パソコンの「セキュアブート証明書」期限切れでどうなる？2026年10月の失効前に確認したい更新状況の見方と対処法完全ガイド【2026年秋版】｜Windows セキュリティの警告表示・BIOS更新の注意点・BitLocker回復キー対策まで徹底解説

「Windows セキュリティを開いたら、セキュア ブートの欄に黄色い注意マークが付いていた」「ニュースで“セキュアブート証明書が期限切れになる”と見たけれど、自分のパソコンは大丈夫なのか分からない」「BIOSを更新しろと書いてあるが、失敗したら壊れそうで怖い」――2026年の秋、こうしたご相談が増えています。

Windowsパソコンの起動を守る「セキュアブート」には、2011年に発行されたMicrosoftの証明書が使われてきました。そのうち2つは2026年6月に期限を迎え、Windowsのブートマネージャーに署名している最後の1つ「Microsoft Windows Production PCA 2011」も2026年10月に期限を迎えます。

この記事では、「期限が切れたら何が起きて、何が起きないのか」「自分のパソコンが更新済みかどうかの見分け方」「自分でできること・やってはいけないこと」「BIOS更新やBitLocker回復キー画面などのトラブルが起きたときの切り分け」まで、パソコン修理の現場目線で整理します。結論を先に言うと、多くのパソコンはWindows Updateを止めていなければ自動で更新され、期限が切れても突然起動しなくなるわけではありません。ただし、自己流の対処で本当に起動しなくなるケースがあるため、正しい順番で確認することが大切です。

セキュアブート証明書の「期限切れ」とは何か

セキュアブートは、パソコンの電源を入れてからWindowsが立ち上がるまでの間に、「起動に使われるプログラムが正規のものか」をパソコン本体のファームウェア（UEFI/BIOS）が確認する仕組みです。ウイルスの中には、Windowsより先に起動してセキュリティソフトから身を隠す「ブートキット」と呼ばれるものがあり、セキュアブートはこうした攻撃を防ぐ役割を持っています。

この確認に使われるのが、Microsoftが発行した電子証明書です。証明書には有効期限があり、2011年に発行されたものが2026年に順次期限を迎えます。Microsoftは後継として2023年版の証明書を用意し、Windows Updateなどを通じて置き換えを進めています。

期限を迎える証明書	主な役割	期限	後継の証明書
Microsoft Corporation KEK CA 2011	セキュアブートの許可リスト・禁止リストを更新するための「鍵」	2026年6月	Microsoft Corporation KEK 2K CA 2023
Microsoft Corporation UEFI CA 2011	他社製OSや拡張カードのドライバー（オプションROM）などの署名	2026年6月	Microsoft UEFI CA 2023 など
Microsoft Windows Production PCA 2011	Windowsのブートマネージャー（起動プログラム）の署名	2026年10月	Windows UEFI CA 2023

2023年版の証明書は、2025年5月以降のWindowsの累積更新プログラムに含まれており、対象のパソコンへ段階的に適用されています。ここで押さえておきたいのは、「証明書の更新」はWindowsのアプリを更新するのとは違い、パソコン本体のファームウェア内に保存されている情報を書き換える作業だという点です。そのため、パソコンのメーカーや機種、ファームウェアの状態によって、うまく適用できるかどうかに差が出ます。

期限が切れるとパソコンはどうなる？起きること・起きないこと

「期限切れ＝起動しなくなる」と心配される方が多いのですが、Microsoftの公式の説明では、更新されないまま期限を迎えたパソコンも通常どおり起動し、通常どおり使えるとされています。整理すると次のとおりです。

これまでどおり使えるもの

• パソコンの起動、アプリの使用、インターネットやメール
• 通常のWindows Update（起動に関わる一部のセキュリティ部品を除く）

できなくなるもの

• Windowsブートマネージャーやセキュアブートのデータベースに対する、新しいセキュリティ修正の適用
• 新たに見つかった起動段階の脆弱性（BitLockerの回避手口など）への対策の受け取り
• 新しい証明書だけで署名されたソフトウェアや部品の一部が、信頼されず読み込めなくなる可能性

つまり、期限当日に何かが壊れるのではなく、「起動の入り口を守る鍵」が古いまま固定され、時間が経つほど守りが弱くなっていくというのが実態です。困るのは「今日」ではなく、数か月〜数年後に起動段階を狙う新しい攻撃が出てきたときに、そのパソコンだけ対策を受け取れないという点です。また、将来OSを入れ直したり、新しいハードウェアを取り付けたりしたときに互換性の問題が出る可能性もMicrosoftは指摘しています。

