から自動的に更新プログラムを取得する場合、何もする必要はありません。これらのデバイスは2026年6月までに段階的かつ自動的に新しいCA証明書を自動的に受け取ります。
https://www.say-tech.co.jp/contents/blog/yamanxworld/2025news033

書込番号：26401282

[揚げないかつパン]

どうもUEFIのアップデートは必須みたいです。

https://kuripe.jp/blog-entry-295.html

この辺りの説明がわかりやすいと思います。
マイクロソフトにも同様の説明がありますが、分かりにくい。

書込番号：26401293　スマートフォンサイトからの書き込み

[turion]

＞CapLockさん
＞揚げないかつパンさん

こんにちは
横から失礼します

---
「セキュアブート証明書の有効期限の確認方法」のAI回答
セキュアブート証明書の有効期限を確認するには、主に 「システム情報（msinfo32.exe）」またはPowerShellコマンドを使用する方法があります。これにより、セキュアブートの状態や、新しい証明書（Windows UEFI CA 2023など）が適用されているかを確認できます。

確認方法
1. システム情報（msinfo32.exe）で確認する
Windowsの検索バーに「msinfo32」と入力し、「システム情報」を開きます。
「セキュアブートの状態」の項目を確認します。

2. PowerShellコマンドで確認する
管理者権限でPowerShellを起動します。
以下のコマンドを実行します。 Confirm-SecureBootUEFI セキュアブートが有効な場合は「True」と表示されます。
新しい証明書（Windows UEFI CA 2023）が適用されているかを確認するには、以下のコマンドを実行します。 [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 「True」と表示されれば、新しい証明書が適用されています。

うちのはFalseでした
BIOSの更新はありません
100番台のため
裏技Win11はダメそうですか

書込番号：26401349

[turion]

つづき

影響と対策
影響: 証明書の有効期限が切れると、セキュアブートのセキュリティ更新プログラムがインストールできなくなったり、2026年6月以降に署名されたサードパーティ製ソフトウェアが信頼されなくなったりする可能性があります。
対策: Windows Updateが有効な環境では、セキュアブート証明書は自動的に更新されるため、特別な作業は基本的に不要です。ただし、Windows Updateを制限している環境や、セキュアブートを無効にしている場合は手動での更新が必要になることがあります。

注意事項
セキュアブートはWindows 11の最小システム要件であり、有効にしておくことが推奨されます。
BIOSのアップデートが必要な場合もあります。

＞揚げないかつパンさん
仰る件ですね

書込番号：26401354

[turion]

https://www.say-tech.co.jp/contents/blog/yamanxworld/2025news033

<診断データを送信しない、管理されたデバイス: 診断データの送信を有効にする必要あり>


　WindowsおよびWindows Serverは少なくとも「必須」レベルの診断データの送信は既定で許可されていまが、企業や組織では、Enterprise、Educationエディション、およびWindows Serverで診断データの送信をオフにすることが可能です。しかし、MicrosoftによるセキュアブートCA証明書の更新を受け取るには、少なくとも「必須」レベルの診断データを送信するように許可する必要があります。診断データの許可設定は、グループポリシーやローカルポリシー、またはMDMポリシー（Intuneの構成プロファイルポリシー）で設定できます。

これですかね
あぁ面倒なことになりそうです

書込番号：26401359

[turion]

診断データは許可になっている
WindowsUpdateしてもFalseのままです

6月までに変わるのか分からない

皆さんのところはTrueでしょうか

書込番号：26401629

[CapLock]

結論から書きますとこのB550M Pro4に対してはUEFIファームウェアの更新が必要なようです。
これ→BIOSバージョン3.9 ：Update Secure Boot Key (2023 KEK/DB/PK).
https://www.asrock.com/mb/AMD/B550M%20Pro4/index.jp.asp#BIOS

セキュアブートについて
マイクロソフトのいう何もしなくてもいい"ほとんどの"といってるその対象範囲は
2024年以降に新発売された主要なメーカー製PC(HP,Dell,NECとか)のことです。
これはすでにセキュアブートキーが2023に新しくなってる。

逆にユーザーが対応する必要があるのは2023年以前に発売されたメーカー製パソコン、自作用マザーボードです。
これはセキュアブートキーが2011のままか、そもそもセキュアブート非対応もありえるので
ファームウェア更新ができるのかメーカーに問い合わせ必要です。


セキュアブートについてガッツリ調べ直しまして参考リンク先も読み込みましたがこんな感じですね。
マイクロソフトさんは2024年以降新しいパソコンが出荷されて置き換えが進んだとみなして、
ほとんど何もしなくて良いとかいってますが…
我ら少数派は、その"ほとんど"に含まれていないと…なんてこった！

