Microsoftが、セキュアブート証明書の更新が一部のWindows 11 PCで失敗している問題を正式に認め、該当デバイスへの更新の提供を一時停止したことがわかりました。セキュアブートはUEFIレベルで不正なブートローダーを防ぐ重要なセキュリティ機能です。現在、2011年以前の証明書が期限切れとなり、Microsoftは2023年版の新しい証明書への移行を進めています。証明書の更新は自動的に行われるはずですが、古い・不具合のあるUEFIファームウェアを使用している場合や、セキュアブートが無効化されている場合、BitLocker画面で止まるなどのOEM固有の問題が存在する環境などでは、証明書が正常に更新できず、Windowsセキュリティアプリに「既知の問題により、セキュアブートがブロックされました(Secure Boot blocked due to known issues)」という警告が表示されるケースがでてきています。MicrosoftはPCメーカーと協力して修正を進めていますが、問題が確認されたデバイスについてはリスク回避のため更新を一時停止しているとのことです。自分のPCが影響を受けているか確認する方法セキュアブートの状態は、Windowsセキュリティアプリの「デバイスセキュリティ > セキュアブート」から確認できます。セキュアブートがオン、証明書が適用済み: 問題なしセキュアブートがオンだけで証明書情報がない: 更新が保留されている可能性既知の問題によりセキュアブート更新が一時停止: Microsoft側でブロック中なお、HPなど一部OEMは、セキュアブート更新に備えたBIOS更新を配布していますが、BitLockerの問題で証明書が適用できないケースも報告されています。更新されないPCはどうなる？セキュアブート2023証明書が未適用でも、Windowsは通常どおり起動し、月例アップデートも継続、既知の脅威へのセキュアブート保護は維持されるはずです。ただし、証明書が更新されていないと、新しいブートローダーの脆弱性対策が適用できない可能性や、一部の非Microsoft製コンポーネントが更新できない可能性があります。長期的にはセキュリティが最新状態から遅れ始めるという悪影響がでてくると考えられます。Microsoftは「セキュアブートをオフにするのは逆効果」と強調しており、更新が来ない場合でも設定を変更しないことが推奨されています。まとめ：今できることセキュアブートに関し現時点でユーザーが取れる行動は次のとおりです。Windowsセキュリティでセキュアブートの状態を確認するOEM(HPなど)のBIOS更新が出ていれば適用する更新がブロックされている場合は、OEMのサポートページを定期的にチェックするセキュアブート証明書の更新は、PCの起動時の安全性を守るために重要です。今回発生している問題は主にファームウェア側の互換性に起因しており、MicrosoftとOEMが対応を進めています。慌てず、状況を確認しながらアップデートを待つのが現実的な対応です。[via Windows Latest]