ENTRY Amazonスマイルセール 8月28日9:00開始事前エントリーで最大10%ポイント還元。当サイトが厳選したゲーミングノートPCの狙い目を先にチェック。狙い目を今すぐ見る

Secure Boot証明書「Windows Production PCA 2011」が10月19日に失効｜対象PCの確認方法

Q: 今回の証明書は2026年6月に話題になったものと同じですか

いいえ、別の証明書です。6月に失効したのは主にグラフィックボードなどサードパーティ製ブートローダー向けの「Microsoft UEFI CA 2011」と、更新を許可する鍵「Microsoft Corporation KEK CA 2011」です。今回の「Windows Production PCA 2011」はWindows本体のブートローダーに対する証明書で、失効日は2026年10月19日です。

Q: 対象になった場合、PCは起動しなくなりますか

基本的には起動し続けます。Microsoft公式によれば、証明書が失効しても対象デバイスは通常どおり起動・動作を続け、標準のWindows Updateも継続されます。変わるのは今後のブート関連セキュリティ更新を受け取れなくなる点です。

Q: Windows 10でも対象になりますか

サポート対象バージョンであれば対象です。ただしWindows 10は2025年10月14日に無償サポートが終了しているため、Extended Security Updates（ESU）に加入していない場合は証明書の更新を含む新しいセキュリティ更新自体を受け取れません。

Q: 会社や学校のPCも同じ方法で確認できますか

確認方法自体は同じですが、更新の適用方法が異なります。組織が管理しているPCは、Microsoftではなく社内・学校のIT部門のポリシーにもとづいて更新されるため、対象外と表示された場合はIT担当者へ確認してください。

Q: Secure Bootを無効にしたままでも大丈夫ですか

無効のままでは新しい証明書がファームウェアへ書き込まれません。ブートキットなど起動時の脅威に対する保護が弱いままになるうえ、Secure Boot必須のゲームもプレイできなくなるため、有効にしておくことをおすすめします。

Q: BIOS更新をしないまま様子を見てもいいですか

まずはWindows Updateでの自動適用を優先してください。Windowsセキュリティアプリやコマンドでの確認結果がFalse・未適用のままの場合にかぎり、メーカー公式のBIOS更新を検討する順番が安全です。

トラブル・設定

2026.8.27

Secure Boot証明書「Windows Production PCA 2011」が10月19日に失効｜対象PCの確認方法

本記事にはアフィリエイト広告（Amazon・楽天市場等）のリンクが含まれています。

WINDOWS SECURE BOOT ／ 2026年10月19日証明書失効

Windowsの起動を署名する証明書「Production PCA 2011」が2026年10月19日に失効
自動更新の対象かどうかで、いま確認すべきことが変わります

Microsoft公式サポート情報によると、Windowsのブートローダーに署名している証明書「Microsoft Windows Production PCA 2011」は2026年10月19日に有効期限を迎えます。Windows UpdateとSecure Bootの両方が有効な環境では、多くの場合は自動的に新しい証明書へ切り替わります。

一方で、Windows Updateを止めている、Secure Bootを無効にしている、サポートが終了したWindowsのまま使っている、古いファームウェアの自作PC・BTO機などは、自動更新の対象から外れる可能性があると案内されています。自分の環境がどちらに当てはまるかは、いくつかの手順で自分で確認できます。

失効日 2026年10月19日対象は環境ごとに異なる起動不能ではなく保護低下

出典：Microsoft公式サポート「Preparing the Windows ecosystem for next-generation code signing」・Microsoftサポート「Windows Secure Boot certificate expiration and CA updates」・Microsoftサポート「Frequently asked questions about the Secure Boot update process」・Microsoftサポート「Secure Boot certificate update status in the Windows Security app」・Microsoftサポート「If you’re prevented from updating Secure Boot certificates」・ASUS公式サポート「Windows Secure Boot certificate expiration and certificates updates」・MSI公式サポート「Windows Secure Boot certificates update for Motherboard, Desktop PCs, AIO, Cubi」（いずれも2026年8月27日確認）

