Windows 11/10 eMudhra証明書を除外する定例外パッチ｜対象KBと手動で入れる方法・ゲーマーは必要か【2026年10月】

Microsoftは2026年10月26日、Windows 11と10向けに定例外（OOB）の更新プログラムを出しました。認証局eMudhraの中間CA（下位の認証局）8件の秘密鍵が復元できる状態だった問題を受けて、関連する証明書7件をWindowsの信頼リストから外す内容です。

結論から言うと、インターネットにつないで普通にWindows Updateを使っているPCは、何もしなくて構いません。信頼リストの更新はWindows Updateとは別の仕組みで自動配信されていて、今回の除外もその経路で届いています。手動で入れる意味があるのは、オフライン運用のPC、証明書の更新サービスに届かないPC、信頼リストの自動更新をオフにしたPCです。

自分がどちらかは、レジストリを1行調べれば分かります。手動で入れる場合は、KB5134133（Windows 11 24H2・25H2・26H2）のダウンロードがx64版で約5GBあるので、容量と時間に余裕のあるときに進めてください。

概要何が起きて、Windowsは何を変えたのか

eMudhraの中間CA8件（TLS用6件、コード署名用2件）で、秘密鍵を復元できる状態だったことが分かりました。この鍵があれば、eMudhraが発行していない偽のWebサイト用証明書や、信頼された発行元に見えるマルウェア署名を作れてしまいます。Microsoftのシステムが侵害されたわけではなく、問題はeMudhra側の認証局の階層で起きたものです。

Microsoftの対応は2段階です。1段目は10月20日で、侵害された8件の鍵そのものをWindowsの「信頼しない証明書リスト」（Disallowed CTL）に載せてブロックしました。Edgeでは同じ日にCRLSetの更新でTLS用の鍵を遮断しています。2段目が今回の10月26日の更新で、これらの中間CAにつながる信頼の入口にあたるルート証明書7件（eMudhra G3ルート6件とAAA Certificate Servicesのクロス署名1件）を、既定の信頼リストから外します。Edgeの信頼リストからは10月27日に除外されました。

対象OS別の対象KBとビルド番号

対象はWindows 11の23H2以降とWindows 10 22H2・21H2で、KBはOSごとに分かれています。いずれも10月26日付の累積更新で、直前の月例更新の内容を含んでいます。KB5134133とKB5134134は10月13日のKB5127648・KB5127646、KB5134125は同日のKB5126657を含みます。

Windows 11 24H2・25H2・26H2のKB5134133には、更新を入れる前の条件があります。24H2と25H2は、2025年6月10日以降に出た更新（KB5060842など）が先に入っている必要があり、サービススタック更新（SSU）も最新でなければなりません。この条件を満たす通常のPCなら、すでに入っているはずです。

判断ゲーマーのPCは手動で入れるべきか

確認自分のPCが自動更新の対象か調べる

調べるのは、信頼リストの自動更新をポリシーでオフにしていないか、の1点です。既定ではオンで、オフにするときはグループポリシーやレジストリで「DisableRootAutoUpdate」を1にします。

1. スタートボタンを右クリックして「ターミナル（管理者）」または「Windows PowerShell（管理者）」を開きます。
2. 次のコマンドを入力して実行します。

reg query "HKLM\Software\Policies\Microsoft\SystemCertificates\AuthRoot" /v DisableRootAutoUpdate

1. 「指定されたレジストリ キーまたは値が見つかりませんでした」と出れば、ポリシーでオフにはしていません。通常は自動更新が届いているので、手動の適用は不要です。
2. 「DisableRootAutoUpdate　REG_DWORD　0x1」と出たら、自動更新がオフです。次の手順で更新プログラムを手動で入れてください。
3. 設定を変えた覚えがなくても、ネットワーク側で更新先を止めていれば届きません。Microsoftの手順は、ctldl.windowsupdate.com へのHTTP（TCP 80）通信ができることを前提にしています。

入っているかどうかは、Win+Rで「winver」を実行して、OSビルドが上の表の番号以上かどうかでも判断できます。

手順Microsoft Update Catalogから手動で入れる

KBのページは、この更新の入手先をMicrosoft Update Catalogと案内しています。ここではWindows 11 24H2・25H2・26H2（KB5134133）のx64版を例にします。ほかのOSも、KB番号と対象ビルドが変わるだけで流れは同じです。

1. Microsoft Update Catalog（catalog.update.microsoft.com）でKB番号を検索します。
2. 自分のバージョンと、x64かArm64かに合う行の「ダウンロード」を押します。24H2・25H2・26H2は、検索結果に3つのバージョンが並びます。
3. KB5134133のカタログには、先に入れる必要がある「チェックポイント累積更新」（KB5043080）と、本体の更新が含まれています。2つのMSUファイルを同じフォルダー（例：C:\Packages）に置き、そのフォルダーに余計なファイルが入っていないことを確認します。
4. 管理者権限のコマンドプロンプトで、本体のMSUファイルを指定してDISMを実行します。DISMはフォルダー内の必要なチェックポイント更新も自動で入れます。

DISM /Online /Add-Package /PackagePath:C:\Packages\windows11.0-kb5134133-x64_0e59d2f988a5422dfb489e97faed3b3835fc7568.msu

1. 完了したら再起動し、winverでビルド番号が上の表の値になったことを確認します。

MSUファイルをダブルクリックして、チェックポイント、本体の順に1つずつ入れる方法もあります。どちらでも結果は同じです。Arm64版は、ファイル名の「x64」の部分が「arm64」に変わります。インストールメディアに組み込む場合は、boot.stlが入っていないと起動時に0xc0430001が出ることがあります。メディアの更新は個人のPCでは普通に使わない手順なので、KBの案内に従ってください。

注意手動で入れる前に知っておくこと

eMudhraの残りのルート証明書について、Microsoftは別に評価しており、さらに変更がある場合は影響を受ける顧客の移行にあわせて順番に進めるとしています。Windows Updateの接続用の証明書の期限切れや、Secure Bootの証明書の失効は別件です。それぞれWindows Updateの証明書が2027年に期限切れとSecure Boot証明書「Windows Production PCA 2011」の失効の記事で扱っています。

Q&Aよくある質問

まとめまとめ｜手動で入れるのは、自動更新が届かないPCだけ

eMudhraの中間CAの秘密鍵の問題を受けて、Microsoftは関連する証明書7件をWindowsの信頼リストから外す更新を10月26日に出しました。ネットにつながったゲーミングPCは、信頼リストが自動で更新されるので、手動の作業は不要です。

出典：MSRC「Microsoft’s response to compromised eMudhra certificate authority keys」・Microsoft Trusted Root Program「Announcements」（2026年10月26日）・Microsoftサポート KB5134133・Microsoftサポート KB5134130・Microsoftサポート KB5134125・Microsoft Learn「Configure trusted roots and disallowed certificates in Windows」・Microsoft Update Catalog（KB5134133）（いずれも2026年10月28日確認）

あわせて読みたい

トラブル・設定

Windows Updateの証明書が2027年に期限切れ｜更新できなくなる条件と自分のPCの確認方法【Windows 10・11】

トラブル・設定

Secure Boot証明書「Windows Production PCA 2011」が10月19日に失効｜対象PCの確認方法