修理の現場でよく聞く「3つの誤解」

このテーマについてお問い合わせを受けると、次のような思い込みがトラブルの原因になっていることがあります。

誤解1：「期限が来たら起動しなくなるから、今すぐ何かしないといけない」

前述のとおり、期限切れで突然起動しなくなるわけではありません。焦ってネットの手順を見よう見まねで試し、BIOSの設定を変えた結果、本当に起動しなくなって持ち込まれるケースのほうが問題です。まずは「確認」から始めてください。

誤解2：「セキュアブートを切ってしまえば関係ない」

セキュアブートを無効にすると、証明書の期限とは無関係になる代わりに、起動段階の保護そのものがなくなります。Microsoftも「証明書の期限切れを回避する目的でセキュアブートを無効にすべきではない」と明言しています。さらに、セキュアブートが無効のパソコンには新しい証明書が配信されないため、後から有効に戻したときに古い状態のまま残る点にも注意が必要です。

誤解3：「Windows セキュリティの緑のチェックが付いているから更新済み」

Microsoftの説明では、緑のチェックだけでは証明書が更新済みとは限りません。セキュア ブートの欄に「必要な証明書の更新がすべて適用された」という趣旨の説明文が表示されているかどうかまで確認する必要があります。

自分のパソコンは対象？状況別の切り分け

まずは、ご自身のパソコンがどのグループに当てはまるかを確認しましょう。対応の優先度が大きく変わります。

パソコンの状況	考えられる状態	まずやること
Windows 11（サポート中のバージョン）・Windows Updateは自動・セキュアブート有効	自動で更新される可能性が高い	Windows セキュリティで状況を確認し、更新と再起動を済ませる
Windows 11だがWindows Updateを一時停止している／長期間更新していない	証明書の更新が届いていない可能性	一時停止を解除し、更新をすべて適用する
Windows 10でESU（拡張セキュリティ更新）に登録している	セキュリティ更新とともに証明書の更新対象	ESUが有効か確認し、更新を適用する
Windows 10でESUに登録していない	サポート外のWindowsには証明書が配信されない	ESU登録・Windows 11への移行・買い替えを検討
セキュアブートが無効（古い機種、自作PC、過去に設定を変えた等）	新しい証明書は配信されない	無理に有効化せず、メーカーのファームウェア情報を確認する
メーカーのサポート期間が終わった古い機種	ファームウェア側の対応が提供されない場合がある	Windows セキュリティの表示を確認し、警告が出ていれば相談
会社・学校から支給されたパソコン	管理者が更新方法を決めている	自分で設定を触らず、情報システム担当に確認

なお、個人向けのWindows 10 ESUは当初2026年10月13日までとされていましたが、2026年6月に1年延長され、2027年10月12日までになったと報じられています。Windows 10を使い続けている方は、ESUの登録状況とあわせて確認しておきましょう。いずれにしても、Microsoftはサポート中のWindowsにのみ新しい証明書を配信するとしています。

更新されているかを確認する3つの方法

方法1：Windows セキュリティで確認する（いちばん簡単）

2026年4月以降、Windows セキュリティアプリでセキュアブート証明書の更新状況が表示されるようになりました。スタートメニューから「Windows セキュリティ」を開き、「デバイス セキュリティ」→「セキュア ブート」の順に進みます。表示の意味はおおむね次のとおりです（Microsoftの公式説明を要約したもので、実際の表示文言はWindowsのバージョンにより異なる場合があります）。

• 緑のチェック＋「必要な証明書の更新がすべて適用済み」という説明：対応完了。何もする必要はありません。
• 「古い構成を使用しているため更新が必要」という説明：Windows Updateで最新の更新を入れ、再起動を求められたら再起動します。
• 「既知の問題のため更新を一時停止している」という説明：Microsoft側で調整中です。自分で何かする必要はなく、解決後に自動で再開されます。
• 黄色の注意マーク＋「ハードウェアまたはファームウェアの制限により自動更新に対応していない」という説明：パソコンメーカーのファームウェア更新が必要な可能性があります。メーカーのサポート情報を確認してください。
• 赤のマーク＋「起動に関する必要な更新を受け取れない」という説明：期限後も古い証明書のままで、起動段階の修正が届かない状態です。早めに対応を検討しましょう。

赤や黄色の警告は「閉じる」ボタンや「リスクを受け入れる」操作で非表示にできますが、証明書が更新されていない状態で非表示にすることは推奨されていません。表示を消しても状態は変わらない点に注意してください。