2026年6月にもセキュアブートの証明書失効が話題になりましたが、あの騒動は大きなトラブルもなく過ぎ去りました。今回の10月19日の失効はその第2弾にあたります。ただし証明書の種類も担っている役割も6月とは異なるため、「前回何もなかったから今回も平気」と決めつけず、自分の環境がどちらに当てはまるかを先に確認しておくほうが安全です。

Microsoft公式によれば、Windows本体のブートローダーに署名している証明書「Windows Production PCA 2011」が2026年10月19日に有効期限を迎えます。Windows UpdateとSecure Bootが有効なPCの多くは自動的に新しい証明書へ移行しますが、条件を満たさない環境は対象から外れ、今後の起動関連セキュリティ更新を受け取れなくなる可能性があります。

この記事では、Microsoft・ASUS・MSIの公式サポート情報にもとづき、自分のPCが対象かどうかをWindowsセキュリティアプリ・msinfo32・PowerShell・イベントビューアーの4つの角度から確認する方法、対象だった場合にBIOS更新前に確認しておきたいBitLockerの注意点、そして対象外や自動更新済みの場合に安心していい理由までを順番に整理します。

失効する証明書Windows Production PCA 2011Windowsブートローダーの署名に使用

失効日2026年10月19日後継はWindows UEFI CA 2023

対象から外れやすい環境Secure Boot無効・自作/BTO機などWindows Update無効やサポート終了バージョンも

やるべきこと状態確認とWindows Updateの適用対象ならBIOS確認とBitLocker回復キー確認

証明書失効の中身「Windows Production PCA 2011」とは何か、何が起きるのか

Secure Boot（セキュアブート）は、PCの起動時に信頼された署名済みソフトウェアだけを読み込む仕組みです。何を信頼するかの判断は、ファームウェアに保存された複数の証明書にもとづいて行われます。このうち「Microsoft Windows Production PCA 2011」は、Windows本体のブートローダーに対する署名に使われている証明書です。

Microsoft公式サポート情報によると、この証明書は2026年10月19日に有効期限を迎えます。失効後にWindowsのブートローダーへ新しく署名する際は、後継の証明書「Windows UEFI CA 2023」が使われるようになります。この証明書はSecure Bootの署名データベース（DB）に保存されます。

今回｜Windows Production PCA 2011（10月19日失効）Windows本体のブートローダーの署名に使われている証明書です。後継は「Windows UEFI CA 2023」で、DBに保存されます。

関連｜Microsoft Corporation KEK CA 2011（6月24日にすでに失効）証明書データベース(DB)や失効リスト(DBX)の更新を許可する鍵です。今日の時点ではすでに失効を過ぎていますが、多くの環境は特に混乱なく通過しています。

関連｜Microsoft UEFI CA 2011（6月27日にすでに失効）グラフィックボードなどサードパーティ製のブートローダーやオプションROMの署名に使われる証明書です。こちらは既報の記事で仕組みを詳しく解説しています。

つまり6月の失効と10月の失効は、対象となる署名の種類が異なる別々の出来事です。6月の分はすでに期限を過ぎましたが、証明書の失効そのものがPCを直ちに起動不能にするわけではないため、目に見えるトラブルなく通過した環境がほとんどでした。10月19日の分についても、仕組みとしては同じ考え方で対応できます。

対象条件自動更新の対象から外れやすい環境

Microsoft公式は、多くのWindowsデバイスは新しい証明書を自動的に受け取ると案内する一方で、確実に更新されるとは限らないケースがあることも明記しています。まずは自分の環境がどちら寄りかを大まかに把握しておきます。

✓

自動更新で対応不要になりやすい環境

Windows Updateを常に適用しているサポート対象のWindows 10・11
Secure Bootを有効にしている
診断データの共有を既定設定のまま止めていない
2024年以降に発売された市販PC・BTO PCの多く