みなさん返信ありがとうございます。

書込番号：26402520

[zr46mmm]

Windows レジストリ キーを使用して新しい証明書を手動でインストールする
Microsoft Secure Bootキーの更新
正式なデータベース更新ステップ
https://techcommunity.microsoft.com/blog/windows-itpro-blog/updating-microsoft-secure-boot-keys/4055324

書込番号：26402604

[CapLock]

＞zr46mmmさん
それは互換性テストのための検証用手順ですね。説明によると「重要なデバイスではやるな(意訳)」と書かれてますよ。
リンク先の説明にも下記のように書いてあります。

"特に多数のデバイスを保有する組織向けに、ファームウェアの互換性を顧客がテストできるようにするための手動手順"
→"manual steps to allow customers to test for firmware compatibility, especially for organizations with fleets of devices"


そもそも先にUEFIファームウェアに含まれるPK(Platform Key)と呼ばれるものを2023対応のものに更新する必要があります。
それがないと2023対応KEK/DB/DBXのアップデートができない仕組みになっています。
ここが紛らわしいのですがややこしいので図解もおいときます。ご参考まで。

書込番号：26402728

[CapLock]

＞揚げないかつパンさん
そのリンク先のように私のパソコンでも同じエラーが出ていることを確認しました。
ただ違うのは一番下の追記にも書かれてた確認方法を試してみると、
現状のDBには2011と2023証明書の両方があって、デフォルトDBには2011証明書しかない状態でした。

どうやらこのマザーボードのUEFI更新(BIOS 3.9)では、デフォルトDBとやらに2023証明書を反映させるのが目的のようです。
そうしないとUEFIでセキュアブートOFFにしたりCMOSクリアで、2023証明書の入った現状DBがデフォルトDBの内容に初期化されて消えてしまい古いままの2011証明書に置き換えられ、
2011証明書のまま起動するとブートローダーが2023署名になってた場合にはセキュアブートでの起動不可になる恐れがある、と。
まぁその時はセキュアブートOFFにすればいいだけですが…。

OS再インストールしたりUEFI設定いじるような場合に困りそうですね。
まだまだ長く使うつもりなので私の場合は、BIOS3.9へ更新しといた方が良さそうです。

書込番号：26403216

[CapLock]

＞turionさん
コメントありがとうございます。
裏技でWindows 11を入れている前提だと、
もともとMicrosoftの想定サポート範囲外になるので、
セキュアブート証明書が自動で更新されないのは
ある意味では想定通りの挙動かもしれませんね。

この場合、
・セキュアブートをOFFにして割り切って使う
・正規要件を満たすPCへ移行する
のどちらかになると思います。

2026年6月以降も、すぐに使えなくなるというよりは、
更新や一部機能が徐々に制限される可能性が高そうなので、用途次第で判断という感じでしょうか。

書込番号：26403778　スマートフォンサイトからの書き込み

[CapLock]

＞あさとちんさん
古くなったらパソコン丸ごと買い替えるような一般人向けメーカーパソコンや使用期間の短い法人向けパソコンならそれで大丈夫そうなのですが…

我々のようなパソコン開けてパーツ交換したりBIOS弄ってオーバークロックするような自作erには残念ながらそうもいかないような気がしてます…。
まぁその面倒くさいのも楽しむのですが。

書込番号：26403784　スマートフォンサイトからの書き込み

[CapLock]

古いBIOSバージョンのまま、
試しにマザーボードの電池交換するついでにCMOSクリアしてみたところ、
保存されてたはずの2011と2023証明書が消滅してしまいました。。やっぱり消えるんですね

UEFI設定でセキュアブート有効にしてデフォルトのセキュアブート用キーを復元！
2011証明書は復活したが、今度はWindows11(25H2)が起動しなくなりました。
bootmgfw.efiのデジタル署名確かめたら2023署名になってたからそのせいですね。
セキュアブート無効にすれば起動できますが…

仕方ないのでBIOS3.90に更新したら2011と2023証明書も復活したしWindowsも無事起動、
セキュアブート使えなくなって困るなら素直にBIOS3.90入れとくのがいいかも。
BIOS更新でもキーリセットされますし。

書込番号：26411389

[CapLock]

みなさん回答ありがとうごさいました。勉強になりました。
セキュアブートは去年のWindows11から使いはじめたよくわからない機能だったので
今回の件で理解が進みました。

書込番号：26411413