方法2：システム情報でセキュアブートが有効か確認する

キーボードの「Windowsキー＋R」を押し、「msinfo32」と入力してEnterを押すと「システム情報」が開きます。「システムの要約」の中にある「セキュア ブートの状態」が「有効」になっているか、あわせて「BIOS モード」が「UEFI」になっているかを確認します。セキュアブートが無効、またはBIOSモードが「レガシ」の場合は、新しい証明書が配信されません。

方法3：PowerShellで確認する（慣れている方向け）

スタートボタンを右クリックして「ターミナル（管理者）」を開き、Confirm-SecureBootUEFI と入力すると、セキュアブートが有効なら「True」、無効なら「False」と表示されます。さらに、新しい証明書がファームウェアのデータベースに入っているかは、次のコマンドで確認できます。

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

「True」と表示されれば、データベースに2023年版の証明書が含まれています。これらは「状態を読むだけ」のコマンドで、設定を変えるものではありません。ただし、ネット上には設定を書き換えるコマンドやレジストリ操作も紹介されています。意味が分からないものは実行しないでください。

自分でできる対処法（安全な順番）

個人のパソコンであれば、多くは次の手順で十分です。上から順に進めてください。

1. 大切なデータのバックアップを取る

証明書の更新自体でデータが消えることはありませんが、この後のBIOS更新や、まれに起きる起動トラブルに備えて、写真・書類などを外付けドライブやクラウドに保存しておきます。どんな作業でも「先にバックアップ」が鉄則です。

2. BitLockerの回復キーを控える

Windows 11では、Microsoftアカウントでサインインすると「デバイスの暗号化（BitLocker）」が自動で有効になっている機種が多くあります。証明書の更新やBIOS更新のあと、まれに48桁の「BitLocker回復キー」の入力を求められることがあり、回復キーが分からないとデータごと取り出せなくなるおそれがあります。Microsoftアカウントのウェブサイトの「デバイス」欄から回復キーを確認し、紙に書くか、別の端末に保存しておきましょう。

3. Windows Updateの一時停止を解除し、すべて適用する

「設定」→「Windows Update」で一時停止になっていないか確認し、「更新プログラムのチェック」で最新の状態にします。証明書の適用には再起動が必要な場合があるため、「再起動が必要です」と出ていたら作業を保存して再起動してください。証明書の更新は段階的に行われるため、1回の更新ですぐに完了表示にならないこともあります。

4. メーカーのサポートページでファームウェア（BIOS/UEFI）の情報を確認する

Windows セキュリティで「ハードウェアまたはファームウェアの制限」の表示が出ている場合や、メーカーがセキュアブート証明書に関する案内を出している場合は、メーカー公式のサポートページで自分の型番に合ったBIOS/UEFI更新が提供されているか確認します。富士通・NEC・Dynabook・Lenovo・Dell・HPなど多くのメーカーが、型番ごとの更新プログラムやアップデートアプリを用意しています。型番が1文字違うだけで別のファームウェアになることがあるため、本体底面のラベルなどで正確な型番を確認してから進めてください。

5. 数日後にもう一度確認する

更新後しばらくしてから、もう一度Windows セキュリティのセキュア ブート欄を見て、表示が変わっているか確認します。何度更新しても黄色や赤の表示が変わらない場合は、自己判断で設定を触らず、メーカーや修理店に相談するのが安全です。

やってはいけないこと（起動不能の原因になります）

当店に「起動しなくなった」と届くパソコンの中には、良かれと思って行った操作が原因になっているものがあります。特に次の操作は避けてください。

BIOSの設定を「初期値に戻す」「工場出荷時のキーに戻す」

BIOS画面には「Load Defaults（初期設定に戻す）」や「Restore Factory Keys（工場出荷時のキーを復元）」といった項目があります。Microsoftの説明では、Windowsがすでに新しい2023年版で署名されたブートマネージャーを使っている状態で、ファームウェアを古い初期値（2023年版の証明書を含まない状態）に戻すと、セキュアブートが起動を止めてしまうことがあります。この場合、回復用USBを作って証明書を書き戻す作業が必要になり、一般の方には難しい作業になります。

証明書の期限切れ対策としてセキュアブートを無効にする

前述のとおり、保護がなくなるうえに新しい証明書も配信されなくなります。さらに、BitLockerが有効なパソコンでは、セキュアブートの設定を変えたことで回復キーを求められることがあります。

BIOS更新中に電源を切る・バッテリー残量が少ない状態で更新する

BIOS/UEFIの更新中に電源が落ちると、ファームウェアが壊れて電源ボタンを押しても画面が映らない状態になることがあります。ノートパソコンは必ずACアダプターをつなぎ、バッテリーも十分に充電してから行います。「画面が真っ暗なまま動かない」と感じても、メーカーの案内で示された時間は電源ボタンを押さずに待ってください。