対象から外れやすく確認が必要な環境

Windows Updateを無効化・長期間放置している
Secure Bootを無効にしている
サポートが終了したWindowsバージョンのまま使っている
古いファームウェアのままの自作PC・マザーボード単体組み込み機
会社・学校のIT部門が管理しているPC

Windows 10は2025年10月14日に無償サポートが終了しています。Extended Security Updates（ESU）に加入していない環境は、証明書更新を含む新しいセキュリティ更新自体を受け取れないため、この時点で対象から外れています。会社や学校が管理しているPCは、Microsoftではなく組織のIT部門のポリシーにもとづいて更新されるため、個人の判断だけでは対応が完結しません。

出典：Microsoftサポート「Frequently asked questions about the Secure Boot update process」（2026年8月27日確認）

アプリで確認Windowsセキュリティアプリで更新状況を確認する

最も手軽な確認方法は、Windows標準の「Windowsセキュリティ」アプリです。Microsoft公式サポートによると、次の手順で証明書の更新状況を確認できます。

「Windowsセキュリティ」を開くスタートメニューで「Windowsセキュリティ」と検索して起動します。

「デバイスのセキュリティ」を選択左側のメニューから進みます。

「セキュアブート」の項目を確認表示されるアイコンの色で、いまの状態が分かります。

色の意味に応じて次の行動を判断緑・黄・赤で対応の要否が変わります。詳しくは次の通りです。

緑のチェックマーク｜「Secure Boot is on and all required certificate updates have been applied」と表示されます。対応は不要です。
黄色の注意マーク｜「Not yet updated」と表示されます。ハードウェアやファームウェアの制限で自動更新がブロックされている状態です。PCやマザーボードのメーカーが案内するSecure Bootサポートページを確認してください。
赤色の警告マーク｜「Requires action」と表示されます。対応が必要な状態です。Microsoft公式のガイダンス（aka.ms/getsecureboot）を確認してください。

この項目自体が表示されない場合は、次の見出しで説明するmsinfo32とPowerShellを使った方法で確認します。

出典：Microsoftサポート「Secure Boot certificate update status in the Windows Security app」・Microsoftサポート「If you’re prevented from updating Secure Boot certificates」（いずれも2026年8月27日確認）

直接確認msinfo32とPowerShellで直接確認する

Windowsセキュリティアプリにセキュアブートの項目が表示されない場合や、より詳しく確認したい場合は、システム情報とPowerShellを使う方法もあります。

msinfo32でSecure Bootの状態を確認する

「Windowsキー＋R」で「msinfo32」と入力システム情報の画面が開きます。

「システムの概要」を選択左ペインから進みます。

「セキュアブートの状態」を確認「オン」になっていれば有効です。

「BIOS モード」も確認「UEFI」になっていることもあわせて確認します。

PowerShellで新しい証明書（Windows UEFI CA 2023）を確認する

管理者権限のPowerShellで次のコマンドを実行すると、Windows Production PCA 2011の後継証明書「Windows UEFI CA 2023」がすでに適用済みかどうかを確認できます。

証明書の適用状況を確認するコマンド

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

結果がTrueであれば新しい証明書は適用済みです。Falseの場合は、このあとの「対象だった場合にすべきこと」を確認してください。

出典：ASUS公式サポート「Windows Secure Boot certificate expiration and certificates updates」・Microsoftサポート「Windows Secure Boot certificate expiration and CA updates」（いずれも2026年8月27日確認）

上級者向けイベントビューアーでTPM-WMIのイベントIDを確認する

ASUSやMSIなど主要マザーボードメーカーのサポート情報では、イベントビューアー（ソース「TPM-WMI」）に記録されるイベントIDから、より詳しい状態を判断する方法も案内されています。

イベントID 1808｜新しい証明書がすでに適用済みです。対応は不要です。
イベントID 1801｜新しい証明書は利用可能ですが、まだファームウェアに適用されていません。Windows Updateを開き、月例更新の適用を待ちます。
イベントID 1802｜既知のファームウェアやハードウェアの制限により、更新が意図的にブロックされています。PCやマザーボードのメーカーへ問い合わせます。
イベントID 1803｜Key Exchange Key（KEK）が見つからない状態です。こちらもメーカーへの問い合わせが必要です。

