セキュアブート証明書の手動更新方法｜自動更新できない場合の対処法【Windows 10/11】

セキュアブート証明書の手動更新が必要なケース

手動更新は、自動更新がうまく機能しなかった場合の代替手段です。

セキュアブート証明書の自動更新ができない場合

Microsoftは2025年5月13日以降の累積更新プログラム（LCU）に更新済み証明書を含めて配信しており、Windows Updateとセキュアブートが有効なデバイスなら通常は自動的に適用されます。

ただし、Windows Updateが無効になっている、ファームウェアが古くOEM側の追加対応が必要、または段階的ロールアウトの対象になっている場合は、自動更新が進まないことがあります。この場合イベントビューアーにTPM-WMIのエラー（イベントID:1801など）が記録されることがあります。

セキュアブート証明書の更新状況を確認する方法

更新済みかどうかは、管理者権限のPowerShellで確認できます。下記がいずれも「True」なら更新済みです。「False」の場合は2011年版のままの可能性が高く、後述の対処が必要です。

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

セキュアブート証明書を手動で更新する方法

自動更新がされない場合、UEFI BIOSを手動更新する方法があります。ここではASUSマザーボードを例に紹介します。作業前にセキュアブートが有効であることと、BitLocker回復キーを控えておくことを確認してください。

• メーカー公式サイトから最新のUEFI BIOSをダウンロードし、マザーボードを更新。

• 再起動後BIOSセットアップに入り、「Advanced Mode」→「Boot」→「Secure Boot」からキー管理を開き、既存のセキュアブートキーを消去。

• 「Install Default Secure Boot Keys」を選択し、PK/KEK/DB/DBXが正しく設定されたことを確認。

• 管理者権限のPowerShellで以下2つのコマンドを実行し、「Windows UEFI CA 2023」証明書を適用。

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

HPやDellも基本的な考え方は同じで、BIOSアップデートによって証明書データベースが更新されます。Dellでは法人向けPowerEdgeサーバー向けに専用スクリプトを使った手順も案内されています。機種ごとに手順は異なるため、該当メーカーのサポートページも確認してください。

セキュアブート証明書を手動で更新できない場合の対処法

BIOSの手動更新がうまくいかない場合や操作に不安がある場合、いくつか代替アプローチがあります。

Windows Updateを再実行する

まず確認したいのは、Windows Updateが最新の状態かどうかです。設定アプリから更新プログラムの確認を再実行するだけで証明書更新が適用されるケースは多く報告されています。

更新後は再起動し、PowerShellコマンドで再確認しましょう。

関連記事:

Windows 11 バージョン26H2へのアップデート手順を解説

MBR環境の場合はGPTに変換してUEFIモードに変更する

セキュアブートはUEFIモードとGPT形式のディスクが前提となる機能です。古い環境でMBR形式のままレガシーBIOSモードを使っている場合は、そもそもセキュアブートの証明書更新の対象外になっていることがあります。この場合はディスクをMBRからGPTに変換し、BIOS設定をUEFIモードに切り替えることが必要です。

ディスク形式の変換はWindows標準ツールでも可能ですが、システムディスクの変換はデータ消失のリスクを伴う操作でもあります。

こうした場面では、データを保持したままMBRからGPTへの変換に対応した4DDiG Partition Managerのようなツールが便利です。システムの再インストールや大がかりなバックアップ作業を避けながら、比較的落ち着いて移行を進めることができます。

• コンピュータに4DDiG Partition Managerをダウンロードしてインストールします。そして、アプリケーションを起動し、左側の列で「ディスクを変換」を選択し、「MBRをGPTに変換」をクリックして続行します。

  

• 変換するディスクを選択して、「続行」をクリックして、変換インタフェースに入ります。選択したディスクがシステムディスクの場合、プログラムはPEコンポーネントをダウンロードします。ダウンロードに成功すると、プロンプトウィンドウが表示されます。

  

• Windows PEでプログラムが起動したら、「MBRをGPTに変換」を選択して続行します。

  

• 4DDiG Partition ManagerはMBRをGPTに変換しています。 ディスク変換の速度は、ディスク上のパーティションの数によって異なります。変換は成功しました！以下の手順に従ってコンピュータを起動してください。そうしないと、コンピュータが正しく起動しない場合があります。

  

セキュアブート一時無効化

BIOSアクセスや復旧作業のためにどうしても必要な場合、一時的にセキュアブートを無効化する選択肢もあります。ただし無効化中は新しい証明書を受け取れず、マルウェアに対して脆弱になる点、一部ゲームのアンチチート機能が動作しなくなる点に注意してください。

作業後は速やかに再有効化することが推奨されます。

メーカーへの相談

イベントビューアーでTPM-WMIのエラーID:1802や1803が表示された場合は、ファームウェアやプラットフォームキーの不整合によって更新がブロックされている状態で、ユーザー側の操作だけでは解決が難しいことがあります。この場合はASUSやHP、Dellなど各メーカーのサポート窓口に相談するのが確実です。

自己判断でBIOS設定を繰り返し変更すると起動不能につながるおそれもあるため、早めの問い合わせをおすすめします。

まとめ

セキュアブート証明書の期限切れは2026年半ば以降に本格化しますが、多くの環境ではWindows Updateの再実行だけで解決します。

MBR環境でUEFIモードへの移行が絡む場合は、4DDiG Partition Managerのようなツールでデータを保持したまま変換すると、落ち着いて手動更新を進められます。

よくある質問

1. セキュアブート証明書を更新する必要がありますか？

セキュアブートを有効にしている場合は更新が推奨されます。期限が切れてもPCは動作を続けられますが、新しいセキュリティ保護を受け取れなくなり、防御力が下がっていきます。

2. セキュアブート証明書の更新後に何を確認すればいいですか？

管理者権限のPowerShellでGet-SecureBootUEFIコマンドを実行し、KEKに「Microsoft Corporation KEK 2K CA 2023」、DBに「Windows UEFI CA 2023」が含まれ、「True」と表示されれば更新は完了しています。

3. Windows 10でもセキュアブート証明書の更新は必要ですか？

セキュアブートはファームウェアレベルの機能のため、Windows 10でも該当する場合は更新対象です。サポート期間内であればWindows Updateを通じて同様の手順が有効です。