型番の違うBIOSファイルや非公式サイトのツールを使う

「証明書を一発で更新できる」とうたう非公式ツールや、似た型番のBIOSファイルを使うのは非常に危険です。また、「セキュアブートの期限が切れています」とブラウザに表示して電話をかけさせる偽警告（サポート詐欺）にも注意してください。正規の通知は、Windows セキュリティアプリの中やWindowsの通知として表示されます。

CSM（レガシーブート）に切り替える

BIOSの起動モードを「UEFI」から「CSM」や「Legacy」に変えると、セキュアブートが使えなくなるうえに、Windowsがそもそも起動しなくなることがあります。

更新後・BIOS操作後のトラブル別の切り分け

証明書の更新やBIOS更新のあと、次のような症状が出た場合の考え方です。

青い画面で「BitLocker回復キーを入力してください」と出た

故障ではなく、起動に関わる構成が変わったことをBitLockerが検知した状態です。Microsoftアカウントに保存されている48桁の回復キーを、別のスマートフォンやパソコンで確認して入力すれば、通常はそのままWindowsが起動します。回復キーが見つからない場合は、何度も再起動したり初期化したりせず、Microsoftアカウントのサインイン情報や、パソコン購入時の設定メモを探してください。初期化を選ぶと、暗号化されたデータは取り出せなくなります。

メーカーロゴの後に「セキュアブート違反」「Secure Boot Violation」などと表示されて止まる

ファームウェアに登録されている証明書と、起動しようとしているブートマネージャーの署名が合っていない状態が考えられます。BIOSの初期化を直前に行った場合は、前述の「古い初期値に戻ってしまった」ケースの可能性があります。Microsoftは、更新後に起動しなくなった場合の一時的な回避としてセキュアブートを無効化する手順を案内していますが、BitLockerが有効だと回復キーを求められるため、回復キーが手元にない場合は操作せずにご相談ください。

BIOS更新後に電源は入るが画面が真っ暗・ファンだけ回る

ファームウェアの書き込みが途中で失敗した可能性があります。機種によっては自動復旧機能や復旧用の操作が用意されていますので、まずメーカーのサポートページで機種名と「BIOS 復旧」などを確認します。復旧できない場合は、ファームウェアの書き直しやマザーボード側の修理が必要になります。

Windows セキュリティの表示がずっと「更新が必要」のまま

Windows Updateが正しく完了していない、セキュアブートが無効、ファームウェアが更新を受け付けない、といった原因が考えられます。上の「確認する3つの方法」で、どこで止まっているかを切り分けてから対処すると、無駄な作業が減ります。

修理店・メーカーへの相談が必要なケース

次に当てはまる場合は、自分で作業を続けるより専門の窓口に相談するほうが、結果的に早く安全です。

• BIOS更新後に画面が映らない、電源ランプは付くが起動しない
• 「セキュアブート違反」などの表示で起動が止まり、BitLocker回復キーが分からない
• Windows セキュリティで「ハードウェアまたはファームウェアの制限」と表示されるが、メーカーの更新が見つからない
• 自作PCやBTOパソコンで、マザーボードのBIOS画面の操作に自信がない
• 以前に他店で修理・部品交換をしてから、BIOSの設定が変わっている気がする
• 仕事用のデータが入っていて、作業の失敗が許されない

修理店では、データの保全を優先したうえで、BIOS/UEFIの状態確認、正しいファームウェアの適用、起動設定の修正などを行います。ファームウェアの書き込み失敗でマザーボード上のチップの書き直しが必要な場合や、マザーボード自体の交換が必要な場合は、機種によって対応できる範囲が異なります。

修理・作業費用は何で変わる？

このテーマの作業費用は、機種・症状により大きく異なります。「証明書の更新だけ」で済むのか、「起動しない状態からの復旧」なのかで、必要な作業がまったく違うためです。費用を左右する主な要素は次のとおりです。

• Windowsが起動するかどうか：起動できる状態なら、設定確認と更新の適用が中心になります。起動しない場合は、原因の特定から必要です。
• BitLockerの状態と回復キーの有無：回復キーがあればスムーズですが、ない場合は対応できる範囲が限られます。
• ファームウェアの状態：更新の失敗でファームウェアが壊れている場合は、書き直しや基板側の作業が必要になることがあります。
• メーカーのサポート状況：メーカーが更新プログラムを提供していない古い機種では、取れる手段が限られます。
• データ保全の要否：作業前に丸ごとデータを退避する必要があるかどうか。

当店では、まず診断を行い、作業内容と費用をお伝えしてから修理に進みます。お見積もりの段階で「修理より買い替えのほうが合理的」と判断できる場合は、その旨もお伝えします。