出典：ASUS公式サポート「Windows Secure Boot certificate expiration and certificates updates」・MSI公式サポート「Windows Secure Boot certificates update for Motherboard, Desktop PCs, AIO, Cubi」（いずれも2026年8月27日確認）

対応対象だった場合にすべきこと

確認の結果、対象になりそうだった場合、あるいは証明書がまだ適用されていないと分かった場合は、次の順番で進めます。

Windows Updateをすべて適用する「設定」→「Windows Update」から更新プログラムをすべて適用します。多くの環境はこれだけで新しい証明書が段階的に配信されます。

Secure Bootが無効なら、まず理由を確認する意図的に無効化していないのであれば、有効に戻しておくと更新が進みやすくなります。

診断データの共有設定を確認する「設定」→「プライバシーとセキュリティ」→「診断とフィードバック」が既定のまま共有されているか確認します。共有を止めていると、Microsoftが管理する自動更新の対象から外れやすくなります。

それでも適用されなければメーカーのBIOS更新を確認するASUSやMSIなど主要メーカーは、証明書更新を含むBIOSを公式サイトで公開しています。使用しているメーカーのサポートページで対象のBIOSがあるか確認してください。

BIOS更新の前にBitLockerの回復キーを確認・保存するBIOS更新後にBitLockerの回復キーを求められることがあります。確認方法は既報の記事にまとめています。

BIOS更新前にBitLockerの回復キーを確認しておく

MSI公式サポートは、BIOS更新後にBitLockerの回復キーの入力を求められる場合があるとして、更新前に回復キーを保存しておくこと、またはBitLockerを一時的に無効化・中断しておくことを推奨しています。あわせてPC全体のバックアップも案内されています。回復キーの具体的な探し方はBitLocker回復キーを求められる原因と対処法を解説した記事で確認できます。

ASUSは、Windows Updateで証明書を取得できない場合の手動手順も公開しています。BIOSの更新、Secure Bootキーのクリア、デフォルトキーの再インストール、PowerShellでの証明書適用という4段階の手順で、自己判断で設定を触るより先にメーカー公式の手順ページを確認することを推奨しています。マザーボードのBIOS更新自体の基本的なやり方は、既報の記事でも解説しています。

出典：MSI公式サポート「Windows Secure Boot certificates update for Motherboard, Desktop PCs, AIO, Cubi」・ASUS公式サポート「Windows Secure Boot certificate expiration and certificates updates」（いずれも2026年8月27日確認）

BIOSの更新やBitLockerの一時停止は、正しい手順を踏めば大きな問題は起きません。ただ心配な場合は、作業前に大事なデータを外部へ退避しておくと安心です。用途に応じて2つのタイプを紹介します。

安心材料対象外・自動更新済みの場合に安心してよい理由

ここまで確認して「自動更新の対象」「すでに証明書が適用済み」と分かった場合、必要以上に心配する必要はありません。Microsoft公式は、証明書が失効しても対象デバイスが直ちに起動できなくなるわけではないと明記しています。

証明書を受け取れていないデバイスも、通常どおり起動・動作を続け、標準のWindows Updateのインストールも継続されるとされています。実際に変わるのは、Windows Boot Manager、Secure Bootのデータベース、失効リスト（DBX）に対する今後のセキュリティ更新が届かなくなるという点で、証明書が失効した瞬間に画面が真っ暗になるような話ではありません。

ただし、公式サポートが明記している例外が一つだけあります。すでに新しい証明書で署名されたWindowsを使っている状態で、BIOSの設定を工場出荷時の状態にリセットすると、リセット後のファームウェアが新しい証明書を含んでいない場合にSecure Bootが起動をブロックすることがあると案内されています。CMOSクリアやBIOSの「Load Optimized Defaults」を実行した直後に起動しなくなった場合は、この組み合わせが原因になっている可能性があります。