修理か買い替えかの判断基準

証明書の問題をきっかけに、「このパソコンをいつまで使うか」を考える方も多いはずです。次の目安を参考にしてください。

使い続けてよいケース

• Windows 11のサポート対象で、Windows セキュリティの表示が「更新済み」になっている
• メーカーのサポート期間内で、必要なBIOS更新が提供されている
• 起動しないトラブルが、設定の問題やファームウェアの再書き込みで解決できる見込みがある

買い替えを検討したほうがよいケース

• Windows 11の動作要件を満たさず、Windows 10のESU終了後の見通しが立たない
• メーカーのサポートが終了しており、「ファームウェアの制限」表示が解消できない
• BIOS更新の失敗でマザーボード交換が必要になり、修理費用が本体価格に近づく
• バッテリーの劣化、キーボードの不調など、他の不具合も重なっている

買い替える場合でも、古いパソコンからのデータ移行は必要です。BitLockerが有効なまま起動しなくなったパソコンは、回復キーがないとデータを取り出せないため、買い替えを考えている方こそ、今のうちに回復キーとバックアップを確保しておくことをおすすめします。

郵送で修理・相談に出す前の準備

セキュアブートやBIOSに関する作業を依頼する場合、次の準備があると診断がスムーズです。

• BitLocker回復キー：控えがある場合は、本体とは別にメモでお知らせください。
• Windowsのサインイン用PINまたはパスワード：起動確認やWindows Updateの適用に必要です。お伝えいただける範囲でかまいません。
• BIOSパスワード：設定している場合は必須です。分からないとBIOS画面に入れず、作業ができないことがあります。
• 症状のメモ：「いつ、何をしたら、どう表示されたか」を書いておくと原因の特定が早まります。画面の写真をスマートフォンで撮っておくのも有効です。
• ACアダプター：ノートパソコンは、BIOS更新や起動確認に電源が必要なため、本体と一緒にお送りください。

よくある質問（FAQ）

Q1. 何もしないで放っておいても、パソコンは使えますか？

はい、期限を過ぎても起動や普段の使い方には影響しないとMicrosoftは説明しています。ただし、起動段階を狙う新しい攻撃への対策が届かなくなるため、守りは徐々に弱くなります。Windows Updateを止めていなければ自動で更新されるパソコンが多いので、まずはWindows セキュリティで状況を確認するだけでも十分な第一歩です。

Q2. Macにも関係がありますか？

この記事で扱っているのは、Windowsパソコンのセキュアブートで使われるMicrosoftの証明書の話です。Macでも、Boot CampやWindowsの仮想環境を使っている場合は状況が異なるため、個別にご相談ください。

Q3. 自作PCですが、何をすればいいですか？

マザーボードメーカーのサポートページで、お使いのマザーボード型番の最新BIOSと、セキュアブート証明書に関する案内を確認してください。自作PCはセキュアブートを無効にしていることも多く、その場合は新しい証明書が配信されません。設定を変える前に、BitLocker回復キーとデータのバックアップを必ず確保してください。

Q4. 期限が過ぎてから更新しても間に合いますか？

Microsoftは、既存の証明書が期限切れになった後でも、新しい証明書を含む更新を適用できると説明しています。Windowsが起動して更新をインストールできる状態であれば、後からでも対応は可能です。ただし、早めに更新しておくほど、その間の守りの空白が短くなります。

Q5. 中古パソコンを買ったのですが、確認したほうがいいですか？

はい、確認をおすすめします。前の持ち主がWindows Updateを止めていたり、BIOSの設定を変えていたりすることがあります。Windows セキュリティのセキュア ブート欄と、msinfo32の「セキュア ブートの状態」を確認し、すべての更新を適用してください。

まとめ

2026年は、Windowsの起動を守るセキュアブートの証明書が切り替わる年です。6月に2つの証明書が期限を迎え、10月にはWindowsのブートマネージャーに署名している証明書も期限を迎えます。期限切れでいきなり起動しなくなるわけではありませんが、更新されないままだと、起動段階のセキュリティ対策を受け取れなくなります。

対応の基本は、「Windows セキュリティで状況を確認する」「BitLocker回復キーとバックアップを確保する」「Windows Updateを止めずに適用する」「必要ならメーカー公式のBIOS更新を正しい手順で行う」の4つです。反対に、BIOSの初期化やセキュアブートの無効化、非公式ツールの使用など、自己流の対処は起動不能の原因になります。表示の意味が分からないとき、BIOS更新に不安があるとき、すでに起動しなくなってしまったときは、無理をせずご相談ください。