6月に話題になった証明書とは別物です

2026年6月に失効した「Microsoft UEFI CA 2011」などは、グラフィックボードのvBIOSなどサードパーティ製の起動コンポーネントを対象にした証明書です。今回の「Windows Production PCA 2011」はWindows本体のブートローダーが対象で、役割も失効日も異なります。6月の件の詳しい仕組みはセキュアブート証明書が2026年6月に失効する仕組みを解説した記事で確認できます。

出典：Microsoftサポート「Windows Secure Boot certificate expiration and CA updates」・Microsoftサポート「Frequently asked questions about the Secure Boot update process」（いずれも2026年8月27日確認）

Q&Aよくある質問

今回の証明書は2026年6月に話題になったものと同じですか

いいえ、別の証明書です。6月に失効したのは主にグラフィックボードなどサードパーティ製ブートローダー向けの「Microsoft UEFI CA 2011」と、更新を許可する鍵「Microsoft Corporation KEK CA 2011」です。今回の「Windows Production PCA 2011」はWindows本体のブートローダーに対する証明書で、失効日は2026年10月19日です。

対象になった場合、PCは起動しなくなりますか

基本的には起動し続けます。Microsoft公式によれば、証明書が失効しても対象デバイスは通常どおり起動・動作を続け、標準のWindows Updateも継続されます。変わるのは今後のブート関連セキュリティ更新を受け取れなくなる点です。

Windows 10でも対象になりますか

サポート対象バージョンであれば対象です。ただしWindows 10は2025年10月14日に無償サポートが終了しているため、Extended Security Updates（ESU）に加入していない場合は証明書の更新を含む新しいセキュリティ更新自体を受け取れません。

会社や学校のPCも同じ方法で確認できますか

確認方法自体は同じですが、更新の適用方法が異なります。組織が管理しているPCは、Microsoftではなく社内・学校のIT部門のポリシーにもとづいて更新されるため、対象外と表示された場合はIT担当者へ確認してください。

Secure Bootを無効にしたままでも大丈夫ですか

無効のままでは新しい証明書がファームウェアへ書き込まれません。ブートキットなど起動時の脅威に対する保護が弱いままになるうえ、Secure Boot必須のゲームもプレイできなくなるため、有効にしておくことをおすすめします。

BIOS更新をしないまま様子を見てもいいですか

まずはWindows Updateでの自動適用を優先してください。Windowsセキュリティアプリやコマンドでの確認結果がFalse・未適用のままの場合にかぎり、メーカー公式のBIOS更新を検討する順番が安全です。

まとめまとめ｜今日確認すべきはWindowsセキュリティアプリとWindows Updateの状態

Windowsのブートローダーに署名している証明書「Windows Production PCA 2011」は、2026年10月19日に有効期限を迎えます。Windows UpdateとSecure Bootが有効な環境の多くは自動的に新しい証明書「Windows UEFI CA 2023」へ移行しますが、Windows Updateを止めている、Secure Bootを無効にしている、サポートが終了したWindowsバージョンのまま使っている、古いファームウェアの自作PC・BTO機などは対象から外れる可能性があります。

心配な場合は、まずWindowsセキュリティアプリの「セキュアブート」項目を確認し、緑のチェックが付いていれば対応は不要です。黄色や赤の表示、あるいはアプリ自体に項目がない場合は、msinfo32とPowerShellで詳しく確認し、必要であればマザーボード・PCメーカーのBIOS更新を検討してください。BIOSを更新する前には、必ずBitLockerの回復キーを確認しておくと安心です。

2026年8月27日時点の結論

「Windows Production PCA 2011」は2026年10月19日に失効します。多くのPCはWindows UpdateとSecure Boot経由で自動的に新しい証明書「Windows UEFI CA 2023」へ移行しますが、Windows Update無効・Secure Boot無効・サポート終了バージョン・古いBTO機や自作機は対象外になる可能性があります。まずはWindowsセキュリティアプリでセキュアブートの状態を確認し、対象ならBIOS更新前にBitLockerの回復キーを保存してください。